動画
作成日
：2019.02.06
匿名通貨として知られるジーキャッシュ（Zcash）の開発元であるZerocoin Electric Coin Company LLC【以下、ゼロコイン社と称す】は、システムに関する重大な脆弱性の原因となるバグの修正を実施していたことを今月5日に明らかにした。
昨年3月、ゼロコイン社のエンジニアであるAriel Gabizon氏は、ジーキャッシュを含む複数の仮想通貨の基盤となるシステムにある小さな数学的エラーを発見しており、数十億ドル規模の仮想通貨に影響を及ぼす危険性があることを認識していた。このプログラミング上のバグは、ゼロ知識証明と言われる匿名性の高い取引を実現するための技術に関わるもので、万が一悪用されると、ジーキャッシュや同様のシステムを利用する仮想通貨を偽装して無限に発行することが可能になるという。しかしながら、ゼロコイン社のCEOで共同創立者でもあるBryce Zooko Wilcox氏によると、ジーキャッシュのシステムをよく理解している人は少数で、この脆弱性が悪用されたとは考え難いようだ。事実、犯罪的な利用の疑いのある不自然に大きな額の送金などは、これまでに確認されていない。
この脆弱性が発見された当時、ゼロコイン社は、不用意なパニックが発生することやハッカーの攻撃対象とされる可能性を懸念したため、直ぐに情報を公にはしなかった。対応策として、修正パッチを秘密裏にアップデートに組み込むという案を採用しており、10月28日のSaplingアップデートと呼ばれる更新プログラムによってこの問題は解消されたようだ。この間システムが攻撃される危険性もあったが、情報漏洩のリスクを考慮したゼロコイン社は、限られたメンバー内で暗号化されたコミュニケーション手段を利用することにより、不正を行う恐れのある関係者やスパイ、ハッカーなどが、この脆弱性を私的に利用することを制限したというが、当初は、Gabizon氏とSean Bowe氏、Wilcox氏、Wilcox氏の兄弟でゼロコイン社のCTO（Chief Technology Officer）であるNathan Wilcox氏の4名のみが、この事実を把握していた。
このシステム上のエラーは、ビットコイン（Bitcoin）や3大匿名通貨のひとつとして知られるモネロ（Monero）で発見されたエラーと同様の結果をもたらすという。業界関係者は、これをインフレーションバグと呼んでおり、仮想通貨を偽装して生成することで、供給量を無限に増加させる危険性があると話している。ジーキャッシュの場合、ゼロ知識証明を実装するためのzk-SNARKという技術の構成要素に、誤った方法が採用されていたことが原因となったようだが、この方法を変更することで、問題となったコードを消去できたようだ。Wilcox氏によると、この脆弱性による個人データの情報漏洩の心配はなく、現在、ゼロコイン社が進めるJPモルガン・チェースとのプロジェクトなどにも影響はなかったことが明らかにされている。
ジーキャッシュのシステム更新が完了してから2週間が経過した昨年11月13日、ゼロコイン社の研究者は、時価総額7,200万ドルを誇るKomodoと、2,200万ドルを誇るHorizen（旧ZenCash）の2つの大型プロジェクトでも、同様の脆弱性による影響が懸念されるとの警告を出している。それを受けて、今年1月18日、HorizenのプロジェクトメンバーであるMaurizio Binello氏は、システムのアップデートが完了したことを伝えており、Komodoと併せて悪用される危険性を回避したこと伝えられた。しかしながら、未だに脆弱性を抱える関連プロジェクトも存在していることも事実で、1,800万ドルを超える時価総額を記録するビットコインプライベート（Bitcoin Private）などもそのひとつとなっている。
ジーキャッシュから派生したジークラシックとビットコインの共同ハードフォークにより誕生したビットコインプライベートは、匿名通貨としての機能を開発を進めることを目的に立ち上げられてた。それぞれ、ジーキャッシュ社の資金調達に貢献するなど、プロジェクトとの関連性は高いとされているが、ゼロコイン社の研究者であるSean Bowe氏によると、ビットコインプライベートがジーキャッシュの取り組みに消極的な姿勢を示しているという。今回の脆弱性に関する情報は、KomodoやHorizenへの警告を発してから90日の期限を設けて、外部に公開される予定になっていたようだが、Bowe氏は、ビットコインプライベートとの関係性の懸念から事前にこの情報を伝えることは出来ないとコメントしている。ビットコインプライベートは、初期に発行された資金を不正にウォレットから移動させたことが報道されるなど、規約違反となる疑わしい行動が目立っているようだ。これに関して、ビットコインプライベートは、調査結果の内容に同意しているが、責任の所在については明確にできないと主張している。
今回のゼロコイン社の対応は、結果的には最良の選択となったものの、情報を公開しないことで各プロジェクトの対策が遅れ、システムを悪用される危険性もあっただけに議論の余地を多分に残しているといえるだろう。特にテクノロジーと金銭的なインセンティブが表裏一体となっている仮想通貨業界では、開発元がシステムを悪用する当事者にもなることがあるため、非常に複雑な問題となっている。全ての問題がジーキャッシュのように、脆弱性の修正手段やシンプルな解決策を持っているわけではなく、どのような策がベストとなるのかは不明確で、コミュニティ全体でその方法を考える必要があるが、その答えはまだ流動的だという。
release date 2019.02.06
