サプライチェーン

物流サプライチェーン RWA プラットフォーム CARFI は、BVI 会社 Apex Logistics Technology Co., Ltd. が正式に発行した債券トークン化製品 CFUSD を発表し、CARFI が発行サービスを提供します。このプロジェクトはバイナンスチェーン（BNB Chain）に展開されています。CFUSD の基礎資産には、物流売掛金、貿易金融資産、サプライチェーン金融ローン、その他の売掛金および審査済みの短期固定収益資産が含まれ、安定したキャッシュフローが支えています。

7月1日、WEEX TradFiのデータによると、最近の米国株のテクノロジーセクターはパフォーマンスが分化しており、資金は実際の実現期待があるPhysical AI、ロボットおよび関連サプライチェーンの方向に引き続き注目しています。その中で、AMDは24時間で約7.7%上昇し、Symbotic（SYM）は6.6%以上上昇、Texas Instruments（TXN）は約4.4%上昇、NVIDIA（NVDA）は約2.6%上昇、Tesla（TSLA）は約2.1%上昇、Analog Devices（ADI）は約1.4%上昇しました。WEEX Labsは、市場の資金が単一の計算能力の物語から、実現期待のあるPhysical AIサプライチェーンの核心部分に拡散していると考えています。これには、テスラのOptimus生産ラインの改造や、NVIDIAのPhysical AI Dayなどのイベントがソフトウェアとハードウェアの協調期待を強化し、関連セクターへの関心が高まっています。

ブルーウェーブテクノロジーの報道によると、中興通訊とバイトダンスが共同で推進している新世代豆包AIスマートフォンは、登録認証プロセスの問題により、当初予定されていた第2四半期の発売が遅れる可能性があります。関係者によると、このスマートフォンはネット情報局の大規模モデルの登録と工業情報部のネット接続認証の両方を通過する必要があり、現在製品は2回目の登録申請の状態にあります。承認が順調に進めば、新機種は早ければ今年の7月から8月に登場する予定です。サプライチェーンに関しては、新世代豆包スマートフォンのスクリーン供給業者が深天馬から京東方に変更され、バッテリーはデサイバッテリーとATLセルを採用し、福日電子傘下の中诺通信が製造を担当しています。さらに、報道によれば、この製品は主に大規模モデルを深く埋め込んだオペレーティングシステムの基盤技術ルートを採用していますが、システムレベルのエージェントによるアプリケーション間の呼び出しを実現する際には、現在、テンセントやアリババなどの主要プラットフォームが関連データ権限を開放していないエコシステムの壁に直面しています。

慢雾は発表し、140以上のMastra関連のnpmソフトウェアパッケージがサプライチェーン攻撃を受け、影響を受けたバージョンは悪意のある依存関係easy-day-js@1.11.22を導入し、インストール段階で攻撃者が制御するコードの実行を引き起こすことを示しています。

白毛株神が発表したところによると、NVIDIAとGoogleは800V直流（DC）電源アーキテクチャの早期適用を進めており、関連する小規模出荷が2026年第三四半期に開始される見込みです。この技術は、NVIDIAのVera RubinプラットフォームおよびGoogleの次世代AIデータセンターに最初に適用されるとのことです。このプロセスの加速により、パワー半導体およびデータセンターインフラストラクチャ部門は大きな牽引を受けることが期待されています。現在、核心的な受益者と見なされているサプライチェーン企業には、デルタ電子（2308）、Vertiv（VRT）、松川精密（7788）、およびシュナイダーエレクトリック、イートン、シーメンスなどが含まれます。

慢雾の監視によると、IronWormという名前の新型Rustサプライチェーンマルウェア活動が、悪意のあるnpmパッケージを通じて開発者環境とWeb3エコシステムを攻撃しています。潜在的な攻撃行為には、認証情報の窃取、ウォレットのニーモニックとパスワードの盗取、GitHubリポジトリの改ざん、悪意のあるパッケージの公開、CI/CDの機密漏洩、Torベースのコマンドコントロール、eBPFルートキットの隠蔽が含まれます。セキュリティチームは、リポジトリ内のリバートコミット、疑わしいブランチ、予期しないビルドフック、およびclaude、dependabot、renovate、またはgithub-actionsなどの自動化されたアイデンティティによるコミットを監査するべきです。影響を受けたパッケージのバージョンを削除または廃止し、クリーンなバージョンを公開し、漏洩したすべてのキーとトークンをローテーションし、GitHub Actionsのコンポーネントをレビューし、クリーンなイメージから損傷を受けた可能性のある開発またはCIシステムを再構築することをお勧めします。

