バグ修正

Decrypt の報道によると、Google は Chrome ブラウザの中でハッカーに利用された高危険度の脆弱性 CVE-2026-85046 を修正しました。この脆弱性は V8 エンジンに存在し、JavaScript と WebAssembly を実行するために使用されます。Google はこの脆弱性が実際に悪用されていることを確認しましたが、攻撃者の身元、ターゲット、または脆弱性の具体的な利用方法については明らかにしていません。パッチは Chrome 152.7977.82/83 バージョンに含まれており、今後数日または数週間以内に配信される予定です。この脆弱性はセキュリティ研究者 Salvatore Gulizia によって 8 月 4 日に報告され、Google は彼に 1,000 ドルの脆弱性報奨金を授与しました。今回の更新には合計 12 件のセキュリティ修正が含まれており、そのうち 9 件は高危険度、2 件は中危険度です。Google はこの脆弱性を暗号資産の盗難事件と関連付けていませんが、ブラウザのウォレット、取引所アカウント、取引拡張機能は以前に他の方法で攻撃のターゲットとなっていました。

Bitcoin News は X プラットフォームで、Core Lightning 26.06.7 バージョンがリリースされたことを発表し、過去三週間にわたる責任ある開示によって発見された複数の脆弱性が修正されたと述べています。オープンソースのビットコインプロジェクトに対する AI 生成のセキュリティレポートが最近増加しており、具体的な脆弱性情報は、ノードオペレーターがアップグレードを完了するまでの二週間、暫定的に秘密にされます。その後、技術的詳細とソースコードが公開される予定です。開発者は、修正内容を直ちに公開することが攻撃者による脆弱性の逆解析を可能にし、まだ更新されていないノードに対する攻撃を引き起こす可能性があると警告しています。すべての Core Lightning ノードオペレーターは、直ちにアップグレードを行うべきです。現在、Docker イメージは利用できず、開発者はユーザーに対して Docker イメージを待たないよう明確に警告しています。

イーサリアム財団が支援するプライバシーと規制遵守ツール 0xbow.io は、研究者の ross.wei に 5000 ドルの報酬を支払い、Privacy Pools v1 SDK の脆弱性を開示したことに対して報奨しました。この脆弱性は、ユーザーアカウントの主鍵生成のエントロピーを低下させるもので、3 月に修正されました。チームは移行プロセスを提供しており、ユーザーの資金損失は発生していません。

暗号財布 Rabby Wallet は X プラットフォームで発表し、チームは脆弱性を発見した後に修正し、8 月 11 日に更新をリリースしたと述べています。モバイルアプリは影響を受けていません。この脆弱性を引き起こす条件は非常に限られています：財布は悪意のあるウェブサイトに接続する必要があり、ユーザーは自動ロックタイマーを手動で 10 分に設定する必要があります（他の設定は影響を受けません）。現在、野外での悪用行為は発見されていません。

OpenAIは、人工知能を活用してソフトウェアの脆弱性の発見と自動修復を加速することを目的としたネットワークセキュリティプログラム「Daybreak」を全面的に拡張することを発表しました。この拡張の核心は、信頼された防御者向けに提供されるフルバージョンの専用モデル「GPT-5.5-Cyber」です。このモデルは、CyberGymなどの複数のネットワークセキュリティベンチマークテストで最高得点を記録し、GPT-5.5の81.8%や競合のMythos 5の83.8%を超え、脆弱性スキャンとパッチ生成の精度を大幅に向上させることができます。同時に更新されたCodex Securityプラグインは、開発者のワークフローに深く統合されており、全自動のコードベーススキャン、脅威モデリング、パッチ生成をサポートしています。エコシステムの構築において、OpenAIは専用のパートナーシッププログラムを開始し、コンプライアンスに準拠したセキュリティサービスプロバイダーが特定の権限を持つGPT-5.5を商業製品に統合できるようにしています。また、Trail of Bitsなどの機関と共同で「Patch the Planet」プログラムを立ち上げ、Python、Goなどの30以上の基盤となるオープンソースプロジェクトにおける脆弱性修正を支援しています。さらに、OpenAIは現在、アメリカ、イギリス、フランス、日本などの多国政府および機関と深い協力を進めており、グローバルな重要インフラのネットワーク防御能力を共同で向上させることを目指しています。

