Last Updated on 2026年8月31日 by oba3
コスモス・ラボ（Cosmos Labs）が、コスモスEVM（Cosmos EVM）の共通コードに存在した重大な脆弱性が6つのブロックチェーンで悪用されたと公表した。攻撃者がDEXで交換した資産は約287万ドル、中央集権型取引所で売却したと推定される資産は約285万ドルで、合計すると約572万ドル規模になる。今回見るべきなのは個別チェーンの被害額ではない。同じオープンソース基盤を複数の独立チェーンが利用することで、一つのコード欠陥と不十分な脆弱性通知がエコシステム全体へ同時に伝播する構造だ。
何が起きたのか？
コスモス・ラボは2026年8月28日、重大脆弱性GHSA-7g4w-cg88-2cq2に関する事後報告を公開した。攻撃は8月20日から25日にかけて発生し、同社は6つのCosmos EVMチェーンで同じ脆弱性が悪用されたことを確認している。
公表された最初の被害ネットワークにはマントラ（MANTRA）、タック（TAC）、キーチェーン（KiiChain）が含まれる。残る3チェーンについては、コスモス・ラボの事後報告では詳細を省略している。さらに別の1ネットワークでは、攻撃者が資産を外部へ持ち出す前にチェーンを停止できたと報告されている。
問題の原因は、EVM側とCosmos SDK側で特定口座の残高を扱う方法が一致していなかったことにある。ロックされた残高を持つベスティング口座がステーキング処理を行う際、EVM側の残高計算でアンダーフローが発生し、極端に大きな残高として扱われる状態を作ることができた。攻撃者は別の残高処理の問題と組み合わせ、実在するトークンを対象口座から抜き取った。
影響を受けるのは修正版のv0.6.2またはv0.7.2より前のCosmos EVMを利用するネットワークで、修正にはチェーン全体で調整したアップグレードが必要になる。
なぜ重要なのか？
今回の脆弱性は攻撃直前に初めて発見されたものではない。最初の報告は4月25日にバグバウンティ制度を通じて提出されていた。しかし当初の再現試験では6桁小数点のネットワークで問題が確認された一方、本番環境で一般的だった18桁小数点の構成では再現できず、コスモス・ラボは実運用ネットワークで資金流出を起こさないと誤って評価した。
そのため5月15日に修正コードは公開リポジトリへ入ったものの、緊急性を伝えずに将来の更新へ取り込むサイレントパッチとして扱われた。その後、追加の研究者報告によって8月13日までに全Cosmos EVMチェーンが影響を受けると判明した。
さらに8月20日には、プッシュ・チェーン（Push Chain）の公開コード変更で脆弱性の仕組みと悪用経路が詳しく記述された。その約12時間後、マントラで最初の既知の攻撃が発生した。修正コードが存在することと、利用者が危険性を理解して実際に更新することの間に大きな差があった。
市場構造への影響
Cosmosの特徴の一つは、それぞれのプロジェクトが独立したブロックチェーンを運営できることだ。独自のバリデーター、トークン、ガバナンスを持つため、外から見ると各ネットワークは別々のシステムに見える。
しかしソフトウェア層では同じCosmos EVMやCosmos SDKを共有している場合がある。今回の事件は、経済的には独立している6チェーンが、同じコードの欠陥を通じて同時に攻撃対象になったことを示した。
これは共有インフラの利点と裏表になる。共通コードを使えば開発速度を上げ、セキュリティ改善も広く再利用できる。一方、一つの重大な欠陥が見つかれば、その影響範囲も多数のチェーンへ拡大する。独立チェーンの数が増えても、基礎ソフトウェアが共通なら技術的な集中リスクは残る。
資金・規制・流動性との関係
攻撃後、盗まれた資産の一部はブリッジを通じて他ネットワークへ移動し、DEXで約287万ドル相当が別資産へ交換された。さらに約285万ドル相当が中央集権型取引所で売却されたと推定されている。コスモス・ラボによれば、攻撃者が利用した中央集権型取引所の口座は捜査に伴い凍結された。
この流れは、チェーン内の脆弱性がブリッジ、DEX、中央集権型取引所へ短時間で広がることも示す。攻撃を止めるにはコードを直すだけではなく、チェーン停止、ブリッジ監視、取引所への通知を同時に進める必要がある。
コスモス・ラボは今回40チェーンと連携し、13の潜在的な影響ネットワークではパッチ適用や停止などによって追加被害を防いだ。一方で、事前のセキュリティ連絡網に登録されていなかったCosmos EVM導入例が11件新たに判明した。オープンソースでは誰でもソフトウェアを導入できるため、開発元が利用者全員を把握できないという通知上の弱点も浮かび上がった。
初心者向け補足
今回の問題は、6つのチェーンで偶然同じバグが別々に作られたわけではない。複数のネットワークが同じCosmos EVMコードを利用していたため、一つの共通部分に存在した脆弱性がそれぞれのチェーンで悪用された。
ソフトウェアでアンダーフローが起きると、本来は0より小さくなる計算結果が極端に大きな数字として扱われる場合がある。今回の攻撃では、この残高計算の異常を別の処理と組み合わせることで、正規のトークンを移動させる経路が作られた。
修正版へ更新すれば同じ攻撃経路を閉じられるが、ブロックチェーンでは一社がサーバーを更新するだけでは済まない。多数のバリデーターが同じバージョンへ移行する必要があるため、脆弱性の発見から実際の修正までには運用上の調整が必要になる。
Web3Timesの視点
今回の事件をマントラやタックなど個別チェーンの事故として読むと、最も重要な教訓を見落とす。問題の中心にあるのは、独立したブロックチェーンが同じソフトウェア部品を共有することで生まれるシステミックリスクだ。
さらに今回は、4月に脆弱性そのものが報告され、5月には修正コードも存在していた。それでも影響範囲の評価を誤り、緊急アップグレードとして広く伝わらなかったことで、攻撃可能なネットワークが残った。安全性はコードを書き直すだけでは完成せず、危険性を正しく分類し、影響を受ける全運営者へ非公開で通知し、短時間でアップグレードさせる仕組みに依存する。
今後見るべきなのは約570万ドルという最終被害額だけではない。コスモス・ラボが脆弱性の影響範囲をどう再評価するのか、サイレントパッチと非公開通知をどの条件で使い分けるのか、未登録のチェーン運営者までどう連絡網へ組み込むのかが重要になる。モジュール型ブロックチェーンが広がるほど、共有コードは開発効率を生む一方、その更新と通知を誤れば複数ネットワークを同時に揺らす共通障害点にもなる。
