安全

韓国メディアMaeil Businessの報道によると、韓国金融監督院の資料が示すところでは、韓国中央銀行主導のCBDC第一段階試験プロジェクト期間中、金融当局は独立した安全検証を行わず、参加銀行が自ら事前の安全審査を行った。プロジェクト開始前に参加銀行に対してIT脆弱性の自己評価が行われ、金融安全院、SK Shields、友利銀行、農協銀行の自己点検チームが共同で実施し、「規制対象者の自己検査」という評価モデルが形成された。中央銀行は試験結果報告の中で、外部からの預金トークンの安全性に対する疑問を認め、事前審査は十分であったと応じたが、批評家はその説明が自己評価に過ぎず、独立した第三者の検証ではないと指摘している。

慢雾の創設者余弦がXプラットフォームでClaude Codeの潜在的な毒攻撃リスクに関するツイートをリツイートし、Grok Build CLIおよびClaude Code CLIに対する毒攻撃の詳細分析を発表しました。その中で、Grok Build CLIのセキュリティメカニズムは統一されておらず、異なるコードパスには異なる信頼仮定が存在し、その隙間が攻撃者の通路となることが指摘されています。攻撃者は悪意のあるプロジェクト設定ファイルを通じて、ユーザーが知らないうちに任意のコマンドを実行し、APIキー、クラウド認証情報、またはローカルデバイスを制御する可能性があります。研究者はテスト環境を構築し、MacシステムにおいてClaude Codeが影響を受けた場合、特定のテストコマンドを実行後にローカル計算機が起動することを確認し、潜在的なコマンド実行リスクが存在することを証明しました。攻撃が成功した場合、攻撃者はClaude、OpenAIなどのAIサービスのAPIキーをさらに盗み、アカウントの費用損失を引き起こし、AWS、アリババクラウド、テンセントクラウドなどのクラウドサービスの認証情報を取得してサーバーやデータにアクセスし、コードリポジトリを改ざんしてバックドアを埋め込み、ローカルデバイスを利用して企業内部ネットワークへの攻撃を行う可能性があります。関連する脆弱性はすでに1年間存在しているとのことです。

Gate USはSoFiと提携し、インフラストラクチャーパートナーとなり、金融の未来の発展を推進します。全国的な特許銀行であるSoFiは、強力な金融力、堅実な規制基盤、現代的な銀行インフラを備えており、従来の金融とデジタル資産の間でよりスムーズな接続を促進します。この提携を通じて、Gate USはSoFiのBig Business Bankingアカウントを利用開始し、これはアメリカのエコシステムに安全で、コンプライアンスに準拠し、スケーラブルな金融ソリューションを構築するための一環です。同時に、Gate USはACHおよびWire機能の導入を準備しています。ACHサービスが開始されると、ユーザーは銀行口座をリンクし、直接Gate USアカウントに入金できるようになると予想されています。今後導入されるWire機能は、機関レベルの銀行インフラストラクチャーによってサポートされるより大きな額の迅速なアメリカ国内送金を支援することを目的としています。この2つの機能は、Gate USがライセンスを取得しているアメリカの司法管轄区で展開される予定で、Gate USのコンプライアンス優先の理念を強調しています。Gate USは36州のMTLライセンスを保持し、アメリカの47の司法管轄区で事業を展開しています。さらに、Gate傘下の複数の法人は、マルタ、バハマ、日本、オーストラリア、ドバイなどの司法管轄区で関連する規制登録、ライセンス申請、または認可と承認を完了しています。今後、Gate USはコンプライアンスインフラの構築を進め、デジタル資産サービスのアクセス可能性を拡大し、ユーザーにより安全でスムーズな金融ソリューションを提供していきます。

マスク氏は、安全脆弱性のレビューが完了した後、Xは例外なくすべてのコードベースをオープンソース化すると述べました。さらに、Xは第三者の監査人を招待して、実際に稼働しているシステムが公開されたソースコードと一致していることを確認します。

