欠陥を直そうとして、結果的に4,000BTCのハッキングにつながったパッチ

2018年のエラーを修正するために2026年に用意されたパッチが、Liquidにおける4,000BTC相当の実質的な盗難への現実の門を開いた——修正こそが失敗だった。

BlockstreamでLiquidチームの元エンジニアを務め、現在はSecondの最高経営責任者（CEO）であるSteven Rooseが、過去9月6日にLiquidネットワーク上で攻撃者が約4,000ビットコイン（BTC）を不正に膨らませた経緯を、取引ごとに再構成する技術分析を公開した。

その中心的な結論は、事件について最も広く受け入れられている読み取りと真っ向から矛盾する。——Liquidの機密トランザクションの暗号は決して失敗していなかったのだ。失敗したのは8年前に下されたエンジニアリング上の意思決定であり、盗難の直前数日でそれを修正しようとした試みは、ほとんど機能しなかった。

この発見には、重要インフラを維持するあらゆるチームにとって不快な特性がある。脆弱性を塞ぐはずだったコードが、実際にはそれを開けてしまっていたのだ。これにより、議論の軸は、これまで行われてきた攻撃者との交渉や、最初に報告された4,000BTC盗難後の資金の部分的な返還へと向けたものから、さらに踏み込みにくい問い——何百億ドル規模の資産を預かるシステムで、時間的なプレッシャー下におけるセキュリティ修正がどのように管理されるのか——へと移っていく。

仕組みを立ち止まって見直す価値がある。これは風変わりな誤りではなく、暗号学的な証明を破るような話でもない。キャッシュの設計上の問題であり、署名や検証証明を行うあらゆるシステムが、コストの高い計算を繰り返さないために用いるものだ。そしてまさにその最適化（パフォーマンス上の最適化）のところに、Rooseの分析によれば「お金を印刷できてしまう」エラーが入り込んだのである。

$BTC #newscrypto