Midnightの未請求NIGHT割当、ガバナンスとセキュリティの火種に

MidnightのGlacier Dropは、割当発表の段階から認可の問題へと移行している。プロジェクトは適格なユーザーを特定するだけでなく、割り当てられたNIGHTが請求されないままとなった場合にどう扱うかも決定しなければならない。

この決定はガバナンス上の影響を伴う。休眠状態のトークンは投票しないが、投票力を測る際の分母を変える。未請求のNIGHTが後に流通、トレジャリー、または新たな配布プログラムに組み込まれれば、その時期と適格性のルールによって初期保有者間の集中度が変わる可能性がある。恒久的にロックされたままであれば、アクティブな参加者は追加トークンを受け取らずに、相対的に大きな影響力を得る可能性がある。

重要なのは割当の見出しよりも仕組みである。請求には通常、ウォレット署名、または請求者が適格なアカウントを管理していることを示す別の証明が必要となる。この署名は取引を承認する。しかし、それだけで署名を求めるウェブサイトが正当なものであることを証明するわけではない。フィッシングサイトは技術的には有効なウォレットの承認画面を表示しながら、ユーザーを攻撃者が管理するコントラクトやアドレスへ誘導できる。

これにより第2のリスクが生じる。公開トークン配布では、請求方法を探すユーザーが予測可能なかたちで増加する。攻撃者はMidnightのブランドを模倣し、偽の適格性確認ツールを公開したり、サポート担当者を装ったりできる。広範な権限を要求するウォレット承認画面は、ユーザーが単純なNIGHT請求以上の操作を承認している可能性があるため、特に危険である。

Midnightのプライバシー設計は、このプロセスにより高い水準を求める。同プロジェクトが掲げる目標は選択的開示であり、システムは特定の判断に必要な情報のみを開示すべきだという考え方である。したがって配布の仕組みは、適格性の検証を、本人識別情報、ウォレット履歴、秘密の認証情報といった不要な情報の露出から切り離すべきである。ゼロ知識証明はこの分離を支援できるが、悪意あるインターフェースを安全にするものではない。証明システムはある命題を立証できる一方、ユーザーが何に署名し、取引がどこへ送られるかは周辺ソフトウェアがなお決定する。

Midnightの公式資料とCardanoによる紹介では、ネットワークとトークン配布について段階的な道筋が示されている。未解決のガバナンス上の問題は、未請求の割当を失効させるのか、ロック状態のままにするのか、あるいは公開ルールと独立したレビューを伴う制約付きのプロセスを通じて再配分するのか、という点である。

この方針は、請求の殺到がピークに達する前に公表されるべきである。さもなければ、参加の裾野を広げることを意図したイベントが、不透明な投票権の集中、トレジャリー裁量、回避可能な認可失敗の要因となりかねない。