慢雾 SlowMist は安全警報を発表し、@redhat-cloud-services に関連するソフトウェアパッケージをターゲットとした活発な npm サプライチェーン攻撃を検出しました。現在、31以上のパッケージが影響を受けていることが確認されており、週のダウンロード数は約 116,000 回、300 以上の GitHub リポジトリに盗まれた認証情報が存在します。この攻撃手法は以前の "Shai-Hulud" npm 攻撃と非常に類似しており、認証情報の窃取、悪意のあるリポジトリの作成、自動化された秘密の漏洩が含まれます。現在も新たな疑わしいリポジトリが継続的に出現しており、攻撃が続いていることを示しています。開発者は引き続き感染しています。潜在的な危害には、GitHub/npm トークンの盗難、AWS/GCP/Azure クラウド認証情報の漏洩、SSH キーと Kubernetes 秘密の収集、ローカル環境およびウォレットデータの漏洩、悪意のあるリポジトリの作成および持続的な操作、さらにはトークンが取り消された後に破壊的な行動を引き起こす可能性があります。影響を受けた @redhat-cloud-services パッケージのバージョンを直ちに削除またはダウングレードし、CI/CD ワークフローと依存関係のインストールを全面的に監査し、すべての GitHub、npm、クラウドサービス、SSH およびウォレット関連のキーをローテーションし、ログを保持し、クリーンなイメージから露出した開発者マシンまたは Runner を再構築し、常に高い警戒を維持することをお勧めします。

慢雾の発表によると、安全機関MistEyeは、npm、PyPI、crates.ioに悪意のあるパッケージを公開することで、暗号通貨、DeFi、Solana、Sui/MoveおよびAI分野の開発者を標的としたクロスレジストリサプライチェーン攻撃事件を検出しました。この攻撃活動には、34以上の悪意のあるパッケージと384以上の関連バージョンが含まれています。攻撃者は暗号通貨ウォレット、SSHキー、クラウド認証情報、GitHub/AWSトークン、ブラウザデータ、環境変数および開発者の機密情報を盗む可能性があります。一部の悪意のあるペイロードは、.cursorrules、CLAUDE.md、Gitフック、シェルフック、cron、systemdおよびSSHを通じて持続的な駐留を試みています。開発者には、影響を受けたパッケージを直ちに削除し、影響を受けたシステムを隔離し、ログを保持し、露出した認証情報をローテーションし、クリーンなイメージからCI実行環境と開発者マシンを再構築し、GitHub、クラウドサービス、SSHおよびウォレットの活動記録を確認することをお勧めします。

慢雾が発表した脅威情報によると、最近複数の高頻度npmパッケージ、AntVやEcharts-for-react、Python SDKのdurabletaskがMini Shai-Hulud「ミニ沙虫」サプライチェーン攻撃を受けました。npmアカウントatoolが侵害され、攻撃者は22分以内に637の悪意のあるバージョンを自動的に公開し、317のパッケージに関与しました。攻撃者は35分以内にdurabletaskの1.4.1、1.4.2、1.4.3バージョンを連続してアップロードし、正常なリリース管理を回避してMicrosoftの公式リリースを偽装しました。GitHubトークンの大規模漏洩事件とGrafana Labsのランサムウェア攻撃は、このサプライチェーン攻撃と関連している可能性が高いです。影響を受けたコンポーネントには、npmエコシステム内のAntV、Echarts-for-reactなどの高頻度コンポーネント、及びPythonパッケージのdurabletask 1.4.1、1.4.2、1.4.3が含まれます。攻撃者はクラウドおよびローカルの認証情報を盗み、内部リポジトリや敏感なクラウドインフラに無許可でアクセスし、開発者のマシンやCI/CDパイプラインに横移動し、漏洩したGitHubトークンを販売・利用し、ランサムウェアやデータ漏洩の脅威を実施することができます。慢雾は、すべての露出した認証情報を直ちにローテーションし、影響を受けたパッケージを置き換え、感染の可能性があるシステムを隔離し、厳格な依存関係のレビュー政策を実施することを推奨しています。以前の報道によれば、「ミニ沙虫」ワームは最近オープンソースコードリポジトリで大規模感染を完了しており、開発者は注意して調査する必要があります。

