バグ修正

オープンソースのビットコイン決済処理ツール BTCPay Server は、プラットフォーム上のビットコインとライトコインのホットウォレットが無許可の資金盗取に遭ったとの報告を複数受けています。プロジェクトチームは調査の更新を発表し、攻撃が BTCPay Server 2.4.1 バージョンまたはそれ以前のバージョンを実行しているサーバーを対象としていることを確認しました。攻撃者は、8 月 7 日に 2.4.2 バージョンで修正された脆弱性を利用し、さまざまな方法でサーバー管理者権限を取得し、ホットウォレットの資金を空にしました。BTCPay Server の創設者 Nicolas Dorier は、2.4.2 より前のバージョン、特に 2.4.1 バージョンを実行しているサーバーのみが影響を受けていることを確認しました。最新の 2.4.7 バージョンを実行しているユーザーからは、信頼できる損失報告はまだ出ていません。影響を受けた一部のサービスプロバイダー、LunaNode を含むは、リスクのある古いインスタンスを自動的にシャットダウンしました。公式は、まだ 2.4.1 またはそれ以前のバージョンを使用しているユーザーに対し、古いホットウォレットの残りの資金を新しいニーモニックフレーズを使用して作成した新しいウォレットに移動し、古いサーバーをオフラインにし、関連するログを保持することを直ちに行うように推奨しています。その後、新しい仮想マシンに最新バージョンをインストールし、新しいウォレットに接続し、古いサーバーを新しいマシンに全体復元することは避けてください。ソフトウェアバージョンの更新だけではリスクを排除するには不十分です。なぜなら、攻撃者が古いサーバー上で持続的なアクセス権を取得している可能性があるからです。サーバー外に保管されている資金、例えばハードウェアウォレット内の資金は、今回の事件の影響を受けていません。この脆弱性は、今年の 8 月に修正された脆弱性に関連しており、その際に攻撃者は LND 管理資格情報を取得してノードを操作していました。現時点で、この脆弱性には CVE 番号が割り当てられておらず、CISA の既知の悪用脆弱性ディレクトリにも含まれていません。

ビットコインのライトニングネットワーククライアント Core Lightning が 26.06.10 バージョンをリリースし、チャネル残高に関するリスクや、ノードがリモートでクラッシュする可能性のある脆弱性を修正しました。公式はノード運営者に対し、早急にアップグレードを完了するよう促しています。メンテナンスチームは、ノード運営者にアップグレードのウィンドウを確保するため、上記の修正に関するテストケースを公開していないと述べており、関連の詳細はノードが更新を完了した後に開示される予定です。

CoinDesk の報道によると、XRP Ledger のバグ修正パッチは、バリデーターのサポート数が一時的に 26 に減少したため（合計 35）、発効のカウントダウンがリセットされ、パッチの発効が 11 月に延期されました。現在、サポート数は 31 に回復しましたが、2 週間のカウントダウンを再計算する必要があるため、今回の修正は元々の発効予定の時間枠を逃しました。

Polygon Labs 公式発表、Bor v2.1.3 が正式に公開されました。以前はプライベートバージョンとしてバリデーターや主要インフラプロバイダーに配布されていました。今回の更新では、BlockSTM V2 の並行ブロック実行における2つの中程度の拒否サービス脆弱性が修正されました。これらはすべて、セキュリティ研究者によってImmunefiの脆弱性報奨プログラムを通じて提出されました。無界 keccak256 キャッシュ問題：攻撃者は特定のトランザクションを構築することで、投機実行段階で数百MiBのキャッシュを埋め尽くし、ノードのメモリを枯渇させてブロック生成を遅延させることができます。修正策は、共有キャッシュに容量制限を設定することです。並行実行における重複コードハッシュ計算問題：単一のトランザクションが並行プロセッサの処理に約11秒かかり、ノードの活性に深刻な影響を与えます。修正策は、コードハッシュ結果をトランザクションごとにキャッシュすることです。さらに、今回の更新にはいくつかの内部強化も含まれています：トランザクションプールのアドレスフィルタリングにEIP-7702 SetCodeの権限のインターセプトが追加され、RPCバッチ実行プールの同時実行制限が修正され、並行実行の自己破壊境界を越えた残高読み取りの一貫性が修正され、滞留待機トランザクションの自動クリーンアップメカニズム（デフォルトは3時間）が追加されました。影響を受けるバージョンはBor v2.1.1およびv2.1.2です。v2.1.3はハードフォークではなく、ノードは個別にアップグレードでき、調整は不要です。2つの脆弱性はメインネットおよびテストネットのAmoyでは利用された記録はありません。

