Optimismは、Optimismのガバナンスフォーラムへの投稿を通じて、Lagoon導入前のリファンド（払い戻し）経路に重大な脆弱性があることを明らかにしました。この問題は、SDMの検証（verify）経路が再計算を行わずに偽造された払い戻しペイロードを受け付けてしまう点にあり、システムが信頼すべきでない払い戻しデータを受け入れてしまうリスクが生じていました。Optimismは、どの本番チェーンでも悪用される前にこの脆弱性を修正し、資金の損失はありませんでした。この開示は、解決されないままだと払い戻しロジックの欠陥がどのように悪用され得たかについての技術的詳細を提供しており、払い戻しプロセスが価値の請求やクロスシステムの会計を左右するLayer 2のインフラにおいて、検証システムの重要性を強調しています。
Optimismは、プレプロダクションの脆弱性開示の重要性を説明
Optimismの開示は、「深刻な問題が見つかり、悪用前に修正され、その後に公に説明された」というカテゴリに該当します。この脆弱性は、払い戻しロジック、検証経路、そしてクロスシステムの会計に関わっており、小さな前提が大きな損失につながり得るため「重大」と分類されました。開示では、当該問題はLagoonのアップグレードが本番に到達する前に修正済みであり、資金の損失はなかったと述べられています。Layer 2のエコシステムにおいて、このセキュリティプロセスが重要なのは、Optimismのようなネットワークが決済・実行環境として機能し、他のアプリケーションがそれに依存しているためです。つまり、コアインフラで重大な問題が本番に到達すると、多くのユーザーやプロトコルに影響が及び得ます。
SDMの検証経路が再計算なしで偽造された払い戻しペイロードを受け付けた
この脆弱性は、SDMの検証経路が再計算をせずに偽造された払い戻しペイロードを受け付けることに関わっていました。払い戻しシステムは、誰に価値が払い戻されるべきか、払い戻しがどのように検証されるか、そしてどのメッセージが受理されるかを決定します。システムが偽造されたペイロードを受け入れてしまうと、攻撃者は存在してはならない請求をプロトコルに認識させられる可能性があります。検証は、提示されたデータを盲目的に信頼するのではなく、正しい結果が何であるかを独立して確認すべきです。開示では、偽造された情報を受け付ける払い戻し経路は重大な問題を意味すると説明しつつ、修正が本番での悪用が起きる前に行われたことも明確にしています。
Layer 2ネットワークは増大するセキュリティの複雑さに直面
Layer 2ネットワークには、シーケンサー、ブリッジ、フォールト・プルーフ、アップグレード経路、ガバナンスの役割、クロスチェーン・メッセージング、フラウドプルーフ（詐欺防止証明）システム、データ可用性に関する前提、そしてプロトコルのアップグレードが含まれます。新しい機能のたびに、新たな攻撃対象領域が生まれ得ます。OptimismのLagoonアップグレードは、こうした広範な進化の一部です。アップグレード前の開示は、何が変わったのか、何がうまくいかなかった可能性があるのか、そしてチームがより大規模な展開の前に問題にどう対処したのかを示します。開示では、複雑なシステムには継続的な見直しが必要であり、セキュリティの取り組みはネットワークの進化と同じ速さで成熟していく必要がある、としています。
公開された開示は、エコシステムのセキュリティ教育に貢献
公開の開示は、他のチームが同様の前提を点検し、自分たちの検証経路を改善し、複雑なアップグレード過程でバグがどのように現れるのかを理解するのに役立ちます。これは、とりわけモジュール型およびLayer 2のエコシステム全体において、設計パターンが繰り返し登場しがちなためです。Optimismの開示は、脆弱性、パッチ、アップグレード上のリスクをめぐるセキュリティプロセスをエコシステムが理解できるようにするための詳細を提供します。この開示は、Optimismのガバナンスフォーラムでリリースされたセキュリティ開示に基づいています。
FAQ
OptimismはLagoon導入前のインフラで、どんな脆弱性を開示しましたか？
Optimismは、SDMの検証経路において再計算なしで偽造された払い戻しペイロードを受け付ける重大な脆弱性を開示しました。この問題は、システムが信頼すべきでない払い戻しデータを受け入れてしまう可能性があり、払い戻しロジックとクロスシステムの会計にリスクを生じさせるものでした。
Optimismの脆弱性は、いずれかの本番チェーンで悪用されましたか？
いいえ。Optimismは、どの本番チェーンでも悪用される前にこの脆弱性が修正されており、資金の損失はなかったと述べています。この問題は、Lagoonのアップグレードが本番に到達する前に修正されました。
Optimismはセキュリティ開示をどこに公開しましたか？
Optimismは、Optimismのガバナンスフォーラムにこの開示を投稿しました。この開示では、Lagoon導入前の払い戻し経路の脆弱性と、パッチの適用タイムラインに関する技術的詳細が示されています。
