コスモス・ラボ（Cosmos Labs）が開示バグ問題で批判集中、影響を受けたEVMチェーンへの停止勧告へ発展

コスモス・ラボが開示バグ問題で批判集中、停止勧告へ発展

Cosmos EVMインフラストラクチャー を構成する共有モジュールにおいて深刻なセキュリティ欠陥が発覚し、これを悪用した攻撃によって複数のブロックチェーンネットワークが相次いで被害を受ける事態が発生した。

具体的には、ステーキング処理の計算ミス＝アンダーフローなど複数の上流の欠陥が組み合わさったことで脆弱性が生じたとされている。この影響を受けた各ネットワークのうち、MANTRA（マントラ）やNesa（ネサ）は予防的なチェーン停止措置によりユーザー資金への直接的な影響を防ぐことができた。

一方で、KiiChain（キーチェーン）では約1億5,000万KII、当時の理論価格で900万ドル（約14.3億円）相当が不正に流出し、トークン価格の暴落を招いたほか、TACでも約30億TAC約750万ドル（約11.9億円）相当がステーキングコントラクトから引き出されるなど、甚大な損失が報告されている。

コミュニティから高まる情報開示態勢への批判

今回の一連のインシデントにおいて、暗号資産業界のセキュリティコミュニティや被害を受けたプロジェクトから最も強く問題視されているのが、モジュール開発元であるコスモス・ラボ（Cosmos Labs）の情報共有プロセスだ。

コスモス・ラボは事態の発覚後、影響下にあるネットワークに対してEVMチェーンの運用停止を急遽勧告。しかし、それ以前の段階で行われた脆弱性修正の開示対応について、サイレントパッチモデル（非公開での事後修正）に近い形で処理されており、極めて不十分であったと非難の声が上がっている。

対応の遅れと今後の課題

KiiChainが公表した検証報告書によると、8月中旬に重要な修正プログラムがリポジトリで公開された際、事前に影響を受けるチェーンへ個別の通知がなされておらず、重要度に関する十分な注意喚起も行われていなかった。そのため、コードの更新内容を解析した攻撃者によって、パッチ適用が完了する前に脆弱性を突かれる結果となった。

本来であれば、事前に非公開で通知した上で明確な緊急停止措置の案内を行っていれば、被害を最小限に封じ込められた可能性が指摘されています。コスモス・ラボ側は詳細なインシデントレポートの提出を予定しているが、インフラ提供側における脆弱性情報の調整・開示プロセス（Coordinated Disclosure）のあり方について、業界全体で大きな課題を残す事例となった。

本コンテンツは、一般的な情報提供のみを目的としたものであり、金融、投資、法律、または税務に関する助言を構成するものではありません。ここに記載されているイベント、報酬、オンラインキャンペーン、またはそれらに関連する情報は、暗号資産の購入、売却、取引、その他いかなる取引の推奨、勧誘、または招待とみなされるべきではありません。暗号資産は価格変動が非常に大きく、損失が発生する可能性があります。WEEXのサービス、プロダクト、および関連イベントの提供状況は、地域によって異なる場合があります。お客様は、ご自身の参加が適用される現地の法令を遵守していることを自ら確認する責任を負うものとします。