【テクニカル・上級編】 デリゲートコール(delegatecall)の危険性とストレージ衝突 – IoT・OT（制御システム） & ブロックチェーンセキュリティ防御ガイド

delegatecallの魔術：ストレージ衝突が引き起こすスマートコントラクトの静かなる崩壊

スマートコントラクトの開発において、コードの再利用性を高めるデザインパターンとして「プロキシ（Proxy）パターン」はもはやデファクトスタンダードとなっている。アップグレード可能なコントラクトを実装する際、あるいはガスの最適化のために共通ライブラリを呼び出す際、私たちは当たり前のように delegatecall を使う。

しかし、この低レイヤのオペコードを「単なる便利な関数呼び出し」程度に捉えているならば、それは致命的な認識違いだ。

delegatecall は、呼び出し先のコードを「自分の文脈（Context）」で実行する。すなわち、ストレージ、残高（Balance）、そして送信者（msg.sender）に至るまで、すべてを呼び出し元（Proxy）の環境を共有したまま、コードだけを外部から借りてくる。この挙動が意味するセキュリティ上の含意を、どれだけのテックリードが正確に理解しているだろうか。

今回は、サイバー犯罪者が好んで狙う delegatecall の最大の盲点、すなわち「ストレージ衝突（Storage Collision）」の根本原因と、それを防ぐための防衛アーキテクチャについて、EVM（Ethereum Virtual Machine）の低レイヤのメモリ挙動から徹底的に紐解いていこう。

—

1. EVMのストレージスロット構造と delegatecall のメカニズム

まず、EVMがどのようにデータをメモリ上に配置しているかをおさらいする。EVMのストレージは、256ビット（32バイト）のワードが $2^{256}$ 個並んだ巨大なキーバリューストアのような構造をしている。コントラクト内の状態変数（State Variables）は、宣言された順序に従って、スロット0から順に割り当てられる。

通常の call であれば、外部コントラクトのストレージ空間はそのコントラクト自身の文脈で独立して処理される。しかし、delegatecall の場合、「実行されるコードのロジックは外部コントラクトのものだが、書き込まれるストレージは呼び出し元（Proxy）のもの」になる。

ここに、恐るべき非対称性が生まれる。

もし、Proxyコントラクトと、ロジックを持つ Implementation（実装）コントラクトの間で、状態変数の宣言順序や型（データサイズ）が異なっていたらどうなるか？ EVMは変数名など見ていない。ただ「スロット番号」と「オフセット」だけでデータを読み書きする。この仕様のズレが、ストレージ衝突を引き起こす。

—

2. 攻撃シミュレーション：ストレージ衝突による乗っ取り

百聞は一見に如かず。実際にどのようなコードの不整合が、コントラクトの完全な乗っ取り（オーナー権限の奪取）に繋がるのかを見てみよう。

以下のコードは、よくある「アップグレード可能なプロキシ」の脆弱な実装例である。

// SPDX-License-Identifier: MIT
pragma solidity ^0.8.20;

/**
 * @notice 脆弱なプロキシコントラクト
 * スロット0に owner、スロット1に implementation のアドレスを保持する設計
 */
VulnerableProxy {
    address public owner;           // スロット 0 に配置
    address public implementation;  // スロット 1 に配置

    constructor(address _implementation) {
        owner = msg.sender;
        implementation = _implementation;
    }

    fallback() external payable {
        address impl = implementation;
        require(impl != address(0), "Implementation not set");

        // 外部ロジックを delegatecall で実行
        assembly {
            // フリーメモリポインタを取得し、calldataをコピーしてdelegatecallを実行
            calldatacopy(0, 0, calldatasize())
            let result := delegatecall(gas(), impl, 0, calldatasize(), 0, 0)
            returndatacopy(0, 0, returndatasize())
            switch result
            case 0 { revert(0, returndatasize()) }
            default { return(0, returndatasize()) }
        }
    }
}

/**
 * @notice 悪意のある、あるいはミスを含んだ実装コントラクト
 */
MaliciousImplementation {
    // 【脆弱性の原因】
    // Proxy側ではスロット0が 'owner' であるのに対し、
    // こちらではスロット0に別の変数を宣言してしまっている。
    address public maliciousVar;    // スロット 0 に配置されてしまう！
    address public owner;           // スロット 1 に配置されてしまう！

    function changeOwner(address newOwner) public {
        // ここでスロット1（MaliciousImplementationの視点でのowner）を書き換えるつもりが、
        // Proxyの視点では「スロット1 = implementation」を書き換えてしまう！
        owner = newOwner; 
    }
}

何が起きているのか？

1. VulnerableProxy では、スロット0に owner、スロット1に implementation が割り当てられている。
2. ユーザーが MaliciousImplementation の changeOwner 関数を delegatecall 経由で呼び出す。
3. MaliciousImplementation のコード内では、owner 変数は宣言順序からスロット1にマッピングされている。
4. しかし、このコードが実行されているのは VulnerableProxy の文脈である。VulnerableProxy のスロット1にあるのは何だったか？ そう、implementation（実装コントラクトのアドレス）だ。
5. 結果として、changeOwner を実行すると、オーナーが変わるどころか、プロキシが参照する実装コントラクトのアドレスそのものが攻撃者の指定したアドレスに書き換わる。

