パッケージ

台湾のメディアによると、インテルの次世代先進パッケージ技術 EMIB-T は厳しい歩留まりの課題に直面しています。ABF基板サプライヤーの欣興電子（Unimicron）は、7月29日の決算電話会議で、この技術は「まだ成熟していない」と述べ、3社のEMIB-T基板サプライヤー（欣興、揖斐電、新光電気）の2027年末の初回量産段階における歩留まり目標はわずか 50% であると報告しました。EMIB-Tはインテルが台積電のCoWoS-Lに対抗するための先進パッケージソリューションであり、シリコンブリッジを基板に直接埋め込む点が特徴で、シリコン中間層を使用しないため、基板サプライヤーが成功の鍵を握る重要な役割を果たします。グーグルの第9世代TPUは、2028年に量産される際にEMIB-Tパッケージを採用することが決定しており、メディアテックがチップの協調設計を担当しています。このチップが成功裏に量産されれば、出荷量はNVIDIAに挑戦する可能性があります。欣興電子は、顧客（インテル）が利益保証メカニズムを提供しており、たとえ歩留まりが良くなくてもサプライヤーが利益を確保できると述べ、50%の歩留まり目標を達成した後の利益率は会社の平均水準を上回るとしています。現在、EMIB-Tが2027年末までに量産目標を達成できるかどうかには大きな不確実性が残っています。

慢雾の監視によると、MistEyeは大規模なnpmサプライチェーン攻撃を検出し、Keyv/Cacheableエコシステムに影響を与えました。攻撃者は2,000以上の悪意のあるパッケージバージョンを公開し、keyv@6.0を含んでいます。Keyvは広く使用されているキー・バリュー・ストレージの抽象ライブラリで、Redis、SQLite、PostgreSQL、MongoDBなどのバックエンドをサポートし、毎週約1.27億回ダウンロードされており、明らかな下流サプライチェーンの露出を引き起こしています。攻撃手法は以前のShai-Hulud npmワーム活動と非常に似ており、高度に自動化され、スケーラブルなサプライチェーン攻撃を指しています。潜在的な攻撃行為には、資格情報の窃取、環境変数の漏洩、CI/CDキーの漏洩、リモートペイロードの配信、侵害された開発環境を通じた横の拡散が含まれます。セキュリティチームは、影響を受けたパッケージバージョンを直ちに特定して削除し、検証された安全なバージョンにアップグレードし、依存関係のロックファイルとビルドログをレビューし、疑わしい外部接続を監視し、漏洩した資格情報をローテーションし、影響を受けたことを確認した後に環境を再構築する必要があります。

電子タイムズの報道によると、台積電（TSMC）はCoWoSの先進パッケージングにおけるCoW（Chip-on-Wafer）の外注規模をさらに拡大し、より多くのパッケージング注文をASEなどのOSATメーカーに委託する計画です。CoWoSは台積電の2.5Dパッケージング技術であり、GPUなどのAIプロセッサとHBMをインターフェース層を介して接続します。この中でCoWはチップとインターフェース層の結合ステップ、WoSは中基板のパッケージングステップを指します。これまで台積電は主にWoSの外注を行い、CoWは少量のみ委託していました。この措置は、AIチップの需要が持続的に急増しているために生じたパッケージング能力のボトルネックを緩和することを目的としています。台積電は世界のAIチップ製造市場で約**90%**のシェアを占めていますが、NVIDIAなどのメーカーやAIデータセンターの自社開発チップの需要が急増する中で、能力がもはや需要に応えられなくなっています。業界では、OSATが設備投資を大幅に増加させると予想されており、特にウェーハの切断やボンディングなどの後工程分野において顕著です。韓国の複数のレーザー加工およびボンディング設備のサプライヤーが、OSATとCoW設備供給について交渉を行っていることが確認されています。

SolanaFloor の報告によると、Solana の「リソースとパッケージ料金（Inclusion Fee）」提案 SGP-0003 は支持段階に入り、15% のアクティブステーキングの支持を得た場合、この提案は完全なガバナンス投票に入ります。この提案が実施されると、予想される日々の SOL の焼却量は現在の 650 枚（約 5.1 万ドル）から最高 9,000 枚（約 70.2 万ドル）に増加する見込みです。

mempool のデータによると、今日 10:11:00 に、ある独立したビットコインマイナーがブロック 960804 をパッケージ化し、3.157 BTC のブロック報酬を獲得し、約 19.93 万ドルの価値となりました。

