攻撃者

ホスティング型クロスチェーンブリッジ Long は、9月14日に WETH ハッキング事件の事後報告を発表しました。当日 07:07 UTC、ブリッジは Robinhood Chain の金庫から攻撃者のアドレスに 46.7928 WETH（約 11.8 万ドル）を支払いました。ユーザー資金の損失はなく、金庫はプラットフォームの収益から全額補填され、ブリッジは再構築され強化され、引き続き運用されています。復旧期間中、一部の注文は数時間遅延しました。ブリッジのキーパーは、RPC を通じて Arc 上の消失イベントを読み取り、資産を解放しました。その時、公式のメインネットエンドポイントはオンラインではなく、公共の RPC に依存していました。バックアップエンドポイントが過剰になった後、メインエンドポイントは短いウィンドウ内でキーパーに偽造出金イベントログを提供しましたが、これらのイベントは Arc 上には存在しませんでした。キーパーは当時、リプレイと重複支払いに対する防護を行っており、データソースを疑問視せず、そのために WETH を解放しました。同時期に他の三件の偽造出金はすべてチェーン上で取り消されました。偽造イベントは RPC チャネルを通じて入り、契約、キー、金庫は突破されませんでした。

Osmosis の公式によると、以前の Nomic チェーン nBTC イベントに対する解決策提案がオンラインになり、正式にコミュニティの議論に入ったとのことです。提案によれば、Osmosis ガバナンスコミュニティは、以前に凍結された攻撃者の資産を押収することを検討し、コミュニティの資金プールに蓄積された BTC を使用して残りの担保ギャップを補填し、Alloyed BTC の完全な担保サポートを回復することを目指します。現在、この提案はまだガバナンスの議論と投票を経る必要があり、資産の押収や担保の補填は完了していません。

Ton ネットワーク DePIN プロジェクト PinGo の公式発表によると、プロジェクトは再びネットワーク攻撃に遭い、攻撃者は一部の関与トークンを販売したとのことです。現在、PinGo チームはチェーン上の資産を整理し、このセキュリティ事件に積極的に対処しています。報告によると、Gate は現在 PinGo トークンの入金を一時的に停止しています。PinGo チームは、事件の進展に応じて今後の情報を継続的に開示すると述べています。事件の影響を受けて、PINGO の価格は一時的に 70% 上昇し、現在の価格は 0.03 米ドルです。

自称「ホワイトハットハッカー」の攻撃者が Liquid Network から約 4000 枚の BTC を引き出した後、月曜日にそのうちの 3400 枚の BTC（約 2.692 億ドル）をこのサイドチェーンの連邦ウォレットに返還し、約 85% の資金を回収しました。事件は日曜日に始まり、ある顧客が SideSwap のペグアウトサービスに 4000 枚の L-BTC を送信しました。攻撃者はビットコイン取引メッセージを通じて「ホワイトハットハッカー」と名乗り、先に脆弱性を修正するよう要求しました。Blockstream はその後、署名メッセージを送信し「ブリッジノードは修正され、安全に資金を返還できる」と述べ、攻撃者はすぐに送金しました。それにもかかわらず、約 598.5 枚の BTC（約 4700 万ドル）が関連アドレスに残っています。Ledger の最高技術責任者チャールズ・ギルメットは「ホワイトハット」という主張に疑問を呈し、もしこれがオンチェーンの暗号契約に基づく交渉報酬であれば、むしろ恐喝のように見えると述べました。Liquid はブリッジノードを無効にし、取引所に L-BTC の入出金を一時停止するよう要求しましたが、残りの資金の処理計画や正常運営の再開時期はまだ発表されていません。

Decrypt の報道によると、Galaxy Research は、Coldcard ハードウェアウォレットの第三波攻撃者が最近 97.09 BTC を移転したと述べており、現在の価格で計算すると約 770 万ドルに相当し、この波で盗まれたビットコインの約 45% を占めています。その中で、攻撃者は 9 月 2 日に約 20.5 BTC を THORChain を通じてイーサリアムにクロスチェーン転送しました。その後、一部の資金を CoinJoin 混合プロセスに移し、資金追跡の難易度を上げました。現在、攻撃者が第三波攻撃で設立した 293 の 2-of-2 マルチシグアドレスのうち、11 が空になっています。報道によると、今回の Coldcard セキュリティ事件は 2021 年に導入されたファームウェアの脆弱性に起因しており、ウォレットのリカバリーフレーズ生成のランダム性が大幅に低下し、攻撃者がオフラインで秘密鍵を再構築し、資金を盗む可能性が生じました。現在までに、Coldcard 攻撃事件全体で約 82% の盗まれた BTC はまだ移転されていません。Galaxy Research は、最新の発見された疑わしい被害アドレスを統計に含めると、関連する盗まれた BTC の総量は約 1806 枚に達し、価値は約 1.44 億ドルになる可能性があると考えています。

