データ漏洩

CoinDesk の報道によると、ハードウェアウォレットメーカーの Trezor は、物流サプライヤーで情報漏洩が発生したため、さらに 67,000 人の顧客の名前、電話番号、住所が漏洩したことを確認しました。別のデータ漏洩では約 20 万件の記録が公開されており、その中には政府の身分証明書番号や確認済みのウォレットアドレスが含まれています。2020 年にあるハードウェアウォレットメーカーから盗まれたアドレスデータは、今でもビットコインを要求する実体メールの送付に使用されています。

CoinDesk の報道によると、Revolut のユーザーデータを保持していると主張するハッカーが、パスポート、自撮り写真、ビットコイン取引記録を含む関連ファイルの公開を開始しました。ハッカーは、Revolut が身代金を支払わなければ、毎日データを漏洩し続けると脅迫しています。現在、Revolut 側はまだ公に応答していません。

Revolutは、未承認の第三者が特定の政府機関の実際のドメイン名を使用した電子メールを通じて虚偽の顧客情報の取得要求を提出し、少数の顧客の機密情報が漏洩したと発表しました。会社はこの事件を「複雑な外部のなりすまし詐欺」と呼び、関連する電子メールを封鎖したと述べ、システムや顧客の資金には影響がないとしています。漏洩した可能性のある情報には、氏名、生年月日、住所、電子メール、電話番号、パスポートおよび運転免許証などの身分証明書のコピー、本人確認の自撮り、口座明細書、IBAN、出金記録、完全な取引履歴が含まれ、ビットコインの取引記録も含まれています。Mt. Goxの前CEOであるMark Karpelèsは、自身が影響を受けた者の一人であると述べています。Revolutは、影響を受けた顧客の人数、事件が単一の市場にのみ関与しているかどうか、及び悪用されたドメインが属する政府機関については公表していません。会社は関連する政府機関、法執行機関、データ保護機関および金融規制機関に通知を行いました。オンチェーン調査員のZachXBTは、事件の規模は限られている可能性があるが、ターゲットは高額資産を持つユーザーであると推測しています。

日本デジタル庁は、そのサーバーが未承認のアクセスを受け、約24.6万人の個人データが漏洩する可能性があると発表しました。同機関は金曜日に声明を発表し、6月下旬に誰かがメンテナンスアカウントを使用して政府ソリューションサービスネットワーク上の大量のファイルにアクセスしていることを検出したと述べました。その後の調査で、誰かが仮想プライベートネットワークの脆弱性を利用し、このシステムを使用している公務員やその他の人々の情報を盗んだ可能性があることが判明しました。

ビットコインハードウェアウォレットメーカー Trezor は、ニュースレターを送信するために使用している第三者マーケティングプラットフォーム Brevo でデータ漏洩が発生したと警告しています。攻撃者はこのプラットフォームを利用して、34.7 万人の Trezor 顧客にフィッシングメールを送信しました。攻撃者は Trezor のドメイン名を使ってメールを送信し、フィッシングの試みをより混乱させるために、メールには悪意のあるリンクが含まれており、ユーザーにアプリをダウンロードさせ、ウォレットのバックアップを入力させるよう誘導しています。Trezor は、DNS レベルで 20 分以内にそのドメイン名を閉鎖し、リンクが引き続き有効になるのを防いだと述べていますが、その前に約 2500 人がクリックしてしまいました。Trezor は、メールの送信を続けるのを防ぐために Brevo アカウントを一時停止し、このマーケティングプラットフォーム以外の Trezor システムには影響がないことを強調し、Trezor は顧客にウォレットのバックアップを提供するよう求めることは決してないとユーザーに注意を促しました。この事件の前に、Trezor は先月、第三者の履行パートナーである ShipMonk が攻撃を受け、11742 名の顧客データが漏洩したことを明らかにしました。また、先週はさらに 6.7 万人のアメリカの顧客の名前、メールアドレス、電話番号、配送先住所、注文番号が漏洩したと報告しました。今年に入ってから、暗号通貨ウォレット Ledger の決済処理業者 Global-e およびウォレットプロバイダー SafePal でもデータ漏洩が相次いでおり、SafePal では約 3.98 万人の顧客の注文情報が未承認でアクセスされました。

