セキュリティホール

MetaのAI製品Museにセキュリティの脆弱性があることが報告され、ユーザーデータと仮想環境の安全が脅かされる可能性があります。会社はリスク警告を強化する計画です。

NFT市場Magic Edenにおいて、NFTのセキュリティ脆弱性が疑われ、ホワイトハッカーが数百のウォレットから3832枚のNFTを移転しました。Yuga Labsのブロックチェーン副社長Quitは、この移転はホワイトハットの行動であり、関連するNFTは現在「0x71cF」で始まるアドレスに保管されており、資産は安全な状態にあると述べました。リスクが解除され次第、全て返還される予定です。

慢雾セキュリティチームの発表によると、BonfireSwapルーターコントラクトはtransfer関数にアクセス制御の欠如があり、約5万ドルの損失を引き起こしました。この関数は、呼び出し元がfromアドレスであるかどうかを検証せず、呼び出し元がfromアドレスの資産に対する承認を確認していませんでした。そのため、攻撃者は事前に承認されたルーターのユーザーをfromアドレスとして設定し、自身をtoアドレスとして設定することで、被害者のTOKENを転送し、同じトークンプールで交換することができました。慢雾によると、合計41名のTOKEN保有者がこのルーターに承認を与えており、脆弱性のあるコントラクトアドレスは0x17e801e17cefc6334059189c178d4783830e03d3です。

Cosmos Labsは技術報告を発表し、以前にCosmos EVMの整数アンダーフローの脆弱性を誤って判断したことを認め、8月20日から25日の間に6つのブロックチェーンネットワークが攻撃を受け、盗まれたトークンの合計は約570万ドルに達した。攻撃者はこの脆弱性を利用してアカウントの残高を2^256-1の最大値までアンダーフローさせ、逆操作で膨張した残高を転送し、ターゲットアカウントのトークンを盗み出した。この過程で新たにトークンが発行されることはなかった。報告書によると、研究者は4月25日にバグバウンティプログラムを通じてこの欠陥を提出したが、テスターは既存のCosmosチェーンの構成上で再現できなかったため、Cosmos Labsは5月にサイレントパッチ方式で修正を行った。独立した研究者が8月初旬に脆弱性がすべてのCosmos EVMチェーンに影響を及ぼすことを確認した後、Cosmos Labsは8月19日にパッチをリリースしたが、最初の攻撃は約20時間後に発生した。具体的な損失については、MANTRAが7.209億枚のトークン（約360万ドル）を失い、TACが近く30億枚のTACを失い、KiiChainが約1.48億枚のKIIを失った。MANTRAとKiiChainは、Cosmos Labsが影響を受けたチェーンに事前に通知せず、停止を提案しなかったことを批判しており、KiiChainはパッチの展開に数日かかる一方で、停止には数分しかかからないと述べた。Cosmos Labsは40のチェーンと調整して対応し、13のチェーンが攻撃を受ける前に修正または停止を完了するのを支援したと述べている。

Cointelegraphは、Aviciが50.0859万ドルのカード残高の脆弱性の影響を受けた1685名のユーザーに全額返金することを発表したと報じています。

The Sandboxは、SANDのクロスチェーンブリッジがセキュリティ脆弱性攻撃を受けた事件の更新を発表しました。攻撃者は検証メカニズムを変更し、クロスチェーンの入金メッセージを偽造して裏付けのないSANDを鋳造しました。この事件により、約1474.23万枚のSANDが引き出され、約69.7万ドルの価値が失われました。また、一部の無担保SANDは市場取引で利益を上げ、全体の経済的影響は約149.7万ドルに達し、そのうち攻撃者が実際に得た金額は約98.7万ドルです。The Sandboxは、攻撃がイーサリアムおよびPolygon上のSAND供給に影響を与えなかったと述べています。イーサリアムのSAND総量は30億枚のままであり、スーパー管理者権限も盗まれていません。攻撃はトークン契約内の一般的な呼び出し機能とブリッジ権限設計の組み合わせによる脆弱性から発生しました。現在、関連アドレスはマークされており、取引所、安全機関、LayerZeroチームと協力しています。影響を受けたユーザーに対して、The Sandboxは攻撃前のチェーン上のスナップショットに基づき、合法的なブリッジSANDを保有するウォレットに対して1:1の比率でイーサリアムチェーン上のSANDを補償することを約束しました。補償申請プロセスは、2週間以内にオープンし、2週間続く予定です。

Core Lightningのメンテナーはノードオペレーターに通知し、未発表のバージョンにアップグレードしない限り、ノードをシャットダウンするように求めています。この警告はDiscordを通じて広まり、Cashuプロトコルの開発者Calleによって強調され、深刻な脆弱性が存在するとされています。修正バイナリはまだリリースされておらず、脆弱性の詳細は2週間の秘密保持期間にあります。これは4週間内におけるビットコインインフラストラクチャの4回目のセキュリティ警報です。以前のColdcardファームウェアの脆弱性により、約1.14億ドルのBTCが盗まれ、BoltzとBTCPay Serverにも問題が発生しました。CLNチームは過去10日間に複数のAI生成のCVEレポートを受け取り、検証と修正を急いでいると述べています。

