Nexus V1の脆弱性と、境界線に関する議論の高まりについて

本日未明、Bitcoin流動性プロトコルのOn Nexus（旧DotSwap）が、レガシーなV1マルチシグプールから8.5 BTC（約68万5000ドル相当）が流出したことを発表しました。同チームは、この侵害の原因が古いサーバーサイドの署名検証における欠陥であったことを確認しており、セルフカストディウォレットや新しいコントラクトは影響を受けていないとしています。これを受け、On NexusはV1を永久停止し、ブロックチェーンセキュリティ企業のSlowMistと協力して盗難資金の追跡と回収を試みています。

8.5 BTCの損失は、過去の数百万ドル規模のクロスチェーンブリッジハッキングと比べれば限定的ではありますが、この事件は開発者コミュニティの間で「プロトコルのカストディ（保管）はどこから始まり、どこで終わるのか」という重要な議論を再燃させています。今回の脆弱性は、Bitcoinのオンチェーンスクリプトの不具合によるものではなく、プラットフォームの旧バージョンにおける、オフチェーンのサーバーサイドでのマルチシグ処理に起因するものでした。

カストディのジレンマと規制の境界線

この事件は、分散型サービスに対する規制のあり方が再検討されている中で起こりました。つい数日前、英国金融行為規制機構（FCA）はコンサルテーション・ペーパー「CP26/36」を公開し、金融サービス市場法（FSMA）の規制対象から特定のサービスを除外する提案を行いました。FCAの草案では、純粋に分散化された技術サービスや特定の自動決済メカニズムは、顧客資金に対するカストディ権限や裁量的管理を行わない場合に限り、直接的な認可要件から除外される見通しです。

On Nexusでの侵害は、なぜ規制当局がまさにその境界線を引こうとしているのかを物語っています。プラットフォームがカストディ用のマルチシグ鍵やサーバーサイドの承認ゲートを維持している場合、それは純粋な分散型ソフトウェアというよりも、仲介者に近い運用となります。コミュニティの議論では、レガシーなブリッジや初期のAMM設計の多くが、流動性のブートストラップのためにハイブリッドなカストディ機能という近道を残しており、それが攻撃者にとっての格好の標的となり、同時に規制当局による監視の明確な対象にもなっていると指摘されています。

コミュニティの反応と今後の注目点

ユーザーが保有するセルフカストディ資金は無事であり、On Nexusが迅速に時代遅れのV1プールを廃止したため、コミュニティの反応は比較的冷静です。それでも、流動性提供者にとっては、自身の資産が実際にどこに保管されているのかを再確認する良い機会となっています。古いスマートコントラクトやハイブリッドな設計で運用を続けることは、時間の経過とともに技術的リスクとコンプライアンスリスクを増大させる可能性があります。

開発者にとってもユーザーにとっても、目下の関心はSlowMistによる8.5 BTCの追跡と、オンチェーンでの回収が可能なのかという点に集まっています。より広範な視点では、FCAの境界線除外に関するコンサルテーション期間を通じて、各国の規制当局が、真のノンカストディアル・ツールとハイブリッドなカストディ設計をどのように区分けするかが明らかになるでしょう。レガシーな中央集権型署名サーバーに頼り続けているプラットフォームは、今後、ユーザーと規制当局の双方から、それらのシステムを完全に撤廃するよう圧力を受けることになるはずです。