安全研究員 Doyeon Park は 4 月 21 日に、Cosmos のコンセンサス層である CometBFT に CVSS 7.1 の「高」危険度ゼロデイ脆弱性が存在すると公開しました。この脆弱性により、ノードがブロック同期（BlockSync）段階で悪意のあるピアから攻撃を受けてデッドロックに陥り得る可能性があり、80 億ドル超の資産を保護するネットワークに影響します。
脆弱性の技術原理：悪意のあるノードによる高度の過大な報告操作による無限デッドロック
脆弱性は CometBFT の BlockSync 機構に存在します。通常、ピアは接続時に増加していく最新ブロック高（latest）を報告します。しかし、現行コードでは、ピアがまず高さ X を報告し、その後より低い高さ Y を報告するケースが検証されていません。たとえば、まず 2000 を報告し、その後 1001 を報告するといった場合です。このとき同期中のノード A は永久に高さ 2000 へ追いつくことを待ち続けます。たとえ悪意のあるピアが切断されたとしても、目標の高さは再計算されないため、ノードは無限にデッドロック状態に陥り、ネットワークへ再参加できなくなります。影響を受けるバージョンは <= v0.38.16 および v1.0.0、修正済みバージョンは v1.0.1 および v0.38.17 です。
協調的な開示の失敗：供給業者が CVE をディグレード（格下げ）した完全なタイムライン
Park は標準的な協調的脆弱性開示（CVD）の手順に従いましたが、その過程では何度も障害に遭いました。2 月 22 日に最初の報告を提出した際、供給業者は公開する GitHub issue の形式での提出を求めましたが、公開の開示は拒否しました。3 月 4 日に提出した 2 件目の報告は HackerOne によりスパムとしてマークされました。3 月 6 日に供給業者が、脆弱性の重大度を「中等/高」から「情報提供（影響は無視できる）」へと自らディグレードしたため、Park はネットワークレベルの概念実証（PoC）を提出してそれを反駁しました。4 月 21 日に最終的に公開開示を決定しました。
Park はさらに、供給業者が先に同じ影響を持つ脆弱性 CVE-2025-24371 に対して同様のディグレード操作を行っており、CVSS などの公認された国際的な脆弱性評価基準に反していると考えられているとも指摘しました。
緊急指針：検証者が今取るべき行動
パッチが正式に展開される前に、Park はすべての Cosmos の検証者に対し、可能な限りノードの再起動を避けることを推奨しました。コンセンサスモードですでに動作しているノードは引き続き正常に運用できます。しかし、再起動して BlockSync 同期プロセスに入ると、悪意のあるピアからの攻撃を受けてデッドロックに陥る可能性があります。
暫定的な緩和策として：BlockSync が詰まっていることが判明した場合、ログのレベルを引き上げるなどして、無効な高さの報告を行っている悪意のあるピアを識別し、P2P 層でそのピアをブロックできます。最も根本的な解決策は、できるだけ早く修正済みの v1.0.1 または v0.38.17 へアップグレードすることです。
よくある質問
CometBFT のこの脆弱性は資産を直接盗めますか？
できません。この脆弱性は資産を直接盗んだり、オンチェーン資金の安全性を危険にさらしたりはできません。その影響は、ノードが BlockSync 同期段階でデッドロックに陥り、ノードがネットワークに正常に参加できなくなることです。これにより、検証者のブロック生成や投票能力に影響し、結果として関連するブロックチェーンの活発さに影響を与える可能性があります。
検証者は、ノードがこの脆弱性による攻撃を受けたかどうかをどう判断できますか？
ノードが BlockSync 段階で詰まっており、目標の高さが増加し続けないことは、考えられる兆候です。BlockSync モジュールのログレベルを引き上げ、異常な高さのメッセージを受信したピアの記録があるかを確認することで、潜在的な悪意のあるピアを識別し、P2P 層でブロックできます。
供給業者が脆弱性を「情報提供」に格下げすることは基準に適合していますか？
Park の CVSS 評価（7.1、高危険）は標準的な国際的評価手法に基づいており、また Park は格下げの判断を反駁するために検証可能なネットワークレベルの PoC を提出しました。供給業者がそれを「影響は無視できる」に引き下げたことは、安全コミュニティにより CVSS などの公認された国際的な脆弱性評価基準に反していると見なされています。この論争もまた、Park が最終的に公開開示を決めた核心的な理由の 1 つです。
免責事項：このページの情報は第三者から提供される場合があり、Gateの見解または意見を代表するものではありません。このページに表示される内容は参考情報のみであり、いかなる金融、投資、または法律上の助言を構成するものではありません。Gateは情報の正確性または完全性を保証せず、当該情報の利用に起因するいかなる損失についても責任を負いません。仮想資産への投資は高いリスクを伴い、大きな価格変動の影響を受けます。投資元本の全額を失う可能性があります。関連するリスクを十分に理解したうえで、ご自身の財務状況およびリスク許容度に基づき慎重に判断してください。詳細は