BubblemapsはXプラットフォームで発表し、攻撃者がCosmos EVM共有モジュールの脆弱性を利用して5000万ドル相当のNESトークンを盗んだが、最終的には約6万ドルの利益しか得られなかったと述べています。以前、Cosmos Labsはその共有Cosmos EVMソフトウェアにセキュリティの脆弱性があることを報告しており、Nesaを含むこのモジュールに基づいて構築された複数のチェーンが影響を受けています。報告によると、主要な攻撃者である0x9AE7で始まるアドレスは、以前に25万ドルを費やしてNESを購入し、Nesa Chainにクロスチェーンした後、この脆弱性を利用してアカウント残高を200倍に膨らませ、5000万ドルのNESをイーサリアムにクロスチェーンで転送しました。このウォレットの初期資金はモネロから来ています。攻撃者はその後、トークンを複数のウォレットアドレスに分散させ、DEXでNESをETHに交換し、得た利益を中央集権取引所に預けました。流動性プールの資金が迅速に引き出されたため、攻撃者の大部分の交換取引は深刻なスリッページに直面し、実際には25.5万ドルを費やして攻撃を開始し、現金化したのは31.5万ドルで、純利益は約6万ドルでした。Bubblemapsは、別のCosmos EVMチェーンが前日に140万ドルの類似の攻撃を受けたにもかかわらず、資金の出所と操作手法の違いから、2件の事件は異なる攻撃者によるものである可能性があると判断しています。報告では、NESトークンの価格が一時90%暴落した後、大幅に回復したことが述べられており、チームは回復の主な原因は攻撃後のDEXとCEXの価格の不一致によるアービトラージ行為であると考えています。

Decred 公式 X アカウント (@decredproject) がセキュリティ通知を発表しました。Decred (DCR) ネットワークでセキュリティの脆弱性が発見され、パッチ修正はアメリカ東部時間の 8 月 18 日午前にリリースされる予定です。セキュリティ上の理由から、公式はユーザーに対し、アップグレードが完了するまで投票とマイニングの操作を一時停止することを推奨しています。パッチがリリースされた後、公式 X アカウントで最初にお知らせします。

SafePalは、その注文追跡プラグインにセキュリティの脆弱性が存在し、一部の顧客情報が未承認でアクセスされたことを示しています。今回の事件は約39,798名のユーザーに関与しており、影響を受けたユーザーは2025年3月2日から2026年4月11日までの間に注文を行った顧客です。漏洩した情報には名前、メールアドレス、配送先住所、電話番号、購入詳細が含まれますが、リカバリーフレーズ、秘密鍵、ウォレットパスワード、銀行カード情報、または政府発行の身分証明書番号は含まれていません。SafePalは、現在関連する脆弱性が修正され、影響を受けたユーザーに個別に通知されたと述べています。また、公式に確認ページが立ち上げられ、ユーザーは注文番号と配送国を通じて自分が影響を受けているかどうかを確認できます。

CascadeはXプラットフォームで発表し、以前にCLS資金が引き抜かれた事件が解決されたことを明らかにしました。関係者は盗まれた全ての資金を返還することに協力しました。CLSに資金を保有している全てのユーザーは、2025年7月15日21:08:00 UTCの価値に基づいて100%全額補償を受けることができます。請求機能は今後数日以内に開放される予定です。ChainCatcher 以前の報道によると、多資産永続契約プラットフォームCascadeのDiscord管理者MAXはチャンネル内で、Cascade CLS金庫がセキュリティの脆弱性に遭遇し、約130万ドルの資金損失が発生した疑いがあると述べました。現在、プラットフォームは全ての取引と引き出しを停止しており、SEAL 911およびその他の第三者セキュリティチームに調査と処理を依頼しています。

多資産永続契約プラットフォーム Cascade の Discord 管理者 MAX は、チャンネル内で Cascade CLS 金庫がセキュリティの脆弱性に遭遇し、約 130 万ドルの資金損失が発生した可能性があると述べました。現在、プラットフォームはすべての取引と出金を一時停止しており、SEAL 911 およびその他の第三者セキュリティチームに調査と処理を依頼しています。Cascade は Arbitrum USDC または銀行口座を通じて入金をサポートしており、現在は招待制のプライベートテスト段階にあります。

ZetaChainは、AI向けのプライベートメモリレイヤーへの転換に伴い、旧来のクロスチェーンインフラを段階的に閉鎖し、Anumaやユーザー自身のメモリ、アイデンティティ、権限、支払い、代理などの新しい方向に焦点を当てることを発表しました。計画に基づき、ZetaChainは2026年6月1日にプラットフォームのチャージを閉鎖し、最終的な引き出しウィンドウを開放しました。それ以前に、ZetaChainは4月27日に攻撃者によってクロスチェーンメッセージシステムの脆弱性を利用され、3つの内部チームのウォレットから333,868ドルを盗まれました。