XRP Ledger Foundation は X プラットフォームで最近の XRP Ledger のセキュリティ脆弱性事件について説明を発表し、この脆弱性が XRP の総供給量を 1000 億枚に固定する制限を回避するために利用される可能性があることを示しましたが、2 週間前に 3.4.1 バージョンで修正されたと述べています。また、確認の結果、新たに作成された XRP は発見されておらず、現在帳簿に流通している XRP の総量は約 999.86 億枚です。基金は、この脆弱性を引き起こすには数百回の意図的に構築された操作が必要であり、通常の支払い取引にはほとんど関与しないと述べています。今後、RippleX およびコミュニティと共に形式的検証、AI 対抗テスト、安全研究の協力、脆弱性報奨金プログラムを強化していく予定です。修正プロセスについて、基金は、パッチを公開すると攻撃者が AI を利用して脆弱性分析を加速させる可能性があるため、この状況に対処するために XRPL コミュニティが調整を行ったと説明しています。XRP Ledger Foundation、RippleX、コア開発者、バリデーターなどの参加者は社会的合意に達し、修正プログラムを直接公開する方針に同意しました。さらに、3.4.1 バージョンは、通常の修正案投票プロセスを経て、80% 以上のバリデーターから 2 週間連続で支持を得た後に、ネットワークが必ず採用すべきバージョンとなりました。プロトコルの変更は依然として修正案メカニズムを通じて完了する必要があります。以前、RippleX のエンジニアリング責任者 J. Ayo Akinyele も X プラットフォームで、最近公開された XRP Ledger（XRPL）ペイメントエンジンの重要な脆弱性問題を非常に重視していると述べ、この脆弱性は深刻なセキュリティ問題であり、コードベースに 10 年以上存在している可能性があり、理論的には XRP が過剰に作成され、固定供給上限を突破する可能性があると警告しました。しかし、この脆弱性は利用される前に Ripple の脆弱性報奨金プログラムを通じて安全研究機関 Veria AI によって発見されました。

Veria AI レポートに関する支払いエンジンの重要な脆弱性について、RippleX エンジニアリング責任者 J. Ayo Akinyele は、XRP Ledger（XRPL）支払いエンジンに10年以上の深刻な脆弱性が存在し、XRPが固定供給量を超えて増発される可能性があると述べました。この脆弱性はバグバウンティプログラムを通じて発見され、まだ悪用されていません。開発チームは xrpld 3.4.1 修正バージョンをリリースし、公開前にバリデーターと調整してネットワークのアップグレードを完了しました。Akinyele は、AI が脆弱性の発見速度を加速させており、XRPL は積極的なセキュリティ投資を強化し、技術的負債を整理し、形式的検証を進め、古いコードの潜在的リスクを体系的に排除すると述べました。

安全研究者 BeakSec によると、Telegram Desktop には以前、高危険度の脆弱性 CVE-2026-107181 が存在していました。攻撃者は、被害者が所属するグループに指令ファイルを事前に置き、ブラウザリダイレクトされたリンクをクリックさせることで、プロセス間通信コマンドインジェクションを利用してローカルファイルを攻撃者が制御するグループに送信することができます。もしセッションファイルが盗まれ、ユーザーがローカルパスワードを設定していなければ、アカウントが乗っ取られる可能性があります。研究者によれば、バージョン 7.2.8 およびそれ以前のバージョンが影響を受けており、脆弱性は 9 月 17 日にリリースされたバージョン 7.2.9 で修正されました。

Bitcoin News の監視によると、Core Lightning は、攻撃者がまだ 26.06.7 およびそれ以前のバージョンのノードを狙っていると述べています。9 月 22 日にリリースされた 26.06.8 パッチは、資金を危険にさらす可能性のあるチャネルの閉鎖問題や、クラッシュやメモリ枯渇を引き起こす脆弱性を修正しました。このプロジェクトは、攻撃者が使用した脆弱性の名前をまだ公開しておらず、資金が盗まれたという報告もありません。まだアップグレードされていないノードの運営者が攻撃の標的となっています。

NEAR Intentsは、安全通知を発表し、攻撃を受けたことを確認しました。初期調査によると、脆弱性はOmniの入出金インフラと契約の相互作用の欠陥に起因しており、現在契約の脆弱性修正が完了し、1時間以内にコアサービスを復旧する予定であり、損失を受けた資産に対して全額賠償を約束しています。NEAR Intentsは、BSC、Polygon、TONなどの複数のパブリックチェーンの入出金サービスが追加で約12時間停止することを示しています。関連する事件は報告され、オンチェーン追跡が開始されています。その後、オンチェーン探偵のZachXBTは、NEAR IntentsのBSCホットウォレットで複数の異常な資金流出が発生し、盗まれた資金がKuCoinに転送され、さらにビットコインネットワークにクロスチェーンで移動されたと述べました。現在、関与している金額は380万ドルを超えています。