Cardanoのガバナンス会社IntersectはXプラットフォームで発表し、EMURGOは最近SecondFiのセキュリティ事件の処理に集中しているため、Token2049イベントを実行するために必要なリソースを調整できないと述べました。三者協議の結果、このイベントの引き渡し責任は正式にCardano財団に移転されました。EMURGOはIntersectに移転リクエストを提出し、Cardano財団との議論を経て各方面の同意を得ました。Intersectは、この決定はイベントの時間的緊急性と引き渡しの不確実性を避ける考慮に基づいていると述べました。Cardano財団は承認された範囲内でイベントを引き渡すことに同意し、EMURGOとIntersectは過去のイベント実行能力を認めています。Token2049の引き渡し作業は正式に移管され、イベントは10月に開催される予定です。以前の6月の情報によると、SecondFiはセキュリティ事件が約1,600万ADA（当時約242万ドル）に影響を与えたと発表しましたが、SlowMistはSecondFiのユーザー損失が2,000万ドルを超える可能性があると述べています。

ENS DAOが提案を発起し、EP 6.50の選挙結果に基づいて新しい安全理事会を設立することを計画しています。任期は2年間で、2028年7月16日に終了します。提案の説明によれば、新しい安全理事会は既存の責任を引き継ぎ、ENS DAO内の悪意のある提案を取り消す責任を引き続き負いますが、提案を発起、修正、または積極的に推進する権限は持ちません。この提案は、DAOのTimelockControllerに相応の権限を付与することで構成されます。提案はまた、2年の任期が満了した後、DAOが新しい提案を通過させて延長しない場合、いかなるアドレスも関連する関数を呼び出してその取り消し提案権限を撤回できることを示しています。

Qubicの公式Xアカウント（@Qubic）によると、Qubic GitHub組織は7月13日にセキュリティインシデントが発生しました。侵害されたアカウントがコードリポジトリにアクセスし、機密情報を抽出しました。公式が介入して処理を行っています。公式は以下のユーザーに直ちに行動を取るよう推奨しています：ネットワークガーディアン（Network Guardian）は直ちにシードをローテーションするべきです；ウェブウォレットユーザーは、当日03:00～10:00 UTCの間にウォレットを解除した場合、新しいアイデンティティに移行してください；最後の解除時間が不明な場合も、同様に移行を推奨します；開発者は公式の監査が完了するまで、Qubicのコードリポジトリからコードをプルまたはデプロイするのを一時停止するべきです。公式は、完全な詳細および今後の更新は公式Discordチャンネルで発表されると述べ、ユーザーに非公式な情報を信じないよう警告し、誰もが理由を問わずユーザーのシードを要求してはならないと警告しています。事件の善後報告は処理が完了した後に発表されます。

Bitcoin.comによると、Coinbaseの最高政策責任者Faryar ShirzadはXでアメリカ合衆国上院議員Elizabeth WarrenのCLARITY法案に対する批判に応じて、この法案は国家安全保障を弱体化させるものではなく、デジタル資産プラットフォームをより強力な規制の下に置くものであると述べました。Elizabeth Warrenは以前、CLARITY法案の現在の草案が制裁を回避する機会を提供する可能性があると述べていました。Faryar Shirzadは、この法案が暗号プラットフォームに対してより厳格な国家安全基準を遵守することを要求し、プラットフォームが法執行機関の要求に応じて疑わしい取引を凍結することを許可すると述べました。アメリカ合衆国上院議員Cynthia Lummisは以前、CLARITY法案には16項目の違法金融防護措置が含まれており、この法案が2030年までにアメリカ合衆国議会が包括的なデジタル資産規則を通過させる最後の主要な機会である可能性があると警告しました。

Gateは最近、顧客9****6からの安全項目の変更および資金損失事件に関する詳細な調査説明を発表しました。内部レビューを経て、プラットフォームは申請者が顧客アカウントと高度に一致するEmail、電話番号、実名情報、取引履歴およびAlipayの録画などの資料を提出したことを確認しました。プラットフォームは、Alipayの録画には顧客のAlipayアカウントにアクセスし、複数の本人確認を成功裏に通過する必要があり、申請者がアカウント情報だけでなく、顧客の外部実名情報、Alipayアカウントおよびデバイス権限を事前に取得していることを示していると指摘しました。プラットフォームはその安全な解除審査が「多チャネルによる事前通知 + システムリスク管理の初期スクリーニング + 人工による多層的な再確認 + 時間保護」の四重の検証プロセスを実行していることを強調し、二重チャネルで顧客に通知した後、異議がない場合は二日待ってから申請を処理し、修正後にはさらに24時間の出金禁止保護を設けています。調査の結果、プラットフォーム内部には情報漏洩のログは存在せず、一部の申請者が提供した敏感な身分情報はプラットフォームが以前に把握していなかった外部情報であることが判明しました。資金回収に関して、プラットフォームは資金の流れを整理し、複数の部門と連携してブロックチェーン分析および資産追跡を行い、Tetherなどの第三者と連携して凍結プロセスを進めており、今後は司法調査に協力する予定です。プラットフォームは顧客に対してデバイスの全面的な安全強化を行うよう提案し、顧客が三日間の通知期間内にプラットフォームに連絡しなかったことを遺憾に思っています。

