画像を読み込み中LidoのエンジニアがGlamsterdamにおけるステーキング預金乗っ取りリスクを警告

Lido公式ブランドマーク（lido.fi）

Dima Gusakov氏は、提案された仕様修正が「対応予定なし」としてクローズされた後、悪意のあるノード運営者がフォーク移行中にステーカーのETHを転送先を変更できると述べている。

2026年10月20日（火）· 03:53 EDT · 読了時間3分

DeFiにおいて

シェア

イーサリアムの次期大型アップグレードはネットワークを改善するはずだ。しかしLidoのエンジニアリング責任者は、一時的にステーカーのETHを盗みやすくする可能性もあると考えている。

2026年10月20日、Lido Financeのエンジニアリング責任者であるDima Gusakov氏は、潜在的なフロントランニング攻撃を公に指摘した。このリスクは、Glamsterdamハードフォークへの移行期間中に委任型ステーキングプロトコルを標的とするものである。その時間的窓は狭いものの、リキッドステーキングを機能させる預託資産が関わる重大な問題である。

攻撃はどのように行われるのか

Glamsterdamは、0xB0プレフィックスで識別される特定の種類の出金資格情報を使用するビルダー預金を導入します。出金資格情報とは、本質的に、ステークされたETHの所有者とその最終的な送金先をネットワークに伝えるものです。

Gusakov氏の警告によると、フォーク前後ではビルダーのデポジットとバリデータのデポジットが共有のデポジットキューを通ることになる。この重複が隙を生む。適切なアクセス権を持つ悪意あるノード運営者は、ステーカー（ステーキング参加者）のバリデータ向けのETHを先取りして請求するビルダーデポジットを送信する可能性がある。

攻撃が成功した場合の結果：入金は攻撃者のビルダーアカウントに入金される。ステーカーが資金を提供していたバリデータは決して有効化されない。この脆弱性はフォーク前の段階に固有のものである。今後のイーサリアムの設計に恒久的に組み込まれた欠陥ではない。ルールが変わる瞬間に結びついたタイミングの問題である。

採用されなかった修正

この問題は、GitHubのEthereumコンセンサス仕様リポジトリでissue #5735として提起された。提案は、入金が受け入れられる前に条件を検証する方法である事前入金チェックを求めるものだった。このissueは「not planned」としてクローズされた。

毎朝、あなたが本当に必要とする暗号資産と市場のニュース。

毎日。無料。暗号資産、金融、政策分野の34,000人以上の読者に参加しましょう。

私たちはあなたのプライバシーを尊重します。いつでも配信解除できます。

したがって、プロトコルレベルのパッチは、少なくとも現時点では選択肢から外れている。Gusakovの回答は、防御策として入金前チェックを挙げており、その負担は中核仕様ではなくステーキングプロトコル自身に移ることになる。

Glamsterdamは2つの変更群を合わせた名称である。Gloasはコンセンサスレイヤーを対象とし、Amsterdamは実行レイヤーを扱う。このアップグレードは、Gusakovの警告からわずか6日後の2026年10月26日にHoodiテストネットで有効化される予定である。メインネットの日付はまだ設定されていないが、ローンチは2026年第4四半期を目標としている。

Lidoはこの映画を以前にも見たことがある

これはLidoがデポジットのフロントランニングに遭遇した初めての事例ではない。2021年に脆弱性が明らかになった後、プロトコルはデポジットを監督するためのガーディアン委員会とともにDeposit Security Moduleを構築した。

入金が実行される前に、ガーディアンのグループが不審なものが先行して紛れ込んでいないかを確認する。新たな疑問は、そのインフラと他のステーキングプロバイダーにおける同等の仕組みが、新たな0xB0ビルダー資格情報とフォーク境界における共有キューの動態を考慮に入れているかどうかである。

ステーカーとプロトコルにとってこれが意味するもの

実際のリスクは、個々のプロトコルが入金をどのように処理するかに大きく左右される。Lidoがすでに運用しているガーディアンモデルのように、入金前の堅牢な検証を行っているプロバイダーは、より有利な立場にあるように見える。同等のチェックを欠く小規模または新規のステーキングサービスは、メインネットの稼働前に迅速に対応する必要があるかもしれない。

Issue #5735の「not planned」でのクローズは、コア開発者がこの特定の防御をアプリケーション層に委ねていることを示している。つまり、責任はプロトコルレベルで処理されるのではなく、ステーキングプロバイダー間に分散されるということだ。

Hoodiテストネットの稼働は、初めての実践的な検証の場を提供する。ステーキングチームはこれを用いて、バリデータ資金を不正に取得しようとするビルダー預金を、自らの預金パイプラインが正しく検知しブロックできるかをテストできる。

開示：この記事はEstefano Gomezによって編集されました。コンテンツの作成およびレビュー方法の詳細については、編集ポリシーをご覧ください。