Decrypt の報道によると、Google は Chrome ブラウザの中でハッカーに利用された高危険度の脆弱性 CVE-2026-85046 を修正しました。この脆弱性は V8 エンジンに存在し、JavaScript と WebAssembly を実行するために使用されます。Google はこの脆弱性が実際に悪用されていることを確認しましたが、攻撃者の身元、ターゲット、または脆弱性の具体的な利用方法については明らかにしていません。パッチは Chrome 152.7977.82/83 バージョンに含まれており、今後数日または数週間以内に配信される予定です。この脆弱性はセキュリティ研究者 Salvatore Gulizia によって 8 月 4 日に報告され、Google は彼に 1,000 ドルの脆弱性報奨金を授与しました。今回の更新には合計 12 件のセキュリティ修正が含まれており、そのうち 9 件は高危険度、2 件は中危険度です。Google はこの脆弱性を暗号資産の盗難事件と関連付けていませんが、ブラウザのウォレット、取引所アカウント、取引拡張機能は以前に他の方法で攻撃のターゲットとなっていました。

Bitcoin News は X プラットフォームで、Core Lightning 26.06.7 バージョンがリリースされたことを発表し、過去三週間にわたる責任ある開示によって発見された複数の脆弱性が修正されたと述べています。オープンソースのビットコインプロジェクトに対する AI 生成のセキュリティレポートが最近増加しており、具体的な脆弱性情報は、ノードオペレーターがアップグレードを完了するまでの二週間、暫定的に秘密にされます。その後、技術的詳細とソースコードが公開される予定です。開発者は、修正内容を直ちに公開することが攻撃者による脆弱性の逆解析を可能にし、まだ更新されていないノードに対する攻撃を引き起こす可能性があると警告しています。すべての Core Lightning ノードオペレーターは、直ちにアップグレードを行うべきです。現在、Docker イメージは利用できず、開発者はユーザーに対して Docker イメージを待たないよう明確に警告しています。

イーサリアム財団が支援するプライバシーと規制遵守ツール 0xbow.io は、研究者の ross.wei に 5000 ドルの報酬を支払い、Privacy Pools v1 SDK の脆弱性を開示したことに対して報奨しました。この脆弱性は、ユーザーアカウントの主鍵生成のエントロピーを低下させるもので、3 月に修正されました。チームは移行プロセスを提供しており、ユーザーの資金損失は発生していません。

暗号財布 Rabby Wallet は X プラットフォームで発表し、チームは脆弱性を発見した後に修正し、8 月 11 日に更新をリリースしたと述べています。モバイルアプリは影響を受けていません。この脆弱性を引き起こす条件は非常に限られています：財布は悪意のあるウェブサイトに接続する必要があり、ユーザーは自動ロックタイマーを手動で 10 分に設定する必要があります（他の設定は影響を受けません）。現在、野外での悪用行為は発見されていません。

OpenAIは、人工知能を活用してソフトウェアの脆弱性の発見と自動修復を加速することを目的としたネットワークセキュリティプログラム「Daybreak」を全面的に拡張することを発表しました。この拡張の核心は、信頼された防御者向けに提供されるフルバージョンの専用モデル「GPT-5.5-Cyber」です。このモデルは、CyberGymなどの複数のネットワークセキュリティベンチマークテストで最高得点を記録し、GPT-5.5の81.8%や競合のMythos 5の83.8%を超え、脆弱性スキャンとパッチ生成の精度を大幅に向上させることができます。同時に更新されたCodex Securityプラグインは、開発者のワークフローに深く統合されており、全自動のコードベーススキャン、脅威モデリング、パッチ生成をサポートしています。エコシステムの構築において、OpenAIは専用のパートナーシッププログラムを開始し、コンプライアンスに準拠したセキュリティサービスプロバイダーが特定の権限を持つGPT-5.5を商業製品に統合できるようにしています。また、Trail of Bitsなどの機関と共同で「Patch the Planet」プログラムを立ち上げ、Python、Goなどの30以上の基盤となるオープンソースプロジェクトにおける脆弱性修正を支援しています。さらに、OpenAIは現在、アメリカ、イギリス、フランス、日本などの多国政府および機関と深い協力を進めており、グローバルな重要インフラのネットワーク防御能力を共同で向上させることを目指しています。