ハードウェアウォレットメーカー Trezor は、物流パートナー ShipMonk のデータ漏洩事件の進展を更新し、以前に公表された漏洩規模が過小評価されていたことを明らかにしました。2019年11月から2021年8月の間に注文した約67,000人のアメリカのユーザー情報が完全に漏洩し、氏名、メールアドレス、電話番号、配送先住所、注文番号が含まれています。Trezor は、以前に ShipMonk と関連データが契約およびデータポリシーに従って削除され、書面での保証を受けたと確認していたが、相手のシステムでは実際には削除されていなかったと述べています。Trezor は自社のシステムには影響がないとし、ハードウェアウォレットは依然として安全であるが、影響を受けたユーザーはより多くの標的型フィッシング攻撃のリスクに直面する可能性があるとしています。すべての影響を受けたユーザーには、個別にメールで通知されています。この事件は8月13日に最初に公表され、当時約13,700人のユーザーに影響を与えました。Trezor は、ユーザーが注文する際の情報漏洩リスクを低減するために、匿名配送サービスの導入を加速させていると述べています。

弁護士のアリエル・ギブナーによると、暗号ハードウェアウォレットメーカーのLedgerは、2023年の安全事件によりアメリカで集団訴訟に直面しています。原告は、この事件により顧客の名前、メールアドレス、電話番号などの個人情報が漏洩し、Ledgerが関連情報を適時かつ十分に開示しなかったと主張しています。訴状では、ハッカーがその後これらの連絡先情報を利用してLedgerを装い、ユーザーに詐欺的な取引を承認させ、暗号資産を盗み取ったことも指摘されています。

Bitcoin News は X プラットフォームで、フランスが今月税務管理部門がハッカーに侵入されたことを公表し、約 67.8 万人の個人および企業の関連データが盗まれたと述べています。盗まれたデータには、名前、住所、収入、及び不動産情報が含まれているとされています。データベースの分析によると、26,805 件の記録が収入が 10 万ユーロを超えており、その中には 386 件が 100 万ユーロを超えています。CertiK のデータによれば、2026 年上半期に世界で確認された 52 件の暗号通貨のテクニカル攻撃のうち、フランスが 33 件を占めています。フランスの検察官はまた、税務部門の職員が政府のデータベースを利用して暗号通貨投資家を特定し、個人情報を人身攻撃や恐喝に関与する犯罪者に販売したと告発しています。最新のデータ漏洩事件には公に関連する人身攻撃事件はありませんが、数十万人の敏感な財務および位置データは現在、政府の管理下にない可能性があります。

チェーン上の探偵 ZachXBT は、関連する証拠を調査した結果、アメリカの2つの投資プラットフォーム BitcoinIRA と iTrustCapital が今年データ漏洩の疑いがあることを発表しましたが、現在のところ両社ともに公に開示していないようです。漏洩した情報には、個人情報、投資ポートフォリオ、銀行および保管口座情報、認証状況などが含まれているとされています。彼は例として、攻撃者 "Tiffany" が今年の6月に関連データベースを利用して、BitcoinIRA のユーザーに対して攻撃を実施し、120万ドル以上を盗んだことを挙げています。ZachXBT は8月21日に両社にコメントを求めて連絡を取りましたが、記事執筆時点ではまだ返信を受け取っていないと述べています。

Security Affairs の報道によると、Ransomnews の研究者は大規模な Stripe マーチャント API キーの漏洩事件を記録しました。キーは公開コードリポジトリ、GitHub Actions ログ、および不適切に設定された Web サーバーに露出しており、累計で 5 万以上のユニークキーが特定されました。サンプルテストでは、相当数がまだアクティブであり、攻撃者は数時間以内にこれを利用して詐欺を実行できることが示されています。報告によると、2026 年 8 月 18 日にあるデータ取引フォーラムが公開したデータセットには、659 のマーチャントアカウントの有効な Stripe API キーと約 35 GB の顧客および支払いデータが含まれています。Ransomnews はオフラインで分析を行い、公開前に Stripe に報告しました。Stripe 自体は侵害されておらず、キーはすべてマーチャントに属しています。研究者は有効なキーを発見した後、17 時間以内にマーチャントの顧客リストにアクセスし、詐欺的な支払いリンクを作成し、1 ドルのテスト課金を完了することができます。有効なキーは顧客および保存された支払い方法をリストアップし、課金および支払い意図を作成し、攻撃者が制御するアカウントに対して返金を開始し、支払い通知を傍受するために Webhook エンドポイントを変更し、Stripe Connect を有効にした場合に関連アカウントにアクセスすることができます。主な漏洩源には、GitHub リポジトリのハードコーディングされたキーや無視されていない .env ファイル、GitHub Actions のビルドログにマスクされていない環境変数、そして 3000 台以上の不適切に設定されたサーバーの約 12% に利用可能なキーが含まれています。

