夕暮れがDuskのEURQを構築する話を読み、今週Quantozと一緒に読んだ内容が、すぐに小さな印刷所での夏のバイトを思い出させてくれました。金庫の上に貼られた看板には「引き出しには2つの署名が必要」と書かれていました。下の鍵は1つの鍵だけで開く仕組みで、店の中にはその鍵のコピーが3つも浮いていました。ある週、釣り銭台が不足していて、誰かが一人で開けていたのです。書類上はどこも間違っていませんでした。ルールは存在していました。ただ、鍵の仕組みに組み込まれていなかっただけです。

これを書類の“留め金”だと呼びましょう。つまり、下にある仕組みが実際には決して強制しない約束が、方針（ポリシー）として書き込まれている状態のことです。

5月24日、そのまさにこの“隙間”が規制対象のユーロ安定コインを倒しました。マルタのライセンスを持ち、MiCAに準拠した発行体StablRは、1-of-3のマルチシグで発行（ミント）コントラクトを動かしていました。つまり、新たな供給を許可するには、単独の鍵で足りるということです。1つの鍵が侵害されました。攻撃者は自分をオーナーとして追加し、2人の正規の署名者を外して、何もないところから8.35百万USDRと4.5百万EURRを鋳造しました。金額にして約1,350万ドル相当です。EURRは$0.85まで下落し、USDRは$0.40までクラッシュしました。StablRはMiCAの項目をすべてチェックし、準備金要件、償還（レデンプション）の権利、月次の準備金証明まで揃えていました。ですが、それらのどれも「ミントに必要な鍵がいくつか」をカバーしていなかったのです。

EURQは同じ規制カテゴリにあります。MiCAのもとでQuantozが発行する電子マネートークンで、Duskに組み込まれており、Dusk Payの規制された決済レールの決済通貨として使われています。Dusk自身の取引レイヤーは、MoonlightまたはPhoenixを通じて、あらゆる転送においてバランスの整合性と所有権を暗号的に強制します。これはポリシードキュメントではなく、仕組みとして強制される部分です。

まだ見えていないのは、QuantozがEURQのために行っているミントおよびカストディ（保管）のセットアップがどうなっているか、マルチシグの閾値（しきい値）がどうなっているか、ハードウェアセキュリティモジュール（HSM）、タイムロックがあるかどうか、そして、StablRを襲ったまさにその失敗に対して、開示された／監査されたのかどうかです。MiCAライセンスはそれを止められませんでした。問題はDuskのチェーンが健全かどうかではなく、その上に置かれている鍵管理がどうなっているかです。

#dusk $DUSK @Dusk