ChainSecurityがガス関連のセキュリティ脆弱性を指摘、イーサリアムはHoodiテストネット上のGlamsterdamアップグレードを延期
重要ポイント
- •ChainSecurityが、再試行可能であるべき操作をスマートコントラクトが恒久的に記録してしまう可能性のあるガス関連リスクを指摘したことを受け、イーサリアムのGlamsterdamアップグレードはHoodiテストネットで延期されました。
- •ChainSecurityは影響を受けるコントラクトの実際の事例13件を特定し、責任ある開示を通じて影響を受けるプロジェクトへ通知しています。
- •懸念の原因はEIP-8037とEIP-8038であり、ステートアクセスのガス課金を変更し、失敗した呼び出し後のガス再補充を認めることで、insufficient gas griefingに対するコントラクトの防御を弱める恐れがあります。
- •ノード運営者は、古いソフトウェアリリースへ戻すか、Prysmを含むクライアントチームがアップグレードをoodiのスケジュールから削除するバージョンを公開するのを待つよう指示されました。
- •GlamsterdamはすでにSepoliaテストネットで稼働しており、開発者は2026年末までのメインネット投入を目標としていましたが、Hoodiの新たな有効化日は決まっていません。
監査会社ChainSecurityがアップグレードによるガス変更に問題を発見したことを受け、イーサリアムの開発者は、ネットワークのGlamsterdamアップグレードをHoodiテストネットで有効化する計画を延期したと、監査側が木曜に発表しました。
このアップグレードは月曜にHoodiで稼働開始する予定でした。ChainSecurityによると、この変更により、コードが再試行可能に保つよう設計していた運用が、一部のスマートコントラクトで恒久的な失敗として記録される可能性があるといいます。
Hoodiのような公開テストネットは、イーサリアムがメインネット化の前に計画されたアップグレードを実際の条件下でリハーサルする環境であり、この段階で問題が表面化することは、ステージングプロセスが意図どおりに機能していることを示しています。
「特定したセキュリティへの影響により、Hoodiテストネット上のGlamsterdamハードフォークを延期することが決定された」とChainSecurityは書き、「すでに実際の事例13件を発見した」ほか、影響を受けるプロジェクトと責任ある開示を進めていると付け加えました。
⚠️ It has just been decided to delay the Glamsterdam hard fork on the Hoodi testnet because of security impacts we identified in this blog post: We already found 13 real-world examples and are in responsible disclosure with the affected projects. Please… — ChainSecurity (@chain_security) October 22, 2026
ChainSecurityは、イーサリアム財団が影響を受けるコントラクトの数を評価する中で、影響を受けるプロジェクトに連絡を行っていると述べました。責任ある開示とは、詳細が広く公開される前に影響を受けるチームへ脆弱性を非公開で報告し、対応を可能にする慣行です。
ノード運営者は、アップグレードが予定されていない古いソフトウェアリリースへ戻すか、実行クライアントチームがアップグレードを取り消す新バージョンをリリースするのを待つべきだと、イーサリアムのリサーチャーChristine Kim氏が述べました。Prysmコンセンサスクライアントの開発者であるPreston Van Loon氏は、Hoodiのスケジュールからアップグレードを削除するPrysmのリリースが同日中に行われると述べました。ハードフォークはネットワークのルールを書き換え、すべてのノードが互換性のあるソフトウェアを実行する必要があるため、効化もロールバックも、調整されたクライアントリリースを通じて行われます。
ガス変更が懸念を引き起こした理由
ガスとは、イーサリアム上での計算作業に対して支払われる手数料です。Glamsterdamは、EIP-8037とEIP-8038という2つの提案を通じて、ストレージデータの作成およびアクセスに対するネットワークの課金方法を変更し、新しいステートの作成用に独立したガスプールを導入します。EIP(Ethereum Improvement Proposals)は、プロトコル変更を規定するネットワークの標準フォーマットです。
ChainSecurityの分析によると、これらの変更は、外部呼び出しが失敗した際に多くのコントラクトが依存している前提を崩します。一部のコントラクトは、ガスチェックや呼び出しのガス枯渇を利用して、攻撃者が意図的にガスを少なめに供給し、有効な操作を失敗させて恒久的な失敗として記録させる手法(insufficient gas griefingとして知られる)を防いでいます。
同社の調査によると、Glamsterdamでは失敗した呼び出しの後にガスを再補充または返還できるほか、料金の再設定により呼び出しに必要なガス量が変化する可能性があります。「コントラクトコードが変更されていなくても、以前はリバートされていた失敗パスが完了する可能性がある」と同社は書いています。
ChainSecurityはプロジェクトに対してコントラクトの確認を呼びかけ、イーサリアム財団が影響を受ける数を把握していると述べました。
Glamsterdamのメインネットへの道
Glamsterdamはすでに別のイーサリアムテストネットであるSepoliaで稼働しており、10月6日にアップグレードを有効化し、メインネットの6,000万の3倍以上となる約2億のガス上限でブロック生成を開始しました。
このアップグレードは、コンピューターがトランザクションを並列に検証できるようにするブロックレベルのアクセスリストも追加し、各ブロックを構築する者を決めるオークションをイーサリアム自身のルールに組み込みます。
開発者は、2027年に予定されネイティブのプライバシー機能を追加する可能性がある次のアップグレードHegotáに先立ち、2026年末までにGlamsterdamをメインネットへ投入することを目標としていました。
Hoodiフォークの新たな日程は未定です。今後注目すべきシグナルは、テストネットのスケジュールからアップグレードを撤回する追加のクライアントリリース、財団による影響を受けたコントラクトの集計、そして再設定される可能性のあるHoodiの有効化日です。