英偉達のシニアバイスプレジデントであるGilad Shainerは、最近開催された技術フォーラムで、CPOが量産段階に入ったことを発表しました。英偉達はサプライチェーンと協力して開発したスイッチを、緊密に協力している顧客に納品し、自社でも展開を始めました。今年から、CPO技術を搭載したスイッチが世界中のAI工場に大規模に導入される見込みです。Shainerは、今後の光通信市場の最大のビジネスチャンスは垂直拡張（Scale-up）にあり、そのために必要な帯域幅の性能は水平拡張（Scale-out）の10倍以上になると指摘しました。Shainerは以前、Mellanoxで研究開発を担当しており、同社が英偉達に買収された後、AIプラットフォームのネットワーク伝送部門を担当し、台積電と共同でCOUPEシリコンフォトニクスパッケージプラットフォームを開発しました。この発表は、市場が光通信の仕様アップグレードに対する疑念を打破し、関連企業の業績見通しを高めるのに役立ちます。報道によると、英偉達はSpectrum-XにCPOを先行導入しており、目標は今後大規模に展開されるVera Rubin AIプラットフォーム（計算速度がGB300の少なくとも3倍以上向上）に合わせることです。Trendforceは、CPO/NPO市場規模が2030年までに390億ドルを突破し、2028年から2029年にかけてScale-upによる光相互接続の導入が進むことで成長の勢いが著しく加速すると予測しています。

The Informationによると、台積電(TSM.N)はAIチップのパッケージング技術を開発する予定です。これまで、パッケージングは半導体製造において比較的一般的な工程と見なされていましたが、AIの需要が急増する中で、チップ設計会社はより多くのプロセッサと高帯域幅メモリをますます大きく、複雑なパッケージに統合する必要があります。先進的なパッケージングは業界で最も重要なボトルネックの一つとなっています。インテルは、埋め込み型多チップ相互接続ブリッジ（EMIB）というパッケージング技術を開発しました。この技術は、小さなシリコンブリッジを利用してプロセッサとメモリの間に高速接続を確立します。より大規模な多チップ設計をサポートできるため、より高性能なAIチップを構築し、チップ設計者がサプライチェーンの多様化を実現するのを助けることができるため、NVIDIA(NVDA.O)などの潜在的な顧客の関心を引いています。関係者によると、台積電内部では、エンジニアたちがこの先進的なパッケージングプロジェクトを「類EMIB」と呼び、一部の顧客とこの提案について話し合ったことがあるとのことです。

Injective の公式は X プラットフォームで発表し、最近「Injective npm ソフトウェアパッケージに関する潜在的なセキュリティリスク」に関する報道があったことを述べましたが、現在その問題は即座に発見され、解決されました。ユーザーの資金は一度もリスクにさらされず、損失もありませんでした。公式は、そのセキュリティ監視システムが最初にこの問題を検出し、迅速に影響を受けたソフトウェアパッケージのバージョンを廃止としてマークし、新しいバージョンに置き換えたため、悪意のあるパッケージがダウンロードされる前にリスクを遮断したと述べています。したがって、この悪意のあるソフトウェアパッケージのダウンロード数はゼロであり、ユーザーに何の影響も与えず、ユーザーの資金の安全も脅かされていません。Injective の npm ソフトウェアパッケージは暗号通貨分野で最も広く使用されている SDK の一つであり、公式は現在最適化措置を実施し、このような攻撃の試みが再発しないようにしています。

