パナマシティ、2026年9月2日 — Web3ゲームスタジオであり、検証可能な公平性のインフラ企業でもあるHashCowは、SolidProofによる6つすべての契約を対象とした2回目のスマートコントラクト監査ラウンドを完了したと発表した。2回分の監査結果は、未解決の25件の指摘を含め、公開プロジェクトページ上で全文公開されている。

未解決の指摘まで公開するのは異例であり、その判断には数字がある。2025年1月から2026年7月の間に被害を受けた暗号資産プラットフォームの約60%は、すでに独立したセキュリティ監査を完了していた。CoinGeckoの『2026 State of Crypto Security Report』によれば、これは245件中147件にあたり、監査済みプラットフォームが同期間の363億ドルの流出額の88.44%を占めていた。

同レポートはその理由も説明しているが、監査人の能力不足が原因だというわけではない。事故の約11% בלבדが、従来の監査範囲内の不具合に関係していた。残りは、監査が想定していなかった経路から侵入した。つまり、監査品質とは別の問題が残る。ランディングページ上の監査バッジはレビューが行われたことを示すだけで、何がレビューされ、レビュー担当者が何を見つけ、何がまだ未解決なのかは示さない。

報告書が実際に示していること

2回目のラウンド終了時点で、報告書にはCritical、High、Mediumいずれの重大度の指摘も記録されていない。25件の指摘は未解決のままだ。すべてLow severityまたはInformationalであり、要約に埋もれさせるのではなく、公開報告書上で現在の状態とともに確認できる。

スコープの定義も同様だ。監査は、移動するブランチではなくHashCowの公開リポジトリ内の特定のコミットに固定されており、読者は監査人が実際に読んだのと同じソースをビルドできる。契約はSolidity 0.8.34で記述され、OpenZeppelin 5.0.2を使用し、proxyもupgrade pathもない。

この最後の点が、未解決の指摘をなぜ公開するのかという問いに対して同社が挙げる理由である。

私たちの契約はアップグレードできないため、誰でも読めるコードに恒久的にコミットしています。監査そのものではなく監査の要約を信頼しなければならないのであれば、私たちは実際には何も提供していないのです。未解決の指摘を公開することで、よりきれいな見出しは失いますが、確認できる読者を得られます。

— Mark Lee, Founder and CEO, HashCow

テスト結果も公開

HashCowは監査に加えて、自社のテスト結果も公開している。内容は、694件のテストアサーション、High severityを含まない105件の静的解析結果のトリアージ、そして49件中49件のmutation testの検出成功だ。

3つ目の数字は業界でも珍しく、最も示唆に富む。mutation testingは、契約内の各保護チェックを1つずつ削除してテスト群を再実行する。ガードを外してもなおテストが通るなら、そのテストはそもそもそのガードを検証していなかった、という考え方に基づく。HashCow自身のリポジトリでは、この方法で誤った理由で通っていた2件のアサーションが見つかり、書き直された。

エンジンが証明すること、証明しないこと

監査対象の契約は、HashCowの公平性エンジンであるVegasLedgerの下に置かれている。乱数生成器がゲーム結果を生成し、verifiable random functionが結果が改変されていないことを示す暗号学的証明を生成する。結果はBNB Chain上に固定されたMerkle rootにハッシュ化されるため、セッション終了後に各個別結果をそのアンカーと照合できる。このエンジンは、外部スタジオ向けに単体製品としてライセンス提供可能だ。

HashCowは、この限界についても明確に説明している。アンカーは、記録が書き込まれた後に変更されていないことを示す。しかし、アンカーされた記録の集合が完全であることまでは示さず、プレイヤーがどのようにプレイしたかについては一切何も示さない。これらの限界は、読者が自ら見つけるのではなく、同社のドキュメントに明記されている。

プロジェクトの現状

SolidProofによるTeam KYCはTier Goldで完了している。HCOWはBNB Chain上のBEP-20トークンで、固定供給量は200,000,000、契約にmint機能はない。トークンはまだ発行されておらず、いかなる取引所にも上場していない。mainnetへの展開は保留中だ。

これらはどれもプロジェクトの安全性を保証するものではなく、HashCowもそのようには主張していない。CoinGeckoの数値は、損失の大半が監査範囲外の経路から発生していることを示す。全文公開の効果はより限定的で実用的だ。それは、読者がプロジェクトを信頼するかどうかという問いから、読者がプロジェクトを検証できるかどうかという問いへと移すことである。これこそが、攻撃に直面しても残る唯一の問いの形だ。

HashCowについて

HashCowは、Web3ゲームスタジオであり、検証可能な公平性のインフラ企業だ。同社はゲームとその基盤となる公平性エンジンを開発し、そのエンジンを外部スタジオにライセンス提供している。HashCowは、パナマでPublic Registry Folio No. 155787645の下に登録されたsociedad anonimaであるHASHCOW LABS INC.によって運営されている。

リンク

監査報告書:

ウェブサイト:

ドキュメント:

X: https://x.com/HCOW_Official

Telegram: https://t.me/HASHCOWOfficial

メディア連絡先: work@hash-cow.io

冒頭段落の数値の出典: CoinGecko, 2026 State of Crypto Security Report（245 incidents, January 2025 to July 2026）。

これは有価証券の売却の申し出ではなく、価格や収益について何らの表明も行うものではありません。