The Blockによると、保管機関BitGoは、Bitcoin機関ウォレット向けに次世代の量子安全ツールを導入し、機関がUTXOモデルウォレットの量子関連リスクを評価、管理、低減するのを支援すると発表しました。BitGoは、このソリューションがそのマルチシグネチャアーキテクチャに基づいて、アドレスをグループ化し、UTXOを優先順位付けする新しい方法を導入していると述べています（暫定特許出願済み）これは、一部の資金を消費することによって公鍵が露出するリスクを減少させるためです。この方法は、最初から公鍵が露出するアドレスのタイプ（例：Taproot、Pay-to-Public-Key）をカバーしておらず、関連するアドレスは別のセキュリティ対策を講じる必要があります。

The Block の報道によると、Cash App の親会社である Block は、アメリカの約 50 の州の規制当局と、同社の誤解を招く安全宣伝および不十分な詐欺対策に関して 4500 万ドルを支払うことで和解することに同意しました。規制当局は、Block が Cash App を従来の銀行と同等の資金安全保障を持つと宣伝しているが、十分な詐欺検出システムを構築しておらず、効果的な詐欺通報ホットラインも提供していないため、ユーザーが詐欺による損失を被ったと指摘しています。さらに、規制当局は、Block が詐欺の増加を知りながらもマーケティング活動を継続し、プロモーション活動において詐欺リスクを誇張していると非難しています。和解協定に基づき、Block は顧客サポートサービスを充実させ、24 時間の有人カスタマーサポートを提供し、Cash App の安全性に関する宣伝を停止する必要があります。Block は不正行為を否定し、和解は以前に開示された歴史的な遺留問題に関するものであると述べています。

Cardano ウォレットサービスプロバイダー SecondFi は、最新の盗難事件の更新を発表し、今週「隔離モード」を導入することを発表しました。ユーザーはウォレットアドレスが関連する事件に関与しているかどうかを確認し、チケットを提出することができます。来週には、安全なウォレットエクスポート機能を導入し、異なる技術レベルのユーザーにより安全なウォレット移行経路を提供する予定です。SecondFi は、プロセス確認を経て影響を受けたウォレットに対して潜在的な資産回収プランを提供することを再確認しました。これは、ゼロ知識証明に基づく回復ツールを通じて資格と条件を設定することを見込んでいます。また、公式は私鍵やリカバリーフレーズを要求しないことを警告しており、ユーザーは公式ウェブサイトのサポートと指定されたチェックツールを通じてのみ操作を行うべきです。

工業情報化部のネットワークセキュリティ脅威と脆弱性情報共有プラットフォーム（NVDB）が7月8日に通報したところによると、最近、アメリカのAnthropic社が開発したAIプログラミングツールClaude Codeに深刻なセキュリティバックドアのリスクが存在することが監視によって発見されました。通報によれば、影響を受けるClaude Codeのバージョンは2.1.91から2.1.196です。このツールには監視メカニズムが内蔵されており、ユーザーの同意なしに、リモートサーバーにユーザーの地域、IDなどの敏感なデータを無断で送信することができます。公式は、関連する機関やユーザーに対して、直ちに全面的な調査を行い、上記の影響を受けたバージョンの端末をアンインストールするか、関連するバックドアコードが削除された最新の安全バージョンにアップグレードすることを推奨しています。また、コアビジネスネットワーク内の開発ツールの外部接続権限の管理とトラフィック監視を強化し、敏感なデータの不正な外部送信を防ぐべきです。

