CoinPostで今最も読まれています

アップデート未完了のノードがイーサリアムにもたらす脆弱性

画像はShutterstockのライセンス許諾により使用

イーサリアムでも進んでいないノードのアップデート
仮想通貨イーサリアムのネットワークにおいて多くのノードが最新版のソフトウェアクライアントであるParityかGethに更新していないことがセキュリティ企業SRLabsのレポートで判明。ノードのパッチ適用事情と詳細を解説する。

未だに残るアップデート未完了の「古い」ノード

2019年5月、SRLabs によるレポートにおいて、実に30%か40%のノードが攻撃に対し脆弱である、という状況が浮かび上がってきた。

背景について説明しておこう。

イーサリアム・ネットワークにアクセスするためのソフトウェアクライアントとして、現時点で一般的な選択肢は、Parity Ethereum(Parity)か Go Ethereum(Geth)だ。

今年の 2月、SRLabs により、Parity Ethereum クライアントのバージョン2.2.10以下で、Parity Ethereumノードをリモートでクラッシュさせる可能性がある脆弱性が報告された。

このクラッシュは、2つのノード間でチェーンを同期している間に、整数のオーバーフローが原因で発生しうる。すべてのノードは任意の接続要求を受け入れてメインネットワークとの同期を維持するため、攻撃者は イーサリアム・ネットワークにおいて、パッチが適用されていない Parity ノードをクラッシュさせることができる、というものだ。

Gethでも44%が未更新

Parity Ethereum では、ノードをスキャンした結果、15%が2月のパッチを未適用だったという。 さらに、3月2日にリリースされたバージョンについても同様に調査し、5月2日時点で30%でパッチが未適用だった。

さらに、7%は9か月間もパッチを当てていない。2018年7月にはテストネットの脆弱性がメインネットに波及する可能性が指摘され、コンセンサス形成に関する重大な脆弱性が修正されているが、これも適用されていない、ということだ。

また、イーサリアムの根幹をなすGethでも更新に関する問題は同様に観測されている。 2か月前にリリースされたセキュリティに関するクリティカルなアップデート、これが含まれないバージョンv.1.8.20 以前のノードが約44%も残っているのだ。

更新されない理由

Gethには自動更新の機能は存在しない。したがって約44%のGethノードが脆弱という報告は、アーキテクチャの設計そのものにおける問題と言い換えてもいい。

ただし、すべてのソフトウェアに自動更新を実装すべきかどうか、という点は議論の余地がある。CCleaner や ASUSのアップデートツールのように、アップデート機能を悪用される例も出てきているからだ。

加えて、Electrumのようにクリティカルなセキュリティアップデートを装った攻撃も確認されている。結局のところ、各自が少しずつ注意を払うしかないのが現状だろう。

Parity Ethereum には自動更新の仕組みがあるものの、スマートコントラクトに紐づけられているため、アップデートの適用は複雑な手順になりがちだ。

そして、すべてのノードが常に最新の状態にあるわけではない。したがって、常時起動せず、その時々で追いつきで処理しているノードなどがあった場合、自動では適用されない。

また、スマートコントラクトを利用しているという性質そのものが、そもそもアップデートプロセスを煩雑(はんざつ)にしているという指摘もある。迅速なアップデートが適用できない場合もある、ということだ。 Parity もセキュリティアラートを出してアップデートを促してはいるが、これも効果のほどは未知数だ。

攻撃は可能か?

詳細についてはハッシュレートの多数を占めるマイナーのバージョンを分析する必要がある。しかし、現実的には難しいはずだ。

ノードをクラッシュさせることができるなどの脆弱性は単体ノードにとっては致命的だが、ネットワーク全体で見た場合、単一ノードのクラッシュによる影響は微々たるものであり、他の攻撃手法と組み合わせない限り有用性は高くない。

ハッシュレートの過半はマイナープールが握っており、彼らが報酬のために正しく動作している限り、二重支出攻撃などを行うためのコストは非常に高いままだろう。

なお、仮想通貨情報統計サイトEtherscanで直近7日間のハッシュレートを見ると、上位4つのプールが75%を占めていることがお分かりいただけるだろう。

出典:Etherscan

まとめ

先日お伝えしたビットコインの事例と同様、イーサリアムでも脆弱なノードが放置されている実態が分かった。

ただちに問題につながるわけではないものの、コミュニティベースで運営されるという前提を考えると、早急な対応が望ましいだろう。 これをお読みになった読者各位におかれても、お手元でノードを運用されている場合、ご確認いただくことをお勧めする。

坪 和樹

Twitter:https://twitter.com/TSB_KZK

Linkedin:https://www.linkedin.com/in/tsubo/

プロフィール:AWSで働くエンジニア、アイルランド在住。MtGoxやThe DAO では被害を受けたが、ブロックチェーンのセキュリティに興味を持ち続けている。セキュリティカンファレンスでの講演、OWASP Japanの運営協力やMini Hardeningといったイベント立ち上げなど、コミュニティ活動も実績あり。