チェーン上の探偵SpecterはXプラットフォームで投稿し、盗まれたデータがカバーする期間を考慮すると、データ漏洩は4月にすでに発生していた可能性があり、遅くとも5月初旬には発生していたが、関係者は最近まで、Trezorが自社のデータ漏洩を発表したのとほぼ同時に沈黙を守ることを選んだと述べています。一部のユーザーは当時、フィッシング攻撃を受けて資産を失っていましたが、関係者は透明性を保たず、ユーザーに警告やリスク提示を行わず、データ漏洩を否定しました。

Crypto Briefingによると、イスラエル最大のコンプライアンス暗号ブローカーBits of Goldがデータ漏洩に遭い、約20万人の顧客の個人情報がハッカーに盗まれ、プラットフォームの全ユーザーがリスクにさらされています。同社は2022年9月にイスラエル初の仮想資産サービスプロバイダー（VASP）ライセンスを取得し、2026年4月にはシェケルに1:1でペッグされたBILSステーブルコインの発行を承認されました。盗まれたデータの種類はまだ公表されていませんが、暗号ブローカーは通常、KYC規制に基づいて身分証明書、住所証明、財務情報などの機密情報を収集します。コールドウォレットはデジタル資産を保護できますが、サーバー上の顧客の身分書類を保護することはできません。歴史的な事例は、類似のデータ漏洩がフィッシング、SIMカードの交換、ターゲットを絞ったソーシャルエンジニアリング攻撃に利用されることが多いことを示しており、安全リスクはプラットフォーム自体を超えています。

フランスの財務大臣は、ハッカーが6月末にフランス公共財政総局のシステムに侵入し、個人および企業の納税者データを盗んだことを確認しました。フランスのサイバー攻撃を追跡するプラットフォームFrenchBreachesによると、この事件は約678,437人に影響を与え、フランスの人口の約1%に相当しますが、具体的な人数はまだ調査中で、最終的には確認されていません。漏洩したデータには、名前、生年月日、家庭住所、電話番号、電子メール、税務識別情報、収入データなどの敏感な情報が含まれているとされています。その中で、約27,000人の税収は少なくとも10万ユーロ、386人は100万ユーロを超え、さらに8人は1000万ユーロを超えています。報道によれば、このデータベースはダークウェブ市場で数千ユーロの価格で販売されています。攻撃者はZeroBytesを名乗り、内部検索ツールを通じて関連記録を抽出したと主張し、その後発見されてアクセスが遮断されたとされています。この事件は暗号業界に懸念を引き起こしています。なぜなら、近年フランスでは暗号保有者に対する「レンチ攻撃」の暴力的な強盗事件が明らかに増加しているからです。高所得者層、住所、連絡先が漏洩すれば、犯罪者により正確なターゲットリストが提供される可能性があります。

Bitcoin News は X プラットフォームで、Trezor が物流サービスプロバイダー ShipMonk のセキュリティ脆弱性により顧客データが漏洩したと述べています。過去 90 日間にアメリカ、イギリス、スウェーデン、コロンビア、ブラジル、イタリア、またはポルトガルで注文を受けた顧客が影響を受ける可能性があります。漏洩したデータには、氏名、配送先住所、電話番号、メールアドレス、注文番号が含まれます。Trezor はそのシステムが侵害されていないこと、デバイスは依然として安全であることを述べていますが、影響を受けた顧客に対して漏洩した情報を利用した巧妙に設計されたフィッシング攻撃に対する警戒を呼びかけています。

フォーブスの報道によると、アメリカ合衆国連邦通信委員会（FCC）は2026年7月27日に正式に、国家安全保障の脅威を理由に外国製のAI人形ロボットの輸入を禁止すると発表しました。FCCはこの種のデバイスを「トロイの木馬」と定義しており、高精度のセンサーが搭載されており、ユーザーの家庭や企業の敏感なデータを持続的に収集し、それを海外の実体に送信する可能性があるため、大規模な監視や情報活動に利用されるリスクが存在し、関連デバイスは遠隔操作される可能性もあります。禁令はすべての外国製造業者を対象としていますが、実際には中国に最も大きな影響を与えることになります。なぜなら、中国は現在、世界のAI人形ロボット市場で大きなシェアを占めているからです。国内製造業の発展を促進することも、今回の禁令の重要な副次的目標です。