慢雾の警告によると、BSCチェーン上で2名の攻撃者が最近のNotional Financeの脆弱性攻撃手法をコピーしていることが検出されました。攻撃者は前期準備を完了し、同じ脆弱性パターンを利用して悪意のあるfCashポジションを作成しました。現在、攻撃は完全には実行されておらず、悪意のあるポジションは期限を待っています。期限が来ると、攻撃者はポジションを決済し、プロトコルから資産を引き出す可能性があります。慢雾は影響を受けたプロジェクトに対し、ポジションの期限前に防御を完了するよう強く推奨しています。

Galaxy Research は発表し、Coldcard "Wave 3" 攻撃事件の攻撃者が引き続き盗まれた資金を移動させていることを示しています。この段階で、攻撃者は各被害者の資産に対してそれぞれ 293 の 2-of-2 マルチシグウォレットを作成しました。最初の資金は THORChain を通じてイーサリアムに移動され、最新の移動は CoinJoin 混合プロセスに入ることが始まりました。現在、Wave 3 の攻撃者は盗まれた金額に基づいてランキングを行い、規模の大きい資金を順次処理しており、すでにランキング第 1 位から第 11 位のウォレットを順番に移動させています。まだ移動されていない次の 10 のウォレットは合計で 30.81 BTC を保有しており、ランキング第 61 位から第 293 位のウォレットは合計で 33.77 BTC を保有しています。これまでのところ、攻撃者はこの脆弱性を利用して盗まれた資産の約 45% を移動させており、資金はイーサリアム（THORChain 経由）または CoinJoin 混合取引に流れています。さらに、この資金移動では以前知られていなかったウォレットが発見されました：58 のアドレスが Wave 3 と同じ形式の 2-of-2 マルチシグ方式で共同支出し、Wave 3 の攻撃者によって CoinJoin に資金を提供するジャンプアドレスにさらに転送されました。オンチェーン分析チームは現在、このウォレットを "cause = open" とマークしていますが、Coldcard の被害者に属する可能性が高いと考えています。これは、Wave 3 に関与するウォレットの数が 294 に増加する可能性があり、以前発表された Coldcard の脆弱性による盗まれた総額が約 1806 BTC に引き上げられることを意味します。現在、約 82% の盗まれた BTC は攻撃者が最初に制御していたアドレスに残っており、約 18% は移動されており、資金の流れはマネーロンダリング処理が行われている可能性を示しています。

チェーン上の探偵Specterの監視によると、BalancerはV1攻撃を受けている疑いがあり、ある攻撃者が資金を継続的に移動させており、現在25万ドルの利益を上げています。関連アドレスは0x112...E0aEです。

市場の情報によると、Tectonicの攻撃者のマークされたアドレスが2,658.9枚のETH（約665万ドル）をTornadoCashに預け入れました。

Galaxyの研究責任者の監視によると、COLDCARD Wave 3の攻撃者が初めて盗まれた資金を移転し、THORChainのクロスチェーンDEXを通じてETHに交換しました。これはWave 1、2、または3の中で、元のハッカーアドレスから初めてオンチェーンで移転された資金です。

安全会社Defimonは、YAM Financeに対するガバナンス乗っ取り攻撃を検出したと警告を発表しました。攻撃者は約50.4万枚のYAM（総供給量の約3.3%、法定投票の閾値をわずかに上回る）を自己委任した後、YamGovernorAlpha提案#45を提出しました。この提案は空であり（"0x"）、唯一の操作はYAM Timelock契約のsetPendingAdminメソッドを呼び出し、攻撃者のアドレスを指すことです。報告によると、この提案が投票で承認され実行されると、攻撃者はpendingAdminとなり、その後acceptAdminを通じてTimelockを完全に制御できるようになり、すべてのYAMプロトコル契約およびDAO金庫の管理権限を持つことになります。リスク額は約33.7万ドルにのぼります。現在このプロトコルは休眠状態にあるため、Defimon AlertsはYAMを保有するユーザーに対し、ブロック高25897343（約34時間残っている）までにこの提案に反対する投票を行うよう警告しています。