孫宇晨は X プラットフォームで次のように発表しました："BitTorrent チームから通知を受けましたが、彼らは BTTC Bridge Sunset Program（BTTC クロスチェーンブリッジ退役プログラム）を完了しました。今後、BitTorrent チームは分散型 AI および BitTorrent の分散型プロトコルの維持により一層注力します。すべての資金は安全であり、ユーザーは提携している中央集権型取引所を通じて BTTC Bridge の資金を引き続き出入金できます。"

金十の報道によると、国際海事情報センター JMIC はホルムズ海峡の海上安全脅威レベルを「深刻」に引き上げました。

安全会社 Coinspect Security は X プラットフォームで発表し、2018 年以来使用されている不安全なコードで生成された暗号ウォレットのシードを分析した結果、数千のシードが実際に使用されていたことを発見しました。先月だけでも、これらのウォレットから盗まれた金額は 314 万ドルに達し、その大部分は報告されていません。一部の資金は単一のアドレスに集中して転送され、マネーロンダリングのパターンが見られます。影響を受けたあるアドレスは、警告が発表されてから数時間後に 200 万ドルを転送しており、盗難かどうかは不明です。Coinspect は、多くの資産が依然としてリスクにさらされていると考えるユーザーが中国にいる可能性があると警告しています。

The Defiant の報道によると、ENS コミュニティのメンバー Christoph Jentzsch が X プラットフォームで ENS DAO の自発的解散を提案し、「ENS DAO はすでに崩壊している」と述べ、ENSv2 Universal Router の鍵を破棄し、残りの資金を配分して ENS を正式に公共インフラに転換することを提案しました。Jentzsch は 2016 年の「The DAO」のコードを作成した経験があり、現在は Tokenize.it を運営していますが、ENS ガバナンスにおいては公式な役職には就いていないと述べています。以前、ENS の共同創設者 Nick Johnson は、プロトコルを利用して約半数のアクティブ投票権を使い、安全理事会の更新投票を一方的に否決しましたが、約 2 週間前には、自ら委任した近半数のアクティブ投票権を使って、ENS 財団の資金管理権を拡大する別の提案を支持しました。

慢雾 SlowMist は安全警報を発表し、協調的な悪意のある npm サプライチェーン攻撃を監視しました。攻撃者は偽の取引ボットリポジトリと DeFi テーマの npm パッケージを利用して JavaScript 情報窃取器を投下し、ターゲットは npm ユーザー、DeFi 開発者および取引ボットユーザーです。今回の攻撃には 30 の悪意のある npm パッケージが関与しており、その中の stake-math@3.5.4 が donoaccestag/forex-mt5-trading-bot リポジトリにロック依存関係として現れています。このリポジトリは約 2300 の高度に同質化されたバルク生成フォークを呈示しており、大部分は poly-stocks アカウントに集中しています。信号は異常に明確です。攻撃者が窃取できる敏感データの範囲は非常に広く、暗号ウォレットライブラリ、ブラウザの Cookie と保存されたパスワード、ブラウジング履歴、開発者の資格情報、Shell の履歴、パスワードマネージャーライブラリ、秘密鍵、助記詞およびソースコードに露出した API トークンが含まれます。慢雾は開発者に対し、影響を受けた npm パッケージを直ちに削除し、package.json と package-lock.json および CI ログに 30 の悪意のあるパッケージのいずれかが含まれていないか監査することを推奨します。また、npm install を実行したシステムは侵害されている可能性があると見なし、すべての露出したウォレット、秘密鍵、npm トークン、クラウド資格情報、SSH キーおよび API トークンをローテーションし、クリーンなイメージから影響を受けた環境を再構築することを推奨します。

バイナンスの共同CEOリチャード・テンがMiCA規制の移行について声明を発表し、ユーザー資産の安全性を強調しました。影響を受けたユーザーは、通知されたオプションを引き続き利用でき、出金機能も含まれています。バイナンスは影響を受けたユーザーと直接コミュニケーションを取り、今後のステップや利用可能なオプションについて説明しています。また、ユーザーには公式チャネルを通じてカスタマーサービスに連絡することを推奨しています。テンは、チームの重点は移行期間中にユーザーに明確な指針、サービスの継続性、そして信頼を提供することだと述べました。