セキュリティ脆弱性

据慢雾科技首席信息安全官 23pds 披露，Linux 平台的 Snap Store 应用商店出现新型安全漏洞，黑客通过劫持过期域名接管应用发布者账号，将恶意代码植入加密钱包应用。攻撃者は Snap Store において関連するドメインが期限切れの開発者アカウントを監視し、登録し、これらのドメインのメールアドレスを利用してパスワードリセットをトリガーし、長期的な信頼を築いた発行者のアイデンティティを乗っ取ります。改ざんされたアプリは Exodus、Ledger Live、または Trust Wallet などの有名な暗号財布を装い、インターフェースは正規版とほぼ変わりません。現在、storewise[.]tech と vagueentertainment[.]com の2つの発行者ドメインが乗っ取られたことが確認されています。これらの悪意のあるアプリはユーザーに「ウォレットの復元フレーズ」を入力させるよう誘導し、一旦ユーザーが提出すると、敏感な情報が攻撃者のサーバーに送信され、デジタル資産が盗まれることになります。

据 The Hacker News 报道，Cyata 研究员披露 Anthropic 维护的 mcp-server-git 存在三项严重安全漏洞（CVE-2025-68143/44/45），可被利用执行路径穿越与参数注入，甚至实现远程代码执行。这些漏洞可通过提示注入被武器化，攻击者仅需控制 AI 助手读取恶意内容即可触发攻击。漏洞已在 2025 年 9 月与 12 月版本中修复，官方已移除 git_init 工具并增强路径校验，建议用户尽快更新至最新版。

Anthropic が管理する公式 mcp-server-git に 3 つのセキュリティ脆弱性が発見されました。これらの脆弱性は、プロンプトインジェクション攻撃手法を通じて悪用される可能性があり、攻撃者は被害者のシステムに直接アクセスすることなく、悪意のある README ファイルや損なわれたウェブページを介して脆弱性を引き起こすことができます。これらの脆弱性には、CVE-2025-68143（制限のない git_init）、CVE-2025-68145（パス検証のバイパス）、および CVE-2025-68144（git_diff におけるパラメータインジェクション）が含まれます。これらの脆弱性をファイルシステム MCP サーバーと組み合わせて使用すると、攻撃者は任意のコードを実行したり、システムファイルを削除したり、任意のファイル内容を大規模言語モデルのコンテキストに読み込むことができます。Cyata は、mcp-server-git が repo_path パラメータに対してパス検証を行っていないため、攻撃者がシステムの任意のディレクトリに Git リポジトリを作成できると指摘しています。さらに、.git/config にクリーンアップフィルターを設定することで、攻撃者は実行権限なしにシェルコマンドを実行することができます。Anthropic は 2025 年 12 月 17 日に CVE 番号を割り当て、修正パッチを提出しました。ユーザーには mcp-server-git を 2025.12.18 以降のバージョンに更新することを推奨します。

Flow ブロックチェーンがセキュリティ脆弱性攻撃に遭い、約 390 万ドルの資産がネットワークから移転され、バリデーターは即座に調整を一時停止しました。Flow 財団は現在、バリデーター、コア開発者、およびエコシステムのパートナーと密接に協力し、ネットワークの復旧計画を策定しています。公式に確認されたところによれば、ユーザーの資金は安全で影響を受けておらず、技術的修正手順が検証中です。エコシステムの調整段階は 2-3 時間内に完了する見込みで、次のステータス更新は太平洋時間 12 月 29 日午後 6 時に発表される予定です。財団は、調整時間を延長するのはネットワークが安定して秩序ある形で復旧することを確保するためであると述べています。

据链上侦探 ZachXBT（@zachxbt）监测，Trust Wallet プラットフォームの数百名のユーザーが資金を盗まれ、損失額は少なくとも 600 万ドルに達しています。ZachXBT は、事件の責任が Trust Wallet にあると確認された場合、このプラットフォームは被害を受けたユーザーに対して補償を行う必要があるかもしれないと述べています。ChainCatcher の以前の報道によると、Trust Wallet の公式は安全警報を発表し、Trust Wallet ブラウザ拡張の 2.68 バージョンに安全上の脆弱性が存在するため、ユーザーは早急にアップグレードするように呼びかけています。

Trust Wallet 公式が安全警告を発表しました。Trust Wallet ブラウザ拡張機能の 2.68 バージョンに安全上の脆弱性が確認されました。2.68 バージョンを使用しているユーザーは、直ちにその拡張機能を無効にし、2.69 にアップグレードしてください。公式の Chrome ウェブストアリンクからアップグレードを行ってください。また、モバイル版のみを使用しているユーザーおよび他のすべてのブラウザ拡張バージョンは影響を受けません。チームはこの問題に積極的に取り組んでおり、最新の更新情報をできるだけ早く共有します。

据 The Block 报道，加密预测市场平台 Polymarket 确认，多名用户账户因第三方认证提供商的安全漏洞而遭到黑客攻击。受影响用户在社交媒体上报告，即使启用了双重认证，资金仍被清空。该问题似乎与 Magic Labs 提供的电子邮件登录服务有关，这是许多首次使用加密货币的用户常用的注册方式。Polymarket 表示已解决此安全问题，目前无持续风险，但未透露受影响用户数量及损失金额。

