Switchboard、Move版オラクルを4チェーンで停止　共有依存リスクが浮き彫りに

Switchboardは8月29日夜、潜在的なセキュリティ侵害の報告を受け、Aptos、Sui、IOTA、Movement上で提供していたMove版オラクルサービスを停止した。オラクルは、DeFi（分散型金融）のスマートコントラクトに価格データを届ける仕組みだ。信頼できない価格更新を止めることで、価格操作や古いデータに依存した取引がさらに増えるのを防ぐ、封じ込め措置とみられる。2433

確認された損失と報告された被害

今回の金銭的影響は大きい可能性があるものの、最終的な総額はまだ確定していない。

• SuiのFull Sailは、Switchboardのオラクル侵害が疑われる事案を受け、同社のボールトで資金が失われたことを確認した。オラクルの完全性を検証するまで、追加被害を防ぐため入金と出金を停止している。ただし、発表では損失額を明らかにしていない。23
• IOTAでは、オラクル価格の操作によってトークンの報告価格が1,000万ドルまで引き上げられたと複数の報道が伝えている。この操作により、Virtueを通じて約494万VUSDがミントされ、45人のユーザーに影響する清算が発生したと報じられた。182425
• Virtueについても、その後サービスを停止したと報じられている。ただし、報告されたミント額や清算額が最終的にオンチェーンで確認されるか、ユーザーがどこまで補償されるかは、現時点では明らかになっていない。1825

したがって、現段階で確実に言えるのは、Full Sailで損失が確認されたことと、IOTA関連の悪用が報告されていることだ。業界全体の最終損失額として、これらの数字をそのまま確定値とみなすことはできない。

停止されたのはどのサービスか

停止対象は、SwitchboardのMoveベースの実装を利用する次の4つのエコシステムだった。

• Aptos
• Sui
• IOTA
• Movement

Switchboardは、潜在的な侵入の報告を受け、貢献者が各エコシステムのチームやセキュリティ組織と連携していると説明した。また、Solana実装について同様の侵害報告は受けていないとしつつ、調査中は予防措置として別のオラクルへ一時的に移行するよう利用者に勧告した。3334

4チェーン同時停止が示す「共有依存」のリスク

今回のポイントは、4つのネットワークで同時にサービスが止まったことだ。この事実は、Aptos、Sui、IOTA、Movementの各ブロックチェーンが個別に侵害されたというより、Switchboardが共通して使うMove実装、デプロイ手順、設定、または運用上のセキュリティに共通の障害領域が存在した可能性を示している。

ここは重要な区別だ。入手できる情報だけでは、Move言語そのものや、4つの基盤ネットワークのいずれかが侵害されたとは断定できない。また、正確な攻撃経路も確認されていない。一部報道では秘密鍵の侵害が指摘されているが、現時点の証拠だけでは、原因が鍵の流出だったのか、検証処理の弱点、設定ミス、デプロイ上の問題、あるいは別の運用上の不備だったのかは確定していない。1825

これは、複数チェーンに展開するインフラが、見かけ上は分散していても、同じコードや管理プロセスを共有していれば、1つの問題が複数のエコシステムへ波及し得ることを示す事例だ。

オラクルの異常値がDeFiを止める仕組み

DeFiプロトコルは、担保評価や借入上限、清算の判断などにオラクルの価格データを使う。攻撃者が操作された価格を受け入れさせれば、担保を実際より高く見せて借り入れたり、誤った価格で資産をミントしたり、意図しない清算を発生させたりできる。

一方、オラクルが停止すると、アプリケーション側には別の問題が生じる。信頼できる最新価格が取得できなくなるため、プロトコルは次のような機能を止めることがある。

• 担保評価と借り入れ
• 清算処理
• 新規ポジションの開設
• スワップやデリバティブの決済
• ボールトへの入金・出金・残高計算
• 最新価格を必要とするその他の取引

安全性を重視するプロトコルは、疑わしい価格や古い価格を使い続けるのではなく、処理を「安全側で停止」させることが多い。追加損失の抑制にはつながるが、ユーザー資金が一時的に動かせなくなり、市場の通常機能も損なわれる。Full Sailが入出金を停止した判断は、このトレードオフを示している。23

PythやChainlinkの併用がもたらした差

PythやChainlinkなど、別の提供元から独立した価格フィードを用意していたプロトコルは、稼働を継続したり、より早く機能を復旧したりできる可能性が高かった。複数のフィードがあれば、価格を比較したうえで提供元を切り替えたり、1つのオラクルだけに依存する設計を避けたりできるためだ。

もっとも、冗長化は安全を保証するものではない。代替オラクルも、正しい統合、設定管理、権限設計、ガバナンスが必要になる。それでも、独立したデータソースを組み合わせれば、1社の障害や1つのデプロイの侵害による被害範囲を抑えられる。

Solanaが別扱いになった理由

SwitchboardのSolana／SVM実装は、Move版とは別にデプロイされ、更新と検証の仕組みも異なる。公式ドキュメントでは、更新時にEd25519署名を検証し、その後に検証済みデータを保存する流れが説明されている。1

このアーキテクチャ上の分離が、今回の報告が直ちにSolana版へ及ばなかった理由の一つと考えられる。ただし、「同様の報告がない」ことは、Solanaが影響を受けないと証明されたことを意味しない。SwitchboardがSolana利用者にも代替オラクルへの一時移行を勧めたのは、調査が続くなかでの不確実性を考慮した対応だった。3334

まだ分かっていないこと

現時点では、次の点が未解明のままだ。

• 侵入または悪用の正確な経路
• 本当に秘密鍵が侵害されたのか、それともコード、設定、運用手順に問題があったのか
• 報告された事例以外に影響を受けたアプリケーション、資産、ユーザーポジション、チェーンの範囲
• 損失総額
• VUSDのミント額や清算人数がオンチェーンで最終確認されるかどうか
• 被害ユーザーが補償されるのか、Move版オラクルがいつ安全に再開されるのか

今回の事案は、Full Sailで損失が確認され、IOTA関連の悪用も報告された重大なオラクル・セキュリティインシデントと表現するのが妥当だ。一方で、最終的な損失額や、DeFi全体で悪用が増加していることまで、この一件だけから結論づけることはできない。攻撃経路、被害範囲、復旧方針については、Switchboardの調査結果と信頼できるオンチェーン分析を待つ必要がある。