攻撃者はこれにより、プロキシの背後にあるロジックを完全に掌握し、任意の悪意あるコードを自由自在に実行できる状態を作り出すことができる。これがストレージ衝突の恐怖である。

—

3. セキュリティアーキテクトのための防衛策

このような脆弱性を実務の現場で完全に排除するためには、単なるコードレビューに頼るのではなく、アーキテクチャレベルでの厳格な設計が必要となる。

① 命名規則と宣言順序の厳格な同期（非推奨：ヒューマンエラーの温床）

実装コントラクト側で状態変数を追加・変更する場合、プロキシ側と全く同じ順序、同じ型で変数を定義しなければならない。しかし、開発チームの規模が大きくなったり、長期的な保守フェーズに入ったりすると、この整合性を人間が維持するのは不可能に近い。したがって、このアプローチはセキュリティ監査の観点から推奨しない。

② 非構造化プロキシパターン（Unstructured Storage / EIP-1967）

現在、モダンなスマートコントラクト開発においてデファクトとなっているのが、EIP-1967で定義された「非構造化プロキシパターン」である。これは、ストレージのスロット衝突を物理的に回避するため、特定の疑似ランダムなスロットに重要な変数を強制的に配置する手法だ。

Solidityでは、以下のように特定のスロットをハードコーディング（またはハッシュ計算による一意なスロット指定）することで、実装コントラクトの変数宣言順序の影響を完全に排除できる。

// SPDX-License-Identifier: MIT
pragma solidity ^0.8.20;

/**
 * @notice EIP-1967準拠の安全なプロキシ設計の概念
 */
SafeProxy {
    // keccak256("eip1967.proxy.implementation") - 1 から導出されるスロット
    // bytes32(uint256(keccak256('eip1967.proxy.implementation')) - 1)
    bytes32 internal constant IMPLEMENTATION_SLOT = 
        0x360894a13ba1a3210667c828492db98dca3e2076cc3735a920a3ca505d382bbc;

    // keccak256("eip1967.proxy.admin") - 1 から導出されるスロット
    bytes32 internal constant ADMIN_SLOT = 
        0xb531273a450c31f7037e15a12c1d15111273f27f5b33b88d8b9384f1863a0f51;

    function _getImplementation() internal view returns (address impl) {
        bytes32 slot = IMPLEMENTATION_SLOT;
        assembly {
            impl := sload(slot)
        }
    }

    function _setImplementation(address newImplementation) internal {
        bytes32 slot = IMPLEMENTATION_SLOT;
        assembly {
            sato(slot, newImplementation) // 実際には sstore を使用
        }
    }
}

このように、プロキシ自身が管理すべきメタデータ（実装アドレスや管理者アドレス）を通常の順次割り当てスロットではなく、衝突確率がゼロに近い遠隔のスロットに隔離することで、実装コントラクト側がどんな変数を定義しようとも、プロキシのコアロジックが破壊されるリスクを防ぐことができる。

③ ライブラリ利用時の注意点：library キーワードの活用

コントラクトのコード再利用において、状態を持たない純粋なロジックであれば、contract ではなく library キーワードを使用すべきである。

Solidityの library は、デプロイされるとデフォルトで DELEGATECALL を利用して呼び出されるようにコンパイルされるが、コンパイラ自体が「ライブラリは状態変数を持てない（正確にはストレージレイアウトを持たない）」という制約を強制する。これにより、意図しないストレージの書き換えをコンパイル段階でブロックすることが可能になる。

—

4. チーフホワイトハッカーの視点：監査と静的解析の限界

最後に、セキュリティリサーチャーとしての警鐘を鳴らしておきたい。

現代の静的解析ツール（SlitherやMythrilなど）やAIを活用した脆弱性スキャナーは、単純なストレージ衝突のパターンを検知する能力を高めている。しかし、複雑なマルチレイヤーのプロキシ構造や、アップグレード後に動的に生成されるストレージレイアウトの不整合、さらにはプロキシの初期化関数（Initializer）の二重実行問題（Initialization Front-running）などは、機械的なスキャンだけでは見抜けないことが多い。

本番環境へのデプロイ前には、必ず以下の監査プロセスを踏むべきだ：

1. ストレージレイアウトのJSON比較: forge inspect Contract storage-layout などのツールを使用し、アップグレード前後のストレージスロットの変化をバイナリレベルで検証する。
2. ファジングテスト（Fuzz Testing）の導入: Foundry等を用いたインバリアントテスト（不変条件テスト）により、予期せぬ入力値や順序で状態変数が破壊されないかを徹底的にファジングする。

delegatecall は諸刃の剣である。その強力な柔軟性の裏側にあるEVMのメモリ管理の仕組みを深く理解し、泥臭くストレージスロットを管理する者だけが、Web3の荒波の中でスマートコントラクトの安全性を守り抜くことができる。

スポンサーリンク

コメント

タイトルとURLをコピーしました