Cosmos SDKのセキュリティ欠陥、DDoS攻撃を許容する可能性

著者

Cryptopolitanニュース 3分で読了公開 1月 2025日

Oak Securityは、悪意のある攻撃者が分散型サービス妨害（DDoS）攻撃に悪用できるCosmos SDKの脆弱性を特定しました。
研究者たちは、この脆弱性が機能に関連するものであると指摘し、開発者が問題を解決するために実装できる修正策を推奨しています。
Cosmos SDKは、開発者の懸念に対応する機能とアップデートを含む新しいバージョンをリリースしました。

ブロックチェーンセキュリティ企業Oak Securityは、ネットワーク上の分散型サービス妨害（DDoS）攻撃につながる可能性のあるCosmosチェーンソフトウェア開発キット（SDK）の脆弱性について懸念を表明しました。Mediumでの投稿において、同社の研究者であるEdward KotyshとChristian Variの2名は、これがなぜ重大なリスクなのかを説明しました。

研究者によれば、脆弱性の理由は、BeginBlock関数とEndBlock関数がガス計測の対象外となっている点にあります。これは設計上の意図であり、これらの2つの関数は必ずしもユーザーの取引に影響を与えないため、開発者に一定の無料計算時間を提供することを可能にしています。

しかし、セキュリティ専門家は、開発者にとって意図されていたわずかな猶予が、実際にはCosmosベースのネットワークに複数の方法で重大な損害を与える可能性があると警告しました。これには、ネットワークの混雑を引き起こすこと、バリデーターに影響を与えること、さらには完全な停止に至ることなどが含まれます。

彼らは次のように述べています：

「この自由は両刃の剣となり、潜在的な脆弱性のパンデラの箱を開ける可能性があります。主な問題は、ガス制限がないため、BeginBlockとEndBlock内の最適化されていないコードや悪意のあるコードが甚大な被害をもたらす可能性があることです。」

研究者たちは、脆弱性の潜在的な影響に関する理論を実験によって検証しました。一つの実験では、BeginBlock関数にさまざまなブロック高で5秒から1分までのランダムな遅延を導入しました。

実験の結果、専門家は遅延がネットワークに substantial な混雑を引き起こし、その進行を遅らせ、ブロックの完了に必要な時間を増加させたことを確認しました。また、バリデーターにも影響を与え、複数のバリデーターが必要な時刻にブロックに署名できず、一部は投票フェーズを完全に欠落させました。

当然のことながら、トランザクションに署名できるバリデーターの数が限られていた（3分の2未満）ため、テストチェーンは一時的な停止を経験しました。研究者たちは、これは同時に複数のトランザクションが発生して最終化を必要とするメインネット自体で完全な停止を引き起こす結果になる可能性があることに注意しました。

Oak Security、開発者向けに修正を推奨

一方、セキュリティ専門家は、悪意ある行為者がこれを悪用する前に脆弱性を修正するための解決策を推奨しています。彼らによれば、誰でも過度な計算を引き起こす攻撃ベクトルを単に追加できないように、厳格な計算バウンドを実装する必要があります。

彼らは、この解決策を実装する3つの異なる方法を特定しました。これらには、BeginBlockとEndBlock関数に時間計算量を追加して無限に実行されないようにすること、リソース集約的な操作を計測されたコンテキストに保持するためのコンテキストラッピング、および関数へのすべての入力の検証が含まれます。

さらに、彼らは、脆弱性がどのように悪用される可能性があり、その影響の潜在的規模を決定するために、より包括的なテストとシミュレーションを呼びかけました。

また、ネットワークが標準的な指標に従って運用され、重大な逸脱を検出できるようにするために、アーキテクチャ上の安全策と運用監視を特定しました。