プライバシーコインプロジェクト Monero は、グラフィカルウォレットソフトウェア GUI 0.18.5 "Fluorine Fermi" バージョンをリリースしました。このバージョンは公式に推奨されるアップデートであり、複数のバグ修正を集中して行っています。今回のアップデートの核心的な最適化内容は以下の通りです：Windows システム下での P2Pool インストールパスをローカルアプリデータディレクトリに調整；統一リソース識別子の極端なシナリオ解析ロジックを改善；長い支払い ID モードでのオフライン取引作成機能を無効化；QR コードスキャンの段階で不安全なテキストのエスケープ処理を追加；P2Pool プログラムを 4.15 バージョンにアップグレードし、同時に多くの細かいプログラムの不具合を修正しました。Monero の公式は、このバージョンが GitHub でオープンソースとしてリリースされており、ユーザーは公式チャネルを通じてダウンロードしてアップグレードすることで、最新のセキュリティ修正と安定性の向上を得ることができると指摘しています。

DeFi Unitedは火曜日にKelp DAOのrsETHクロスチェーンブリッジの脆弱性に対する技術修正計画を発表しました。以前、攻撃者はLayerZero駆動のUnichainからEthereumへのブリッジの脆弱性を利用し、偽のインバウンドデータパケットを通じて116,500枚のrsETHを解放しました。そのうち約107,000枚は現在、AaveとCompoundの7つの関連アドレスに担保として分布しています。DeFi Unitedは、rsETHの支援を回復するために十分なETHのコミットメントを得たと述べており、rsETHに段階的に変換し、ブリッジロック契約に注入します。LayerZero Labsは火曜日に修正作業を支援するために10,000枚以上のETHを投入することを約束しました。清算攻撃者のポジションに関して、連合はAaveとCompoundのガバナンス提案を通じて制御された清算を実行し、それぞれ約13,000枚と16,776枚のETHを回収する見込みです。修正期間中、複数のチェーン上のWETHとrsETHの準備金は凍結状態を維持します。DeFi Unitedは、ガバナンス承認の進捗、攻撃者の干渉の可能性、そして新しいセキュリティ対策が本番環境での検証を待っていることなど、実行リスクについても警告しています。

PMXの公式発表によると、そのPolycule取引ロボットが昨夜ハッカーによって脆弱性を利用され攻撃され、ユーザーの資金が盗まれました。現在、脆弱性の原因は特定されており、修正パッチと監査は今週末にリリースされる予定です。公式は、約23万ドルのユーザー資金が影響を受けたと述べており、システムが復旧次第、金庫を通じてPolygonチェーン上の被害を受けたユーザーに補償し、残高を攻撃前の水準に戻すとしています。

イーサリアムの共同創設者である Vitalik Buterin は X プラットフォームで次のように述べています："私は分散型オープンソースの暗号文書ツール Fileverse に感銘を受けました。毎月、より多くの脆弱性が修正されており、最近では他の人とコメントや共同作業を行うために文書を安心して送信できるレベルに達しました。そして、基本的に問題が発生することはありません。私は、優れた運営のケースが人々が認識しているよりも多いと考えており、Fileverse にはネットワーク効果への依存度がはるかに低いという利点もあります。"

ChainCatcher のメッセージによると、市場の情報では、Typus Finance が発表し、チームは前日に開示された脆弱性に対する内部コード修正を完了したとのことです。現在、独立したセキュリティ専門家の審査を待って再展開する予定です。Typus は、契約が一時停止している間、すべての永久契約ポジションは清算されないことを強調し、ユーザーの担保資産は安全であり、セキュリティチェックが完了した後に回収できるとしています。公式はまた、資金追跡作業がパートナーおよび法執行機関と調整中であり、資産回収計画は内部で策定中であると述べています。チームは、透明性を維持し、重要な進展があった際にはユーザーに迅速に通知することを再確認しました。

ChainCatcher のメッセージ、Loopscale は X プラットフォームでハッキング事件の更新を発表しました。その中で、出金ロジックと脆弱性パッチがセキュリティ会社 Sec3 と独立監査人によって監査されたことが明らかにされました。Vault の出金機能は、米東部時間の明日午前 10:00 にすべてのユーザーに再開される予定であり、同時に事件分析報告書も公開されます。プロトコルの安定性を維持するために、各ユーザーの出金限度に対して一時的な 24 時間制限が実施される見込みです。