プライバシーコインプロジェクト Monero は、グラフィカルウォレットソフトウェア GUI 0.18.5 "Fluorine Fermi" バージョンをリリースしました。このバージョンは公式に推奨されるアップデートであり、複数のバグ修正を集中して行っています。今回のアップデートの核心的な最適化内容は以下の通りです：Windows システム下での P2Pool インストールパスをローカルアプリデータディレクトリに調整；統一リソース識別子の極端なシナリオ解析ロジックを改善；長い支払い ID モードでのオフライン取引作成機能を無効化；QR コードスキャンの段階で不安全なテキストのエスケープ処理を追加；P2Pool プログラムを 4.15 バージョンにアップグレードし、同時に多くの細かいプログラムの不具合を修正しました。Monero の公式は、このバージョンが GitHub でオープンソースとしてリリースされており、ユーザーは公式チャネルを通じてダウンロードしてアップグレードすることで、最新のセキュリティ修正と安定性の向上を得ることができると指摘しています。

DeFi Unitedは火曜日にKelp DAOのrsETHクロスチェーンブリッジの脆弱性に対する技術修正計画を発表しました。以前、攻撃者はLayerZero駆動のUnichainからEthereumへのブリッジの脆弱性を利用し、偽のインバウンドデータパケットを通じて116,500枚のrsETHを解放しました。そのうち約107,000枚は現在、AaveとCompoundの7つの関連アドレスに担保として分布しています。DeFi Unitedは、rsETHの支援を回復するために十分なETHのコミットメントを得たと述べており、rsETHに段階的に変換し、ブリッジロック契約に注入します。LayerZero Labsは火曜日に修正作業を支援するために10,000枚以上のETHを投入することを約束しました。清算攻撃者のポジションに関して、連合はAaveとCompoundのガバナンス提案を通じて制御された清算を実行し、それぞれ約13,000枚と16,776枚のETHを回収する見込みです。修正期間中、複数のチェーン上のWETHとrsETHの準備金は凍結状態を維持します。DeFi Unitedは、ガバナンス承認の進捗、攻撃者の干渉の可能性、そして新しいセキュリティ対策が本番環境での検証を待っていることなど、実行リスクについても警告しています。

PMXの公式発表によると、そのPolycule取引ロボットが昨夜ハッカーによって脆弱性を利用され攻撃され、ユーザーの資金が盗まれました。現在、脆弱性の原因は特定されており、修正パッチと監査は今週末にリリースされる予定です。公式は、約23万ドルのユーザー資金が影響を受けたと述べており、システムが復旧次第、金庫を通じてPolygonチェーン上の被害を受けたユーザーに補償し、残高を攻撃前の水準に戻すとしています。

イーサリアムの共同創設者である Vitalik Buterin は X プラットフォームで次のように述べています："私は分散型オープンソースの暗号文書ツール Fileverse に感銘を受けました。毎月、より多くの脆弱性が修正されており、最近では他の人とコメントや共同作業を行うために文書を安心して送信できるレベルに達しました。そして、基本的に問題が発生することはありません。私は、優れた運営のケースが人々が認識しているよりも多いと考えており、Fileverse にはネットワーク効果への依存度がはるかに低いという利点もあります。"

ChainCatcher のメッセージによると、市場の情報では、Typus Finance が発表し、チームは前日に開示された脆弱性に対する内部コード修正を完了したとのことです。現在、独立したセキュリティ専門家の審査を待って再展開する予定です。Typus は、契約が一時停止している間、すべての永久契約ポジションは清算されないことを強調し、ユーザーの担保資産は安全であり、セキュリティチェックが完了した後に回収できるとしています。公式はまた、資金追跡作業がパートナーおよび法執行機関と調整中であり、資産回収計画は内部で策定中であると述べています。チームは、透明性を維持し、重要な進展があった際にはユーザーに迅速に通知することを再確認しました。

ChainCatcher のメッセージ、Loopscale は X プラットフォームでハッキング事件の更新を発表しました。その中で、出金ロジックと脆弱性パッチがセキュリティ会社 Sec3 と独立監査人によって監査されたことが明らかにされました。Vault の出金機能は、米東部時間の明日午前 10:00 にすべてのユーザーに再開される予定であり、同時に事件分析報告書も公開されます。プロトコルの安定性を維持するために、各ユーザーの出金限度に対して一時的な 24 時間制限が実施される見込みです。