財聯社の報道によると、OpenAIは最近発生した人気のオープンソースライブラリTanStackに対する「Mini Shai-Hulud」サプライチェーン攻撃事件について声明を発表しました。多くの一般的なnpmソフトウェアパッケージに対する悪意のある攻撃を監視した後、セキュリティチームは内部システムを迅速に調査し、現在のところユーザーデータが漏洩したり不正アクセスされた証拠は見つかっていません。OpenAIは、コアサービスが直接的な損害を受けていないものの、ローカル環境の安全を確保するために、公式アプリケーションを使用しているmacOSユーザーは2026年6月12日までにソフトウェアの更新を完了する必要があると指摘しています。

Axiosの報道によると、ホワイトハウスは連邦機関がAnthropicのサプライチェーンリスクの認定を回避し、最新のモデルMythosを導入できるようにするガイドラインを策定しています。関係者によれば、ホワイトハウスのこの動きはAnthropicを体面よく呼び戻すことを意図しているとのことです。今月初め、ホワイトハウスの首席補佐官Susie Wilesと財務長官BessentはAnthropicのCEO Dario Amodeiと会談しました。以前、ペンタゴンはAnthropicをサプライチェーンリスクとして挙げていましたが、その理由はAnthropicがペンタゴンがそのモデルClaudeをすべての合法的な用途に使用することを許可する契約に署名することを拒否し、大規模な国内監視や完全自律武器の開発に使用することを禁止することに固執したためです。現在、複数の連邦機関がMythosへのアクセス権を求めており、このモデルは自動化されたネットワーク攻撃の強力な能力を示す一方で、防御ツールとしても機能します。ホワイトハウスは、政策の発表は大統領から直接行われると述べており、それ以外は推測に過ぎないとしています。

SlowMist CISO 23pds が発表しました。パスワード管理ツール Bitwarden CLI バージョン 2026.4.0 が、米東部時間の 17:57 から 19:30 の間に Checkmarx のサプライチェーン攻撃を受け、攻撃者は Bitwarden CI/CD パイプライン内の GitHub Action を悪用して、悪意のあるパッケージを一時的に npm 経由で配布しました。公式に確認されたところによると、Vault データは漏洩しておらず、製品システムには影響がありませんでした。影響を受けたのは、その時間帯に npm からこのバージョンをインストールしたユーザーのみです。公式は、影響を受けたユーザーに対し、2026.4.0 を直ちにアンインストールし、npm キャッシュをクリアし、API トークンや SSH キーなどの機密資格情報をローテーションし、GitHub と CI の異常な活動を調査し、修正バージョン 2026.4.1 にアップグレードすることを推奨しています。

CertiKの上級ブロックチェーン調査員であるNatalie Newsonによると、リアルタイムの深層偽造、フィッシング、サプライチェーン攻撃、クロスチェーンの脆弱性が暗号ハッカー攻撃の主要な根源になるとのことです。これまでに業界はハッカー攻撃によって6億ドル以上の損失を被っており、その中には発生したKelp DAOの2.93億ドルの脆弱性事件やDrift Protocolの2.8億ドルの盗難事件が含まれています。この2つの事件はいずれも北朝鮮のハッカー組織に関連しています。Newsonは、AIの急速な発展が攻撃手段をより複雑にし、よりリアルな深層偽造、自律攻撃エージェント、スマートコントラクトの脆弱性を自動的にスキャンできる「エージェントAI」を含むと警告していますが、AIは同時に防御ツールとしても機能する可能性があります。CertiKは投資家に対し、URLの真偽を確認し、リスクを低減するためにコールドウォレットを使用して資産を保管することを推奨しています。