慢雾の最高情報セキュリティ責任者 23pds が X プラットフォームで発表したところによると、curl は最近 18 のセキュリティ脆弱性を修正し、認証バイパス、メモリセキュリティ、ホスト検証などの問題が含まれています。その中の 1 つの libcurl の脆弱性は約 25 年間存在していました。リスクは curl コマンドラインに限らず、libcurl に依存するアプリケーション、SDK、コンテナ、ファームウェア、ゲートウェイ、CI/CD 環境にも広く影響を及ぼします。curl/libcurl を早急にアップグレードし、特に mTLS、プロキシ認証、接続再利用のシナリオにおいて古いバージョンの libcurl を使用していないか確認することをお勧めします。

DeFi貸出プロトコルIonic ProtocolはXプラットフォームで発表し、2025年に発生したセキュリティ脆弱性の影響が拡大しているため、プロジェクトはすべての運営を直ちに停止せざるを得なくなり、すべてのユーザーはできるだけ早く各デプロイから資産を撤回する必要があると述べました。Ionic Protocolは、この閉鎖の決定は「選択肢がなかった」と補足し、現在関連サービスは終了プロセスに入っています。

ZEC 財庫会社 Cypherpunkは X プラットフォームで ZEC トークン市場の変動に応じて発表し、すべてのソフトウェアには脆弱性が存在すると述べ、歴史的にビットコインは誤って「多くの」1,840 億 BTC を鋳造したことがあると指摘しました。しかし、これはブロックチェーン技術を放棄すべきだということではなく、形式的検証と証明可能な正確性を通じて安全性を強化すべきだとしています。Cypherpunkは、AI 技術の発展に伴い、脆弱性検出がより迅速かつ広範囲に行われるようになると強調しましたが、重要なのは悪意のある行為者よりも早く問題を発見できる人が誰であるかです。Zcashは、今後発表される更新を通じてこの能力を示すことができます。以前の報道によると、プライバシーコイン ZEC は無限増発を引き起こす可能性のあるセキュリティ脆弱性が発覚し、市場での売りが発生し、コイン価格は一時的に1日で50%以上下落しました。

StablR の公式が X プラットフォームで発表し、傘下のユーロステーブルコイン EURR と米ドルステーブルコイン USDR に影響を与えるセキュリティ脆弱性を特定したことを示し、現在その脆弱性を積極的に制御し、影響を軽減している。ユーザーとユーザー資金の安全を守ることが最優先事項であり、関連問題を確認次第、詳細と今後の対策をできるだけ早く発表する予定である。以前の報道によれば、StablR のステーブルコインは攻撃を受けてペッグが外れ、攻撃者は約 280 万ドルの利益を得た。

Decrypt の報道によると、ビットコイン ATM オペレーターの Bitcoin Depot Inc. は 3 月 23 日にセキュリティ侵害事件に遭い、ハッカーが会社が管理するウォレットから約 50.9 ビットコインを盗み、366.5 万ドルの価値があるとされています。報告によれば、攻撃者は会社の IT システムに侵入し、デジタル資産決済口座の認証情報を取得したため、無許可で暗号通貨を移転することができました。これは少なくとも同社にとって既知の二度目のセキュリティ事件であり、2023 年にはハッカー攻撃を受け、5.8 万人のユーザーの個人データが漏洩しました。

プライバシーコイン Zcash は最近、悪意のあるマイナーによって利用される可能性のある重要なセキュリティ脆弱性を公開し修正しました。この脆弱性により、廃止された Sprout プライバシープールから 25,000 ZEC（約 650 万ドル）以上が移動される可能性がありました。セキュリティ研究者の Alex "Scalar" Sol は 3 月 23 日に、この脆弱性が zcashd ノードが Sprout プールに関連する取引を処理する際に証明の検証をスキップすることに起因していることを明らかにしました。公式によれば、この脆弱性は 2020 年 7 月以来存在していましたが、実際には利用されておらず、ユーザーの資金は常に安全でした。開発チームは v6.12.0 バージョンをリリースして修正を完了し、主要なマイニングプールは数日以内にアップグレードを完了しました。また、影響を受けていない Zebra フルノード実装は、脆弱性が利用された場合に追加の保護を提供するためにチェーンフォークをトリガーする能力を持っています。報告によると、Sprout プールは 2020 年 11 月に新しい預金を閉鎖しましたが、約 25,424 ZEC が未移動のまま残っています。たとえ脆弱性が利用されても、Zcash の "turnstile" メカニズムはインフレ的な発行を防ぎ、総供給量が突破されないようにします。この脆弱性は AI によって発見され、研究者は合計 200 ZEC（約 5.1 万ドル）の報酬を受け取ることになります。注目すべきは、これは Zcash が重大な脆弱性に直面したのは初めてではなく、2019 年には無限発行を引き起こす深刻な欠陥を修正したことがあります。