漏洩

Cronos 借貸協定 Tectonic が 8 月 30 日に攻撃事件報告を発表しました：攻撃者は TONIC の価格を約 195 倍に操作し、循環担保を行い、9 つの貸出市場から約 1.204 億ドルを借り出しました。Cronos はネットワークを一時停止し、状態を回復した後、大多数の資産は攻撃前の状態に戻りましたが、約 919 万ドルはクロスチェーンで転出され、まだ回収されていません。チームは流動性の低い担保を排除し、市場の借入上限を設定する計画です。

ハードウェアウォレットメーカー Trezor は、物流パートナー ShipMonk のデータ漏洩事件の進展を更新し、以前に公表された漏洩規模が過小評価されていたことを明らかにしました。2019年11月から2021年8月の間に注文した約67,000人のアメリカのユーザー情報が完全に漏洩し、氏名、メールアドレス、電話番号、配送先住所、注文番号が含まれています。Trezor は、以前に ShipMonk と関連データが契約およびデータポリシーに従って削除され、書面での保証を受けたと確認していたが、相手のシステムでは実際には削除されていなかったと述べています。Trezor は自社のシステムには影響がないとし、ハードウェアウォレットは依然として安全であるが、影響を受けたユーザーはより多くの標的型フィッシング攻撃のリスクに直面する可能性があるとしています。すべての影響を受けたユーザーには、個別にメールで通知されています。この事件は8月13日に最初に公表され、当時約13,700人のユーザーに影響を与えました。Trezor は、ユーザーが注文する際の情報漏洩リスクを低減するために、匿名配送サービスの導入を加速させていると述べています。

弁護士のアリエル・ギブナーによると、暗号ハードウェアウォレットメーカーのLedgerは、2023年の安全事件によりアメリカで集団訴訟に直面しています。原告は、この事件により顧客の名前、メールアドレス、電話番号などの個人情報が漏洩し、Ledgerが関連情報を適時かつ十分に開示しなかったと主張しています。訴状では、ハッカーがその後これらの連絡先情報を利用してLedgerを装い、ユーザーに詐欺的な取引を承認させ、暗号資産を盗み取ったことも指摘されています。

慢雾余弦の監視によると、あるハッカーのアドレスが集団盗難事件に関与しており、100以上のアドレスと数十人の実際のユーザーが影響を受けています。原因は秘密鍵の漏洩で、ハッカーは約20万ドルの利益を得ています。このグループは古いグループで、盗まれたユーザーは共通点を見つけることを試みることができます。

チェーン上の探偵 ZachXBT は、関連する証拠を調査した結果、アメリカの2つの投資プラットフォーム BitcoinIRA と iTrustCapital が今年データ漏洩の疑いがあることを発表しましたが、現在のところ両社ともに公に開示していないようです。漏洩した情報には、個人情報、投資ポートフォリオ、銀行および保管口座情報、認証状況などが含まれているとされています。彼は例として、攻撃者 "Tiffany" が今年の6月に関連データベースを利用して、BitcoinIRA のユーザーに対して攻撃を実施し、120万ドル以上を盗んだことを挙げています。ZachXBT は8月21日に両社にコメントを求めて連絡を取りましたが、記事執筆時点ではまだ返信を受け取っていないと述べています。

Security Affairs の報道によると、Ransomnews の研究者は大規模な Stripe マーチャント API キーの漏洩事件を記録しました。キーは公開コードリポジトリ、GitHub Actions ログ、および不適切に設定された Web サーバーに露出しており、累計で 5 万以上のユニークキーが特定されました。サンプルテストでは、相当数がまだアクティブであり、攻撃者は数時間以内にこれを利用して詐欺を実行できることが示されています。報告によると、2026 年 8 月 18 日にあるデータ取引フォーラムが公開したデータセットには、659 のマーチャントアカウントの有効な Stripe API キーと約 35 GB の顧客および支払いデータが含まれています。Ransomnews はオフラインで分析を行い、公開前に Stripe に報告しました。Stripe 自体は侵害されておらず、キーはすべてマーチャントに属しています。研究者は有効なキーを発見した後、17 時間以内にマーチャントの顧客リストにアクセスし、詐欺的な支払いリンクを作成し、1 ドルのテスト課金を完了することができます。有効なキーは顧客および保存された支払い方法をリストアップし、課金および支払い意図を作成し、攻撃者が制御するアカウントに対して返金を開始し、支払い通知を傍受するために Webhook エンドポイントを変更し、Stripe Connect を有効にした場合に関連アカウントにアクセスすることができます。主な漏洩源には、GitHub リポジトリのハードコーディングされたキーや無視されていない .env ファイル、GitHub Actions のビルドログにマスクされていない環境変数、そして 3000 台以上の不適切に設定されたサーバーの約 12% に利用可能なキーが含まれています。