CoinPost App DL
注目・速報 相場分析 動画解説 新着一覧
03/28 木曜日
17:35
分散型AIの3大プロジェクトが団結、新トークン「ASI」に統合へ
SingularityNET、Fetch.ai、Ocean Protocolが人工超知能連合を結成し、各プロジェクトの暗号資産(仮想通貨)を新トークンASIに統合する計画を発表。単一の分散型AIネットワークとしてリニューアルを目指す。AGIの父と呼ばれるベン・ゲーツェル博士が主導する。
15:58
ビットコインのレイヤー2「BEVM」ローンチ
BEVMがメインネットをローンチ。暗号資産(仮想通貨)ビットコインをガス通貨として利用するEVM互換のレイヤー2ネットワーク。シリーズAで数十億円を調達し、分散型ビットコインクロスチェーンカストディサービスを実現。
15:00
NEARプロトコル、マルチチェーン再ステーキング「LiNEAR」始動へ 
NEARプロトコルがChain Signaturesを導入、暗号資産(仮想通貨)の相互運用性を強化。ビットコインやイーサリアムなど複数のブロックチェーンをサポートする。オムニチェーン再ステーキングLiNEARが始動。
14:15
「イーサリアムが有価証券でもETF化は可能」ブラックロックCEO
仮想通貨イーサリアムに関しては、米国においてその法的ステータスが定かではない。CFTCは商品(コモディティ)と見做している一方、SECはETHに関係するスイスのイーサリアム財団を調査していることが先週報じられた。
10:45
Parallel Studios、VanEckやソラナベンチャーズから53億円調達
パラレルはイーサリアムメインネットおよびBaseチェーン上で稼働するものだが、先日発表された、コロニーのローンチ先がソラナのブロックチェーンであることや、今回ソラナベンチャーズが出資したことから、今後クロスチェーンでの展開が考えられる。
10:15
イーサリアム「BLOB」にデジタルアートを記録する方法 Ethscriptionsが導入
イーサリアムのチェーン上にデジタルアートなどを記録するEthscriptionsは「BlobScriptions」を発表。ブロブにデータを記録する方法となる。
08:10
21Shares、欧州でTONの上場取引型金融商品を提供
今月初めテレグラムは仮想通貨TONを正式に統合し広告収入をチャンネル所有者と共有し、TONブロックチェーン上でToncoinを使って報酬を支払うようになった。この動きが投資家からの需要を押し上げたようだ。
07:30
ブラックロック「BUILD」、一週間で240億円超の資金流入を記録
ブロックチェーン上でトークン化された現実世界資産(RWA)の運用を提供するOndo Financeからの10億円以上新たな資金もありファンドの規模は拡大中。
06:50
スクエニやソラナ財団、Elixir Gamesに21億円出資
Elixir Gamesは、ゲームローンチャー「Elixir Games Launcher」で、さまざまなWeb3ゲームを遊べるPCアプリを提供。また、Web3ゲームがNFTなどのゲーム内資産のセールを代行するローンチパッドで、ミントなどの機能を提供する予定だ。
05:50
SECに有利か、裁判官がコインベースの棄却申し立て認めず
その一方、裁判官は、コインベースが顧客が仮想通貨ウォレットアプリを利用できるようにしたときに、無登録ブローカーとして運営していたというSECの主張を取り下げることを決定した。
03/27 水曜日
17:25
Slash Payment、独自トークンのエアドロップ対象条件を発表
暗号資産(仮想通貨)決済サービスSlash PaaymentのエコシステムトークンSVLについて、エアドロップの参加条件が明かされた。分散型決済エコシステムの利益が、ステーキング参加者に還元。スナップショットまでに割り当てを増やすことも可能だ。
17:00
ビットコインなど仮想通貨投資の始め方|初心者が注意すべきリスクとおすすめ戦略
ビットコインなど暗号資産(仮想通貨)投資の初心者向けスタートガイドを解説。基本戦略や知識、特に注意すべきリスクやセキュリティ対策を紹介し、「何歳から始められる?」のか、取引所ごとの年齢制限一覧も提供。
16:04
KDDIのNFT市場「αU market」、アニモカブランズとの連携開始
KDDIが展開する「αU market」で、『PHANTOM GALAXIES』の限定版NFT販売を開始。アニモカブランズが支援するブロックチェーンゲームとの連携施策の第一弾。暗号資産(仮想通貨)ウォレット「αU wallet」を接続して購入できる。
14:23
21Shares「半減期前のビットコインは、過去の歴史とは異なるダイナミクスを経験している」
スイスを拠点にする資産運用企業21Sharesは、仮想通貨ビットコインの半減期が市場に及ぼす影響について分析したレポートを発表。ビットコインは現在、過去3回の半減期とは、「異なる市場ダイナミクスを経験している」と指摘した。
12:23
ビットコイン7万ドル台で堅調推移、コインベース・プレミアムは強気から中立に
暗号資産(仮想通貨)市場では、半減期前のビットコインは過去最高値に迫る7万ドル台まで反発して堅調推移を辿る。米国の機関投資家動向を示すコインベース・プレミアムは強気から中立に転じた。

通貨データ

グローバル情報
一覧
プロジェクト
アナウンス
上場/ペア
イベント情報
一覧
2024/03/28 15:00 ~ 18:00
東京 東京日本橋タワーB2階
2024/04/06 ~ 2024/04/09
香港 香港コンベンション・アンド・エキシビション・センター3FG
2024/04/09 14:00 ~ 16:00
その他 オンライン
2024/04/13 ~ 2024/04/14
東京 東京都港区
重要指標
一覧
新着指標
一覧