慢雾 SlowMist は安全警報を発表し、協調的な悪意のある npm サプライチェーン攻撃を監視しました。攻撃者は偽の取引ボットリポジトリと DeFi テーマの npm パッケージを利用して JavaScript 情報窃取器を投下し、ターゲットは npm ユーザー、DeFi 開発者および取引ボットユーザーです。今回の攻撃には 30 の悪意のある npm パッケージが関与しており、その中の stake-math@3.5.4 が donoaccestag/forex-mt5-trading-bot リポジトリにロック依存関係として現れています。このリポジトリは約 2300 の高度に同質化されたバルク生成フォークを呈示しており、大部分は poly-stocks アカウントに集中しています。信号は異常に明確です。攻撃者が窃取できる敏感データの範囲は非常に広く、暗号ウォレットライブラリ、ブラウザの Cookie と保存されたパスワード、ブラウジング履歴、開発者の資格情報、Shell の履歴、パスワードマネージャーライブラリ、秘密鍵、助記詞およびソースコードに露出した API トークンが含まれます。慢雾は開発者に対し、影響を受けた npm パッケージを直ちに削除し、package.json と package-lock.json および CI ログに 30 の悪意のあるパッケージのいずれかが含まれていないか監査することを推奨します。また、npm install を実行したシステムは侵害されている可能性があると見なし、すべての露出したウォレット、秘密鍵、npm トークン、クラウド資格情報、SSH キーおよび API トークンをローテーションし、クリーンなイメージから影響を受けた環境を再構築することを推奨します。

慢雾は発表し、140以上のMastra関連のnpmソフトウェアパッケージがサプライチェーン攻撃を受け、影響を受けたバージョンは悪意のある依存関係easy-day-js@1.11.22を導入し、インストール段階で攻撃者が制御するコードの実行を引き起こすことを示しています。

慢雾の監視によると、IronWormという名前の新型Rustサプライチェーンマルウェア活動が、悪意のあるnpmパッケージを通じて開発者環境とWeb3エコシステムを攻撃しています。潜在的な攻撃行為には、認証情報の窃取、ウォレットのニーモニックとパスワードの盗取、GitHubリポジトリの改ざん、悪意のあるパッケージの公開、CI/CDの機密漏洩、Torベースのコマンドコントロール、eBPFルートキットの隠蔽が含まれます。セキュリティチームは、リポジトリ内のリバートコミット、疑わしいブランチ、予期しないビルドフック、およびclaude、dependabot、renovate、またはgithub-actionsなどの自動化されたアイデンティティによるコミットを監査するべきです。影響を受けたパッケージのバージョンを削除または廃止し、クリーンなバージョンを公開し、漏洩したすべてのキーとトークンをローテーションし、GitHub Actionsのコンポーネントをレビューし、クリーンなイメージから損傷を受けた可能性のある開発またはCIシステムを再構築することをお勧めします。

慢雾 SlowMist は安全警報を発表し、@redhat-cloud-services に関連するソフトウェアパッケージをターゲットとした活発な npm サプライチェーン攻撃を検出しました。現在、31以上のパッケージが影響を受けていることが確認されており、週のダウンロード数は約 116,000 回、300 以上の GitHub リポジトリに盗まれた認証情報が存在します。この攻撃手法は以前の "Shai-Hulud" npm 攻撃と非常に類似しており、認証情報の窃取、悪意のあるリポジトリの作成、自動化された秘密の漏洩が含まれます。現在も新たな疑わしいリポジトリが継続的に出現しており、攻撃が続いていることを示しています。開発者は引き続き感染しています。潜在的な危害には、GitHub/npm トークンの盗難、AWS/GCP/Azure クラウド認証情報の漏洩、SSH キーと Kubernetes 秘密の収集、ローカル環境およびウォレットデータの漏洩、悪意のあるリポジトリの作成および持続的な操作、さらにはトークンが取り消された後に破壊的な行動を引き起こす可能性があります。影響を受けた @redhat-cloud-services パッケージのバージョンを直ちに削除またはダウングレードし、CI/CD ワークフローと依存関係のインストールを全面的に監査し、すべての GitHub、npm、クラウドサービス、SSH およびウォレット関連のキーをローテーションし、ログを保持し、クリーンなイメージから露出した開発者マシンまたは Runner を再構築し、常に高い警戒を維持することをお勧めします。

慢雾の発表によると、安全機関MistEyeは、npm、PyPI、crates.ioに悪意のあるパッケージを公開することで、暗号通貨、DeFi、Solana、Sui/MoveおよびAI分野の開発者を標的としたクロスレジストリサプライチェーン攻撃事件を検出しました。この攻撃活動には、34以上の悪意のあるパッケージと384以上の関連バージョンが含まれています。攻撃者は暗号通貨ウォレット、SSHキー、クラウド認証情報、GitHub/AWSトークン、ブラウザデータ、環境変数および開発者の機密情報を盗む可能性があります。一部の悪意のあるペイロードは、.cursorrules、CLAUDE.md、Gitフック、シェルフック、cron、systemdおよびSSHを通じて持続的な駐留を試みています。開発者には、影響を受けたパッケージを直ちに削除し、影響を受けたシステムを隔離し、ログを保持し、露出した認証情報をローテーションし、クリーンなイメージからCI実行環境と開発者マシンを再構築し、GitHub、クラウドサービス、SSHおよびウォレットの活動記録を確認することをお勧めします。