Cryptopolitan の報道によると、サイバーセキュリティ会社 Adversa AI は、xAI の AI アシスタント Grok に「暗号コンテキストインジェクション」と呼ばれるセキュリティ脆弱性が存在することを明らかにしました。攻撃者は通常のウェブページに暗号命令を隠すことができ、ユーザーが Grok にそのウェブページの要約を要求すると、Grok は自動的に隠された命令を解読して実行し、ユーザーの名前、地理的位置、サブスクリプションレベル、および完全なチャット履歴を攻撃者のサーバーに送信します。この脆弱性は 2026 年 6 月 3 日に HackerOne プラットフォームを通じて xAI に報告され、研究者 Rony Utevsky は 8 月 4 日と 10 日に再度フォローアップしましたが、8 月 19 日時点で Grok.com 上ではこの脆弱性は修正されておらず、xAI もパッチのタイムラインを示していません。

チェーン上の探偵SpecterはXプラットフォームで投稿し、盗まれたデータがカバーする期間を考慮すると、データ漏洩は4月にすでに発生していた可能性があり、遅くとも5月初旬には発生していたが、関係者は最近まで、Trezorが自社のデータ漏洩を発表したのとほぼ同時に沈黙を守ることを選んだと述べています。一部のユーザーは当時、フィッシング攻撃を受けて資産を失っていましたが、関係者は透明性を保たず、ユーザーに警告やリスク提示を行わず、データ漏洩を否定しました。

SafePalは、その注文追跡プラグインにセキュリティの脆弱性が存在し、一部の顧客情報が未承認でアクセスされたことを示しています。今回の事件は約39,798名のユーザーに関与しており、影響を受けたユーザーは2025年3月2日から2026年4月11日までの間に注文を行った顧客です。漏洩した情報には名前、メールアドレス、配送先住所、電話番号、購入詳細が含まれますが、リカバリーフレーズ、秘密鍵、ウォレットパスワード、銀行カード情報、または政府発行の身分証明書番号は含まれていません。SafePalは、現在関連する脆弱性が修正され、影響を受けたユーザーに個別に通知されたと述べています。また、公式に確認ページが立ち上げられ、ユーザーは注文番号と配送国を通じて自分が影響を受けているかどうかを確認できます。

Crypto Briefingによると、イスラエル最大のコンプライアンス暗号ブローカーBits of Goldがデータ漏洩に遭い、約20万人の顧客の個人情報がハッカーに盗まれ、プラットフォームの全ユーザーがリスクにさらされています。同社は2022年9月にイスラエル初の仮想資産サービスプロバイダー（VASP）ライセンスを取得し、2026年4月にはシェケルに1:1でペッグされたBILSステーブルコインの発行を承認されました。盗まれたデータの種類はまだ公表されていませんが、暗号ブローカーは通常、KYC規制に基づいて身分証明書、住所証明、財務情報などの機密情報を収集します。コールドウォレットはデジタル資産を保護できますが、サーバー上の顧客の身分書類を保護することはできません。歴史的な事例は、類似のデータ漏洩がフィッシング、SIMカードの交換、ターゲットを絞ったソーシャルエンジニアリング攻撃に利用されることが多いことを示しており、安全リスクはプラットフォーム自体を超えています。

フランスの財務大臣は、ハッカーが6月末にフランス公共財政総局のシステムに侵入し、個人および企業の納税者データを盗んだことを確認しました。フランスのサイバー攻撃を追跡するプラットフォームFrenchBreachesによると、この事件は約678,437人に影響を与え、フランスの人口の約1%に相当しますが、具体的な人数はまだ調査中で、最終的には確認されていません。漏洩したデータには、名前、生年月日、家庭住所、電話番号、電子メール、税務識別情報、収入データなどの敏感な情報が含まれているとされています。その中で、約27,000人の税収は少なくとも10万ユーロ、386人は100万ユーロを超え、さらに8人は1000万ユーロを超えています。報道によれば、このデータベースはダークウェブ市場で数千ユーロの価格で販売されています。攻撃者はZeroBytesを名乗り、内部検索ツールを通じて関連記録を抽出したと主張し、その後発見されてアクセスが遮断されたとされています。この事件は暗号業界に懸念を引き起こしています。なぜなら、近年フランスでは暗号保有者に対する「レンチ攻撃」の暴力的な強盗事件が明らかに増加しているからです。高所得者層、住所、連絡先が漏洩すれば、犯罪者により正確なターゲットリストが提供される可能性があります。