ChainCatcher のメッセージ、Sui はツイートで、バグ修正を実施したことを示し、現在 epoch 564 で有効になっていること、epoch 560、561、562 および 563 のステーキング報酬が配布されたこと、ユーザーは現在ステーキングを解除できることを発表しました。

ChainCatcher のメッセージ、Ordinals の創設者 Casey が X プラットフォームでリマインダーを発表し、ユーザーに ord ウォレットを 0.21.2 バージョンに早急にアップグレードするよう呼びかけています。この更新は、"ord wallet send" 機能を使用する際に、正しくお釣りの出力が作成されないために、ルーンが意図せず失われる可能性がある深刻な脆弱性を修正しました。Casey は、入力 UTXO に複数のルーン（A と B）が含まれている場合、ルーン A を送信する過程でルーン B が誤って送信される可能性があると説明しています。この更新では、ウォレットアドレスのメッセージ署名機能も追加され、鋳造進捗の表示問題も修正されました。現在、この脆弱性による資産損失の報告は受けていません。

ChainCatcher のメッセージ、最近、Bitslab のブランド MoveBit が Aptos ネットワーク内の重大なサービス拒否（DoS）脆弱性を発見し、修正を支援したことが成功しました。この脆弱性は「高危険」と評価されています。この脆弱性は、メモリプールのトランザクション追放メカニズムが不完全であるため、最大 90% の正常なトランザクションがノードによって拒否される可能性があります。Aptos チームは最新バージョンでこの脆弱性を修正し、公式リリースノートで MoveBit の貢献に感謝しています。この行動は、MoveBit のブロックチェーンセキュリティ分野における技術力を再び示し、業界のリーダーシップを強化しました。MoveBit は BitsLab の傘下で Move エコシステムに特化したセキュリティチームであり、安全基準の構築とセキュリティ監査の提供に努め、Move エコシステムの安全性を確保しています。

ChainCatcher のメッセージ、Terra がツイートしたところによると、Terra チェーンはブロック高 11430400 で短期間停止し、その間は取引を処理しません。Terra は Terra (phoenix-1) 上のバリデーターと協力し、その後、疑わしい脆弱性を修正するための緊急パッチを適用します。

ChainCatcher のメッセージ、Sei がツイートでその V2 コードが凍結されたことを示しており、これは公式が V2 の主要機能コードの開発とバグ修正を完了したことを意味します。

ChainCatcher のメッセージ、OP Labs がツイートで、eth-optimism SDK の特定のタイプの引き出しを証明できないバグの修正プログラムをリリースしたと述べています。この SDK を使用しているチームは、最新バージョンに依存関係を更新する必要があります。また、代替 SDK の開発者もそのコードに類似の変更を加えるべきです。

ChainCatcher のメッセージ、Avalanche 開発会社 Ava Labs の共同創設者 Kevin Sekniqi がソーシャルプラットフォームに投稿し、「今回の（Avalanche）メインネットのダウン問題は、メモリプール処理のエッジケースバグに関連しているようです。現在、Avalanche テストネットでバグ修正テストを行っています。」と述べました。

ChainCatcher のメッセージ、Worldcoin は公式ブログでセキュリティ監査報告書を発表しました。2023年4月から、監査会社 Nethermind と Least Authority がこのプロトコルに対して2回の独立したセキュリティ監査を実施しました。その中で Nethermind はこのプロトコルのスマートコントラクトを重点的に監査し、26件の問題を発見しました。そのうち92.6%（24件）は検証段階後に修正され、1件は緩和され、残りの1件は確認されました。Least Authority はこのプロトコルにおける暗号技術の使用を重点的に監査し、3件の問題を発見し、6つの提案を行いました。すべての問題は「解決済みまたは解決予定」です。

ChainCatcher メッセージ、ビットコインウォレット Xverse の公式発表によると、私たちはウォレットのシードフレーズがデバイス上に暗号化されずに保存されるというバグを修正しました。すべてのユーザーは、Chrome 拡張機能の最新バージョンがリリースされた後にそのバージョンに更新する必要があります。現在、Google の承認を待っています。さらに、Xverse は、シードフレーズがユーザーのローカルデバイスから外に出ていないことが確認されれば、このバグによるリスクは非常に小さいと述べています。しかし、ユーザーがリスクを心配する場合は、新しく生成されたウォレットに資産を移行することができます。（出典リンク）