安全会社 Socket Security は、TrapDoor と呼ばれる暗号通貨窃盗活動が npm、PyPI、Crates.io などのソフトウェアパッケージリポジトリで積極的なサプライチェーン攻撃を開始していることを明らかにしました。現在、34 の悪意のあるパッケージと 384 のバージョンおよびコンポーネントが発見されており、攻撃者は各エコシステムに新しいバージョンを継続的にプッシュしています。TrapDoor は主に暗号通貨、DeFi、AI、セキュリティ分野の開発者をターゲットにしており、ウォレット、SSH キー、クラウド認証情報、GitHub トークン、ブラウザデータ、環境変数、API キーを盗みます。Socket が検出した悪意のあるバージョンの中央値検出時間は 5 分 27 秒で、最も早い検出はリリース後 58 秒で発生しました。

Money Todayの報道によると、韓国金融委員会は7月にトークン証券の詳細なルールを発表し、来年2月の実施に向けて準備を進める予定です。同国の金融当局は、複数の基礎資産をパッケージ化してフラグメンテッド投資証券を発行することを許可し、株式や債券などの伝統的な証券のトークン化のロードマップを策定します。金融委員会は、以前は基礎資産をパッケージ化してフラグメンテッド証券を発行することを禁止していたが、今後は一定の範囲内で同類の資産をパッケージ化することを許可する意向を示しています。金融委員会は、市場秩序と投資家保護が基本的な前提であると強調していますが、規制を主とすることはないとしています。フラグメンテッド投資証券の発行プラットフォームの年間投資限度額は1000万から2000万ウォンで、クラウドファンディングは1件あたり500万ウォン、合計1000万ウォンです。非上場株式の店頭取引所の年間売却限度額は3億ウォン、投資契約証券の店頭取引所は4000万ウォンです。

Decrypt の報道によると、マイクロソフトの脅威インテリジェンス部門は、攻撃者が PyPI プラットフォームを通じて配布される Mistral AI ソフトウェアパッケージに悪意のあるコードを埋め込んだことを明らかにしました。この悪意のあるコードは、開発者が Linux システムで使用する際に自動的に実行され、transformers.pyz という名前の悪意のあるファイルをダウンロードし、バックグラウンドで実行します。このファイル名は、広く使用されている Hugging Face Transformers ライブラリを模倣して視覚的に混乱させるように意図されています。マイクロソフトは、この悪意のあるソフトウェアが主に開発者のログイン資格情報とアクセストークンを盗むことを指摘し、ロシア語システムを回避することがあり、一部のコードはイスラエルまたはイランにあるデバイスのファイルをランダムに削除する可能性があると述べています。この攻撃は、9 月に開始された "Shai-Hulud" サプライチェーン攻撃活動に関連しています。Mistral は、調査の結果、攻撃が侵害された開発者のデバイスから発生したことを示しており、同社のインフラは侵害されていないと応じています。

SlowMist CISO 23pds が発表しました。パスワード管理ツール Bitwarden CLI バージョン 2026.4.0 が、米東部時間の 17:57 から 19:30 の間に Checkmarx のサプライチェーン攻撃を受け、攻撃者は Bitwarden CI/CD パイプライン内の GitHub Action を悪用して、悪意のあるパッケージを一時的に npm 経由で配布しました。公式に確認されたところによると、Vault データは漏洩しておらず、製品システムには影響がありませんでした。影響を受けたのは、その時間帯に npm からこのバージョンをインストールしたユーザーのみです。公式は、影響を受けたユーザーに対し、2026.4.0 を直ちにアンインストールし、npm キャッシュをクリアし、API トークンや SSH キーなどの機密資格情報をローテーションし、GitHub と CI の異常な活動を調査し、修正バージョン 2026.4.1 にアップグレードすることを推奨しています。