ブロックチェーンセキュリティ会社 Blockaid は、Flow EVM 上の More Markets（More Labs）が脆弱性を利用されたことを監視したと述べています。攻撃者は Ankr バインディング型 LST（流動性ステーキングトークン）と E-Mode メカニズムを利用することで、More Markets の WFLOW 借入準備金を成功裏に引き出しました。Blockaid の監視によると、攻撃者は mFlowWFLOW 準備金から約 1,550 万枚の WFLOW を転出し、検出された影響額は約 930 万ドルであり、関連する攻撃取引クラスターには脆弱性利用後の資金移動操作も含まれています。現在、事件の具体的な損失および攻撃者の資金の行方はさらに確認中です。

Onchain Lens の監視によると、Avici が攻撃を受け、損失総額は約 102 万ドルです。攻撃者は 1 万枚の SOL を別のウォレットに送金し、約 102 万枚の USDC に交換しました。その後、クロスチェーンブリッジを通じて移動し、約 418 枚の ETH に交換されました。

Solanaの新しい銀行Aviciが継続的な攻撃を受け、攻撃者はユーザーから100万ドル以上を盗みました。攻撃者のウォレットは10,005.03 SOL（約107万ドル）と約11,600ドルのUSDCおよびUSDTを保有しています。攻撃の手法は、まずAviciの認可プログラムのSubmitSignaturesを呼び出し、次に担保プログラムのAddCollateralAdminを呼び出し、最後にWithdrawCollateralAssetを実行して残高を引き出すというものです。Aviciの2つのプログラムはどちらもアップグレード可能で、マルチシグではなく同じ通常のSolanaアカウントを共有しています。Aviciは最初の盗難取引が発生してから1時間53分後に確認の投稿を行い、「カード残高の引き出しに影響を与える問題を認識しており、すべての関連パートナーと直接協力して解決に取り組んでいる」と述べました。それ以前に、ユーザーはソーシャルメディアで残高が盗まれたと報告していました。匿名のブロックチェーンアナリストSTACCが設立したリアルタイムトラッカーは、約9 USDCから26,000 USDTを超える金額まで、125の異なる送信アカウントを集計しました。この影響を受けて、AVICIトークンは24時間で49.4%下落し、0.2175ドルとなり、市場価値は約284万ドルで、歴史的な最低値を記録しました。Aviciは2025年10月にMetaDAOを通じて資金調達を行い、当初の上限は350万ドルでしたが、最終的には3,420万ドルの約束金額に達し、チームは89.8%の約束USDCを返還しました。

Enjin の ERC-1155 "Crypto Items" は、各アイテムが専用のアイテムアダプターを通じて転送されることを許可します。攻撃者は悪意のある転送アダプターを登録し使用し、所有者の承認チェックをスキップして、脆弱なコントラクトが承認なしで transferFrom を通じて約 52 の無関係な保有者のウォレットから ENJ サポートのアイテムを引き出すことができます。その後、攻撃者は盗まれた各アイテムに対して melt() を呼び出し、プラットフォームの準備金から各アイテムがサポートする 500 枚の ENJ と引き換えます。

BubblemapsはXプラットフォームで発表し、攻撃者がCosmos EVM共有モジュールの脆弱性を利用して5000万ドル相当のNESトークンを盗んだが、最終的には約6万ドルの利益しか得られなかったと述べています。以前、Cosmos Labsはその共有Cosmos EVMソフトウェアにセキュリティの脆弱性があることを報告しており、Nesaを含むこのモジュールに基づいて構築された複数のチェーンが影響を受けています。報告によると、主要な攻撃者である0x9AE7で始まるアドレスは、以前に25万ドルを費やしてNESを購入し、Nesa Chainにクロスチェーンした後、この脆弱性を利用してアカウント残高を200倍に膨らませ、5000万ドルのNESをイーサリアムにクロスチェーンで転送しました。このウォレットの初期資金はモネロから来ています。攻撃者はその後、トークンを複数のウォレットアドレスに分散させ、DEXでNESをETHに交換し、得た利益を中央集権取引所に預けました。流動性プールの資金が迅速に引き出されたため、攻撃者の大部分の交換取引は深刻なスリッページに直面し、実際には25.5万ドルを費やして攻撃を開始し、現金化したのは31.5万ドルで、純利益は約6万ドルでした。Bubblemapsは、別のCosmos EVMチェーンが前日に140万ドルの類似の攻撃を受けたにもかかわらず、資金の出所と操作手法の違いから、2件の事件は異なる攻撃者によるものである可能性があると判断しています。報告では、NESトークンの価格が一時90%暴落した後、大幅に回復したことが述べられており、チームは回復の主な原因は攻撃後のDEXとCEXの価格の不一致によるアービトラージ行為であると考えています。

