Neutronのガバナンス攻撃を受け、Cosmos HubのValidatorは約25時間ネットワークを停止しました。コードの脆弱性ではなく、他チェーンの被害を封じ込めるためにL1を止めた判断から、分散型ネットワークの安全性と運営権限を考えます。
コードではなくガバナンスが攻撃面になりました
Cosmos Hubは9月22日、Neutronで発生したガバナンス攻撃の影響を封じ込めるため、Validatorの協調によりブロック生成を停止しました。Hub自体が侵害されたわけではありません。Neutronでは悪意あるProposalが可決され、AstroportやDropのContractから資産が流出しました。
約25時間の停止が示したもの
Cosmos HubはBlock 33,086,740付近で停止し、翌23日に再開しました。攻撃者が保有していた約122万ATOMも移動対象となりました。ここで重要なのは、Consensusが正常でも、周辺チェーンのGovernance FailureがL1の運用判断へ波及した点です。
Cosmosは各チェーンの主権を重視するInterchain思想を採っています。しかしIBCで資産が移動できるほど、あるチェーンのGovernance Riskが他チェーンへ伝播します。技術的な相互運用性が高まるほど、Incident Responseもネットワーク横断で設計する必要があります。
日本のインフラ設計にも共通する論点です
金融用途のBlockchainでは「止まらないこと」だけでなく、「誰が、どの条件で止められるか」を明示することが重要です。Validatorの裁量、Emergency Halt、Governance権限、資産凍結の条件は、性能指標だけでは見えません。今後L1やInteroperability基盤を評価する際は、TPSやFinalityと同じように、非常時の権限設計と復旧手順を見る必要があります。