免責事項をご参照ください。
関連記事
SlowMist 23pds 警告：Lazarus Group が暗号通貨向けの新型 macOS ツールキットを公開
SlowMist最高情報セキュリティ責任者23pdsは4月22日に警告を発表し、北朝鮮のハッカー組織Lazarus Groupが、暗号通貨業界および高額な価値を持つ企業の経営幹部を対象とした、新しいネイティブmacOSのマルウェアツールキット「Mach-O Man」を公開したと述べた。
MarketWhisper19分前
Venus Protocol 攻撃者が 2301 枚の ETH を送金し、Tornado Cash に流入して洗浄
チェーン上のアナリスト Ai おばさんによる4月22日の監視によると、Venus Protocol の攻撃者は11時間前にアドレス 0xa21…23A7f へ 2,301 ETH（約 532 万ドル）を送金し、その後資金を分割して暗号ミキサーの Tornado Cash に投入して洗浄を行いました。監視時点で、攻撃者はオンチェーン上に約 1,745 万ドル相当の ETH を保有しています。
MarketWhisper2時間前
北朝鮮のラザルス・グループが、暗号資産を狙う新たなmacOSマルウェア「Mach-O Man」をリリース
概要：ラザルス・グループは、暗号資産プラットフォームや高価値の幹部を狙ったネイティブmacOSマルウェア・ツールキット「Mach-O Man」をリリースした。SlowMistは、攻撃に対する注意を促し、ユーザーに慎重な対応を求めている。
要旨：この記事は、ラザルス・グループが暗号資産プラットフォームや高価値の幹部を狙ったmacOSネイティブのマルウェア・ツールキット「Mach-O Man」を公開したと報じている。SlowMistは、潜在的な攻撃を軽減するため、ユーザーに注意を呼びかけている。
GateNews3時間前
ホルムズ海峡でビットコインの通行料詐欺が発生、船は支払い後も砲撃される
CoinDesk による4月22日の報道では、ギリシャの海事リスク・サービス会社 Marisks が警告を発しました。詐欺師がイラン当局を装って、複数の海運会社にメッセージを送り、ホルムズ海峡を通過するための「通行料」としてビットコインまたは USDT を要求しているというものです。Marisks は、これらの関連メッセージがイラン政府の公式チャネルから送られたものではないことを確認し、またロイターの報道によると、少なくとも1隻の船がだまされていたと考えており、週末に通過を試みた際にも砲撃を受けたとのことです。
MarketWhisper3時間前
RHEA Finance のセキュリティ事故アップデート：残り約 40 万ドルの不足分があり、全額の賠償を約束
RHEA Financeは、4月16日のセキュリティ事故に関する続報を発表し、資産回収の面で実質的な進展があったことを確認した。今回のアップデート時点で、推定ではなお約40万ドルの資金不足が残っており、その主な原因は、貸出市場の資金プールにおけるNEAR、USDT、USDCの組み合わせにある。RHEA Financeは、残りの不足分についても全額を補填することを約束し、影響を受けたすべてのユーザーが完全な補償を受けられるようにする。
MarketWhisper3時間前
研究者がCosmosコンセンサス層CometBFTにおける重要なCVSS 7.1ゼロデイ脆弱性を開示
セキュリティ研究者のドヨン・パーク氏が、CosmosのCometBFTでCVSS 7.1のゼロデイを開示し、同期中に潜在的なノードのフリーズを引き起こす可能性があるとした。ベンダーの抵抗、ダウングレード、そして開示により4月21日に公表された。バリデーターはパッチ適用前に再起動を避けるべきである。
要旨：セキュリティ研究者のドヨン・パーク氏は、CosmosのCometBFTコンセンサス層における重要なCVSS 7.1のゼロデイ脆弱性を開示した。この脆弱性は、ブロック同期の間にノードをフリーズさせる可能性があり、$8 billionドル相当の資産を担保するネットワークに影響する恐れがある。脆弱性は直接的に資金を盗むことはできない。パーク氏は2月22日から協調的開示を進めたが、パブリック開示に対するベンダーの抵抗と、HackerOne側の問題に直面した。ベンダーは関連する脆弱性 (CVE-2025-24371) を3月6日に「インフォメーショナル」としてダウングレードした。これを受けて、パーク氏は4月21日のパブリック開示の前に、ネットワークレベルの概念実証を公開した。勧告では、Cosmosのバリデーターはパッチがリリースされるまでノードを再起動しないよう求めている。すでにコンセンサスにあるノードは継続して稼働できるが、再起動して再同期に入ると、悪意あるピアによる攻撃にさらされ、デッドロックのリスクがあるとされる。
GateNews3時間前