StarkWareは、ユーザーがオンチェーンの残高や取引の詳細を隠しながら、コンプライアンスチェックと規制開示メカニズムを保持できるSTRK20プライバシートークン標準を発表しました。

TechCrunch の報道によると、Trump Mobile でユーザーデータの漏洩事件が発生し、顧客のメールアドレスや郵送先住所などの個人情報が含まれており、現在も関連データはネット上でアクセス可能です。YouTube のクリエイターである Coffeezilla と penguinz0 は、トランプの金色 T1 スマートフォンを注文した後、セキュリティ研究者からの警告を受け、彼らの個人情報が漏洩データセットに出現していることを発見しました。Coffeezilla は、漏洩内容はほぼすべての基本的な身分情報を含んでおり、クレジットカード番号は含まれていないと述べ、ユーザーに対してこのプラットフォームでの注文をしないよう警告しました。二人は、漏洩データは公開アクセス可能なシステムからのものである可能性が高く、現在 Trump Mobile の公式な回答や修正の説明は受け取っておらず、関連する問題は未解決のままであると述べています。漏洩データに含まれる注文番号から推測すると、実際の予約数は約 3 万台で、以前の市場予測であった約 59 万台のプレセール規模を大きく下回っています。分析者は、この事件が Trump Mobile の製品提供と基本的なセキュリティ能力に対する外部からの疑問をさらに引き起こすと考えています。

GoPlusの監視によると、ハッカーグループTeamPCPはGitHub内部の約4000のプライベートリポジトリからソースコードを入手したと主張し、地下フォーラムで5万ドルで販売するとしており、サンプルの検証もサポートしています。誰も購入しなければ、今後このデータが無料で公開される可能性があります。以前の報道によれば、GitHubの公式は今回の「内部リポジトリへの未承認アクセス」問題を調査中であり、GitHubの従業員のデバイスに悪意のあるVS Code/AI Codingプラグインがインストールされている疑いがあります。

外部からのデータが「漏洩」したとの疑問に対し、Polymarket は声明を発表し、関連データは一度も漏洩しておらず、すべてのデータはその公共エンドポイントおよびオンチェーンデータを通じて公開アクセス可能であると述べました。これはオンチェーンデータの透明性の固有の特性であり、安全性の欠陥ではありません。Polymarket は、オンチェーンデータの核心的な利点の一つは完全に公開されており、監査可能であることだと述べ、誰でもその API を通じて関連データを無料で取得できるため、購入する必要はないとしています。ChainCatcher の以前の報道によると、予測市場プラットフォーム Polymarket がデータ漏洩の疑いを受け、30 万件以上の記録と脆弱性利用ツールキットが流出したとのことです。

去中心化予測市場プラットフォーム Polymarket がハッキングされた疑いがあり、脅威行為者 xorcat が有名なネット犯罪フォーラムに30万件以上のデータ記録と関連する脆弱性利用ツールキットを公開しました。攻撃者は、未公開のAPIエンドポイント、ページングバイパス、Polymarket GammaとCLOB APIのCORS設定ミスを通じてデータを抽出したとされています。漏洩した内容には、1万件のユーザーの完全な個人情報（名前、代理ウォレット、基本アドレスを含む）、4111件のコメント、1000件の通報記録（58のETHアドレスと管理者認証アドレス識別を含む）、48536件のGamma市場のメタデータ、25万件以上のアクティブCLOB市場の固定積算マーケットメイカーアドレス、そして9000件のフォロワーのソーシャルグラフデータが含まれています。ツールキットには、複数の脆弱性の概念実証コードが含まれており、CVE-2025-62718（Axios NO_PROXYバイパス、CVSS 9.9、サーバーサイドリクエストフォージェリを引き起こす可能性）、CVE-2024-51479（Next.jsミドルウェア認証バイパス、CVSS 7.5）、およびCORS設定ミスなどが含まれています。さらに、ツールキットには自動化された継続的プルスクリプトと完全なレッドチームレポートも添付されています。