サプライチェーンリスク

GCSA の監視によると、グローバルサイバーセキュリティアライアンス（GCSA）は、最近のデジタル資産のセキュリティリスクを明らかにする三つの独立した技術調査報告書を発表しました。攻撃者は security@ku.com の身分を偽ってユーザーにリモートコントロールプログラムをダウンロードさせました。GCSA は関連ドメインが以前に DMARC を設定していなかったことを発見しました；通報後、KuCoin は修正を完了し、DMARC 隔離ポリシーを有効にしました。Bitkub の公式文書で引用された MCP ツールキットのオリジナル版が下架された後、第三者が npm パッケージ名を再登録しました。固定バージョンのインストール方法および平文キーのリスクは、資格情報の漏洩を引き起こす可能性がありますが、現在のところ実際の窃盗証拠はありません。Bitkub はまだ通報に対して返信していません。Avalanche エコシステム内の TranchePool 金庫は、跨日決済ロジックの欠陥により攻撃を受け、攻撃者はフラッシュローンと繰り返し引き出しを利用して、202 秒以内に約 101.34 万枚の USDC を転出しました。この事件は上層アプリケーションの脆弱性に属し、基盤ネットワークには影響がありません。GCSA は関連プラットフォームに手がかりを通報し、業界の参考のために原始的な分析と証拠を公開したと述べています。

暗号分析家 Darkfost は、Ledger のディーラー CryptoBilis がセキュリティ事件に遭遇した後、コミュニティの議論の中で他の関連するディーラー名が出てきたことを発表しました。これには一部の Lazada の商人も含まれています。Darkfost は、現在の事件の影響範囲は完全には確認できていないと述べています。Ledger は CryptoBilis の事件との関連を確認しましたが、CryptoBilis が唯一の影響を受けたディーラーであるかどうかはまだ不明です。彼は、リスクが存在する可能性のある Ledger ディーラーのリストを整理し、これらのディーラーは地域が近いため、サプライチェーンが同時に破壊される可能性があると述べています。ただし、Darkfost は、上記の判断はあくまで推測であり、現在は確認されていないと強調しています。Darkfost は、もしユーザーが過去 6 ヶ月以内に関連するディーラーから Ledger デバイスを購入していた場合、事件の調査が終了するまでに資産を他の安全なデバイスに移すことを検討するよう提案しています。また、ユーザーは安全研究者 MagicalTux が発表したガイドを参考にして、自分で Ledger デバイスに改ざんの兆候がないか確認することもできると述べています。

Axiosの報道によると、ホワイトハウスは連邦機関がAnthropicのサプライチェーンリスクの認定を回避し、最新のモデルMythosを導入できるようにするガイドラインを策定しています。関係者によれば、ホワイトハウスのこの動きはAnthropicを体面よく呼び戻すことを意図しているとのことです。今月初め、ホワイトハウスの首席補佐官Susie Wilesと財務長官BessentはAnthropicのCEO Dario Amodeiと会談しました。以前、ペンタゴンはAnthropicをサプライチェーンリスクとして挙げていましたが、その理由はAnthropicがペンタゴンがそのモデルClaudeをすべての合法的な用途に使用することを許可する契約に署名することを拒否し、大規模な国内監視や完全自律武器の開発に使用することを禁止することに固執したためです。現在、複数の連邦機関がMythosへのアクセス権を求めており、このモデルは自動化されたネットワーク攻撃の強力な能力を示す一方で、防御ツールとしても機能します。ホワイトハウスは、政策の発表は大統領から直接行われると述べており、それ以外は推測に過ぎないとしています。