Bitcoin News は X プラットフォームで、Trezor が物流サービスプロバイダー ShipMonk のセキュリティ脆弱性により顧客データが漏洩したと述べています。過去 90 日間にアメリカ、イギリス、スウェーデン、コロンビア、ブラジル、イタリア、またはポルトガルで注文を受けた顧客が影響を受ける可能性があります。漏洩したデータには、氏名、配送先住所、電話番号、メールアドレス、注文番号が含まれます。Trezor はそのシステムが侵害されていないこと、デバイスは依然として安全であることを述べていますが、影響を受けた顧客に対して漏洩した情報を利用した巧妙に設計されたフィッシング攻撃に対する警戒を呼びかけています。

Lookonchain の報告によると、クジラアドレス "TLBL" が再び重大な資産安全事件に見舞われ、累積損失は 5,000 万ドルを超えました。このアドレスは、2年前にフィッシング攻撃により約 2,400 万ドルを失ったことがあります。そして、最新の事件では、プライベートキーの漏洩が原因とされ、3つのウォレット内の 2,600 万ドル以上の資産が全て転送されました。この事件は再び市場における高ネットワースチェーン上アドレスの安全管理リスクへの関心を呼び起こしました。

フォーブスの報道によると、アメリカ合衆国連邦通信委員会（FCC）は2026年7月27日に正式に、国家安全保障の脅威を理由に外国製のAI人形ロボットの輸入を禁止すると発表しました。FCCはこの種のデバイスを「トロイの木馬」と定義しており、高精度のセンサーが搭載されており、ユーザーの家庭や企業の敏感なデータを持続的に収集し、それを海外の実体に送信する可能性があるため、大規模な監視や情報活動に利用されるリスクが存在し、関連デバイスは遠隔操作される可能性もあります。禁令はすべての外国製造業者を対象としていますが、実際には中国に最も大きな影響を与えることになります。なぜなら、中国は現在、世界のAI人形ロボット市場で大きなシェアを占めているからです。国内製造業の発展を促進することも、今回の禁令の重要な副次的目標です。

バイナンスの共同創設者CZは、XプラットフォームでユーザーRagerのハードウェアウォレットの故障についての経験をリツイートしました。CZは、ウォレットのバックアップ用の助記詞（seed phrase）を保護することが非常に難しいタスクであると述べました。助記詞は他の人に見られてはいけません。そうでないと、コピーされたり利用されたりする可能性があります。また、火災や洪水などの事故によって損傷することも避けなければなりませんし、ハッカーがアクセス権を取得するのを防ぐ必要もあります。さらに重要なのは、ユーザー自身も助記詞を失ってはいけないということです。

BNBChain の非中央集権的資産管理プロトコル Swan Treasury は、秘密鍵の漏洩により約 62.5 万ドルの損失を被りました。攻撃者は自ら保有するアドレスで有効な署名を偽造し、100 倍の割引で STY を購入し、PancakeSwap のフラッシュローンを利用して約 1.97 万枚の USDT で約 68.7 万枚の STY を購入しました。その後、兄弟コントラクト上で claim() と transfer の署名を偽造し、STY を STY/USDT プールに投げ売り、約 62.5 万枚の USDT を得ました。取引中の各 ecrecover は正確なハードコーディングされた署名者に解釈され、鍵自体が漏洩したことを確認し、署名ロジックの欠陥ではないことが明らかになりました。

