イーサリアムに再びセキュリティ上の脆弱性が発生 - 太陽嵐「ソーラーストーム」がスマートコントラクトのネットワーク全体に影響を及ぼす可能性がある

Ethereum のスマート コントラクト スクリプト言語 Solidity に新たな脆弱性が発見されました。これは、DAO だけでなく、Ethereum エコシステム全体に影響を及ぼす可能性があります。

Ethereum のコントラクトは、頻繁に相互に呼び出しを行います。コミュニティは、最終的にスマート コントラクト間の「補完性」を実現することを期待して、この動作を奨励しています。

Ethereum コントラクトが相互に呼び出すと、独自のプログラム制御と状態機能が失われます。この脆弱性は、Augur のコア開発者 Joey Krug 氏と Gnosis の共同設立者 Martin Köppelmann 氏によって発見され、後にコーネル大学の博士課程の学生 Philip Daian 氏と研究者 Emin Gun Sirer 氏によって公開されました。

この脆弱性は、DAO 攻撃者が悪用した再入脆弱性とは異なります。これを太陽嵐と呼びましょう (太陽嵐が地球の通信機器を遮断するのと同じように、Ethereum スマート コントラクト間の通信を遮断する可能性があるため)。 Daian 氏は脆弱性を公開した際に正確な名前を付けなかったが、「Solar Storm」という名前を気に入っていた。

太陽嵐と再突入

再入脆弱性が発生するための前提条件:

1. 1. 契約A、関数Aが契約Bを呼び出す

2. 2. 契約Bは契約A、関数Aを呼び出す

Daian 氏は、契約間の単純な呼び出しでも脆弱性が露呈する可能性があると考えています。

太陽嵐の脆弱性が発生するための前提条件:

1. 1. 契約Aは外部契約を呼び出す

2. 2. コントラクトAの状態が外部関数によって変更される（これはよく起こる）

太陽嵐の脆弱性の例は次のとおりです。

1. 1. 契約A、関数Aが契約Bを呼び出す

2. 2. 契約Aの別の関数Cは関数Aと状態を共有する

3. 3. コントラクトBがコントラクトA、関数Cを呼び出す

この脆弱性が公開されないようにするには、次の 2 つのオプションがあります。

(a) 契約による外部呼び出しを禁止する (b) 外部呼び出し関数を使用して外部呼び出しを開始する関数と状態を共有することを禁止する

実際の使用例では b を完全に禁止することは不可能なので、コントラクトへの外部呼び出しを行わないようにする必要があります。外部呼び出しを行う必要がある場合は、プログラミングが完了した後に行うことができます。外部呼び出しの実行が開始されると、契約ステータスは変更されません。

太陽嵐の脆弱性は、再突入の脆弱性よりも広範囲に及んでいます。

これはどういう意味ですか？

要約する

太陽嵐の脆弱性は、DAO 契約だけでなく、すべての Ethereum 契約にも影響を及ぼします。これは、Ethereum のプログラミング言語 Solidity の脆弱性です。

すでにリリースされている Ethereum 契約にも脆弱性がある可能性があります。開発者は、契約のパフォーマンスをテストし、適切なアクション（資金の送金、新しい契約のリリースなど）を実行する必要があります。

開発者は、リリースしようとしているコントラクトへの外部呼び出しには十分注意する必要があります。この脆弱性が完全に修正されるまで、外部からの呼び出しを避けてください。

次に何をすればいいでしょうか?

公開されているすべてのスマート コントラクトを再確認します。 Solidity コンパイラーを使用して脆弱性を検出します。この脆弱性はまだ公表されていないため、他の人に通知するために Solidity ドキュメントを作成する必要があります。