PeckShield の監視によると、Term Labs の攻撃者アドレスが Tornado Cash に 300 枚の ETH を入金し、約 74.1 万ドルの価値があります。

KITE財団はトークンのセキュリティ事件の処理進捗を報告し、イーサリアムメインネットに新しいKITE ERC-20契約を展開しました。トークンの総供給量は変わらず、古いKITEは1:1の比率で新しい契約に移行されます。攻撃者が制御するアドレスは除外され、新しいトークンを受け取ることはありません。移行のスナップショットはイーサリアムメインネットのブロック高25,692,498に基づいています。一般的な自己管理ウォレットのユーザーは、交換や承認を行うことなく新しいトークンを直接受け取ります。一方、取引所のユーザーは取引所とKITEチームが調整して移行を行います。クロスチェーンの通路は、移行と検証が完了するまで引き続き停止します。以前、KITEは8月6日に異常な送金を発見し、ハッキング攻撃を確認しました。チームはこの事件がユーザーやプロジェクト側の資産損失を引き起こさなかったと述べており、現在の影響は制御されています。

Bitcoin Magazineによると、2026年7月にColdcardハードウェアウォレットの大規模な盗難事件の調査が進展を見せました。最初の攻撃で約1082.65 BTC（約1.18億ドル）が攻撃者のアドレスに残っており、調査では攻撃者があるブロックチェーンデータサービスプロバイダーの有料アカウントを使用していたことが判明しました。内部ログは盗難のパターンと「高度に一致」しており、関連する手がかりは法執行機関に引き渡されました。Galaxy Researchのアナリスト、アレックス・ソーンは、最初の攻撃者の身元は「法執行機関によって把握されている可能性がある」と述べています。その後の数回の攻撃で合計約2000 BTCが盗まれ、そのうちの第2波では約76 BTCが盗まれました。操作のパターンは最初の攻撃と似ており、同一の行為者による可能性があります。この事件は、Coinkiteが2021年3月のコード更新で導入したエントロピー生成の脆弱性に起因しており、MK2およびそれ以降のモデル、ファームウェア4.1以上のバージョンを使用しているデバイスが低強度の秘密鍵を生成し、シードがブルートフォース攻撃によって解読される可能性があります。Coinkiteは修正ファームウェアを公開し、ユーザーに資産の移行を推奨していますが、脆弱性の影響範囲はまだ評価中です。

Bitcoin News の監視によると、@PraveenPerera が発表した新しい研究は、Coldcard の攻撃者がまず脆弱性のあるアドレスを特定し、その後、アドレスが保有するビットコインの数量に基づいてソートし、保有量が最も多いアドレスから順に分割して移転を行っていることを示しています。実際に使用された移転ソフトウェアはかなり粗雑でした。あるアドレスは 225 の可用な UTXO を持っており、攻撃者はちょうど最新の 200 個を抽出し、最も古い 25 個を残しました。その中には 0.16 BTC の価値を持つ UTXO が含まれています。これは、研究者が調査したあるブロックチェーン API がデフォルトで 200 件の記録を返す制限と完全に一致しており、攻撃者が次のページのデータを読み込むことができなかった可能性を示唆しています。このソフトウェアは、294 サトシの UTXO を消費することさえあり、報告によれば取引手数料が約 2040 サトシ増加し、消費額はその UTXO 自体の価値を明らかに上回っています。研究の著者は、これに基づいて、このツールの構築者がアカウント残高システムの理解に関してはビットコイン UTXO モデルの理解よりも優れている可能性があると考えています。攻撃者は被害者の完全なシードを取得したようですが、少なくとも 75 BTC は同じシードから派生した他のアドレスに残っています。現在最大の疑問は、153 の盗まれたアドレスの中にまだ 132.95 BTC が存在しており、研究者はこれらのアドレスの背後にあるシードを再現できていないため、攻撃者が未公開のプライベートデバイスデータや候補データを取得した可能性を排除できないことです。