彭博社の報道によると、DeepSeekは第二回資金調達を一時停止し、一部の潜在的な投資家に対して、期待通りに投資契約を締結しないと口頭で通知した。この一時停止の一因は、創業者の梁文鋒が初回資金調達の際の4時間の内部発言録が漏洩したことに不満を持っているためであり、彼は投資家会議で52回の発言を行い、DeepSeekの組織文化、オープンソースの論理、技術ロードマップ、業界競争の状況に対する見解について述べた。最近、約4時間の会議記録がソーシャルメディアで拡散され、その中には「中米AIの最大のギャップは計算資源である」といった表現が含まれている。DeepSeekと梁文鋒は、漏洩した記録の真偽を確認していない。DeepSeekは、将来的に取引プロセスを再開する可能性があると述べており、初回公開株式（IPO）の準備を開始しており、最も早くて今年中に申請する可能性がある。DeepSeekは2026年6月に初回の外部資金調達を完了し、500億元を超える資金を調達し、約74億ドル、投資後の評価額は約500億から590億ドルであり、特別な構造を採用し、大部分の資金は梁文鋒が管理する有限責任組合に流入し、投資家には投票権がなく、5年間のロックアップがある。梁文鋒自身が約200億元を出資し、最大の出資者となり、テンセント、寧徳時代、京東、网易、中国国家AI基金などが共同出資している。DeepSeekはその後、7月中旬に第二回資金調達の交渉を開始し、目標評価額は約710億ドルである。

Zilliqaは、Zilliqa Ledgerアプリに深刻な乱数生成の脆弱性が存在し、ネイティブな非EVM Zilliqa取引のSchnorr署名に影響を与えることを発表しました。攻撃者は公開されたチェーン上のデータを利用するだけで、偏りのある一時的な乱数から署名者の秘密鍵を復元することができます。Zilliqa Ledgerアプリを通じて約5件以上のネイティブ取引に署名し、放送したアカウントは、すでに漏洩したと見なされるべきです。関連する署名はチェーン上に永久に記録されているため、後続のアプリ更新でもリスクを排除することはできず、影響を受けた秘密鍵は無効にする必要があります。EVM取引およびzilliqa-js、gozilliqa-sdk、pyzilなどの開発ツールは影響を受けません。脆弱性は、アプリが乱数をコピーする際に誤った32バイトを選択し、8バイトのゼロパディングを保持し、8バイトのエントロピーを失ったことに起因し、各乱数が最大64ビットゼロに固定される結果となりました。攻撃者は、5件以上の影響を受けた署名を利用して、通常のハードウェアで数秒以内に秘密鍵を復元することができます。Zilliqaは7月19日に疑わしい積極的な利用活動を観察し、7月21日に根本原因を確認しました。Zilliqaはさらなる資金損失を防ぐためにネイティブ取引を一時停止し、Ledgerと修正版アプリの準備を進めています。しかし、修正版では既に露出した鍵を保護することはできず、影響を受けたユーザーは現在、自ら資産を移動するべきではなく、公式の調整処理案の発表を待つべきです。

Solv Protocol は X プラットフォームで発表し、7 月 13 日に BNB Smart Chain 上の BTC+ コントラクトがセキュリティ事件に遭遇したと述べました。調査の結果、攻撃者がデプロイ者のプライベートキーに侵入し、BSC 上の BTC+ ミント代理コントラクトをアップグレードし、無許可の BTC+ トークンを鋳造したことが判明しました。チームは 3 時間以内に緊急対応を完了し、悪意のあるコントラクトを隔離し、すべての無許可の BTC+ を凍結、破棄、または隔離しました。すべての基盤となる BTC 資産は安全です。予防措置として、BTC+ の申込および償還は一時停止されており、2 週間以内に再開される予定です。BTC+ はこれまでにいかなる DEX にも公式流動性プールを設けておらず、ユーザーは Solv の公式チャネルを通じてのみ BTC+ を取得し、保有するべきです。チームはデプロイ者のセキュリティ対策をアップグレードし、影響を受けたすべてのアクセス認証情報と署名キーをローテーションし、包括的な外部再監査を開始しました。詳細な事後分析報告書は後日発表される予定です。

OneKeyの創設者王一石（@ohyishi）がXプラットフォームで投稿し、スクリーンショットが録画される可能性があることに加え、第三者の入力法がユーザーのクリップボードの内容を継続的に読み取る可能性があると警告しました。これらの行為は、助記詞などの敏感な情報の漏洩を引き起こす可能性があります。複数のネットユーザーがその後のコメントで、画像を保存せず、関連する内容をコピーした後に拼多多を開くと、プラットフォームのおすすめページに以前の画面内容やクリップボードの内容と高度に関連する商品情報が表示されることを指摘し、アプリが画面やクリップボードを読み取る行為が存在するのではないかと疑問を呈しました。しかし、関連する主張は現在、主にユーザーの実測とソーシャルプラットフォームからのフィードバックに基づいており、拼多多の公式な公開回答はまだ見られていません。