USPD プロトコルは公式に緊急安全警報を発表し、そのプロトコルが深刻なセキュリティ脆弱性攻撃に遭遇したことを確認しました。この攻撃により、無許可のトークンの鋳造と流動性の枯渇が引き起こされました。攻撃者は「CPIMP」と呼ばれる高度な攻撃手法を利用し、デプロイメントプロセス中に代理初期化を先行して実行し、隠れた管理者権限を取得しました。「シャドウ」をインストールしてイベントデータを操作することで、攻撃者はEtherscanを含む検証ツールを回避し、数ヶ月後に権限を利用して約9800万USPDを鋳造し、約232枚のstETHを盗みました。USPDチームは法執行機関およびセキュリティ組織と協力し、攻撃者のアドレスをマークして資金を凍結し、同時に事件をホワイトハット救助として扱う意向を示しました。もし90%の資金が返還されれば、法的措置を停止することを提案しています。

ChainCatcher のメッセージ、Web3 ソーシャルプラットフォーム UXLINK の公式発表によると、そのマルチシグウォレットにセキュリティの脆弱性が発生し、大量の暗号通貨が不正に中央集権型および分散型取引所に移転されたとのことです。チームは内部および外部のセキュリティ専門家と連携して原因を調査し、主要な取引所に連絡して疑わしい資金を凍結しました。また、警察および関連機関に通報し、今後の進展について継続的に更新していく予定です。

ChainCatcher のメッセージによると、セキュリティ会社 Brave Software が明らかにしたところによれば、Perplexity AI の Comet というブラウザに深刻なセキュリティ脆弱性が存在し、攻撃者はウェブページに隠れた命令を埋め込むことで、AI アシスタントにユーザーのプライベートデータ（メールやコードを含む）を漏洩させることができるという。Brave の研究者たちは、ユーザーが Comet に隠れた命令を含む Reddit ページの要約を要求した際、AI アシスタントがこれらの命令を実行することを証明した。Perplexity は問題が発見される前に修正されたと主張し、ユーザーデータが漏洩したことはないと述べているが、Brave はこの脆弱性が修正後数週間経ってもなお利用可能であると主張し、Comet の設計アーキテクチャがさらなる攻撃に対して脆弱であると警告している。（Decrypt）

ChainCatcher のメッセージ、NOYA.ai の公式は X プラットフォームで次のように述べています："NOYA で潜在的な脆弱性が発見されました。チームは全面的な調査を開始しました。進捗については随時コミュニティに報告します。この間、使用を一時停止してください。"さらに、NOYA.ai は Discord コミュニティで現在ユーザーのウォレットにリスクはなく、追加の操作は不要であると応答しました。チームは復旧プロセスを進めており、明日の朝に詳細な公告を発表する予定です。公式は今回の事件が権限を超えた開発者によって引き起こされたもので、状況は複雑であり、全力で対処していると述べています。

ChainCatcher のメッセージ、Haedal プロトコルの公式発表によると、Cetus プロトコルで最近発生したセキュリティ脆弱性のため、Cetus プールに依存する haeVault 機能が一時的に無効化されました。Haedal チームは Cetus および他のエコシステムパートナーと密接にコミュニケーションを取っており、Haedal プラットフォームの他の機能には影響がないと述べており、ユーザーの資金は完全に安全です。

ChainCatcher のメッセージによると、Cointelegraph が報じたところでは、Solana 開発チームは深刻なセキュリティ脆弱性を修正しました。この脆弱性により、攻撃者が無制限にトークンを鋳造したり、ユーザーアカウントから資産を盗むことが可能になる可能性がありました。この脆弱性は 4 月 16 日に発見され、バリデーターがネットワークの更新を調整した後の 2 日以内に修正されました。

ChainCatcher のメッセージによると、暗号セキュリティ研究機関 Aikido Security の監視により、公式 XRPL NPM パッケージにセキュリティの脆弱性が発見されました。このバックドアプログラムは、ユーザーの秘密鍵を盗み、攻撃者に送信します。影響を受けるバージョンは 4.2.1 から 4.2.4 までで、Aikido Security は古いバージョンを使用しているユーザーに対し、バージョンアップグレードを行わないように推奨しています。

ChainCatcher のメッセージによると、金十の報道で、日本のセキュリティチーム CSIRT が WinRAR のセキュリティ脆弱性を明らかにしました。この脆弱性は、Microsoft Windows の MarkoftheWeb（MoTW）セキュリティメカニズムを回避することができ、ユーザーが知らないうちにネットワークからの悪意のあるプログラムを実行する可能性があり、深刻なセキュリティリスクを引き起こす可能性があります。この脆弱性は CVE-2025-31334 として番号付けされています。WinRAR のセキュリティ脆弱性が私たちの重要なインフラストラクチャに与えるサイバーセキュリティの課題に積極的に対処するために、技術的な観点から以下の対策を講じることをお勧めします。第一に、WinRAR ユーザーの中でこの脆弱性に関与しているコンピュータネットワーク機器を徹底的に調査し、最新バージョンを迅速にインストールすること。第二に、WinRAR クライアントの設定をリセットすること。第三に、WinRAR ユーザーが機密データを扱う際には、信頼できないネットワークへの接続を避けることをお勧めします。

ChainCatcher のメッセージ、Web3 セキュリティ分析会社 Fuzzland の共同創設者 Chaofan Shou がツイートし、貸出プロトコル Morpho のフロントエンド（Bundler3）の脆弱性が修正されたと述べました。

ChainCatcher のメッセージ、Fuzzland の共同創設者 Chaofan Shou が X プラットフォームで発表したところによると、貸出プロトコル Morpho のフロントエンドコンポーネント Bundler3 にセキュリティの脆弱性が存在し、ユーザーにはフロントエンドを通じての操作を避けるように推奨しています。Shou は、「Multicall」機能のみが影響を受けており、その他の機能は安全であると強調しています。資金を引き出す必要がある場合は、直接契約を通じて Withdraw 関数を実行することをお勧めします。現在、ユーザーの資金自体は影響を受けていません。