脆弱性

Bitcoin News は X プラットフォームで、Bitcoin Core 開発者の Niklas Gögge が警告したと述べています。最近、AI 駆動の脆弱性スキャンがビットコインのセキュリティ状況を変えつつあり、大規模言語モデルが脆弱性発見コストを大幅に削減しているため、攻撃者は数百ドルの計算コストで壊滅的な脆弱性を発見できる可能性があります。Bitcoin Core に関して、Project Loupe、Bitcoin Red Team および個人貢献者は 1000 以上の報告書を生成しましたが、現時点では高危険度または重大な脆弱性は発見されていません。Gögge は、より強力なモデルに依存して攻撃者よりも先に脆弱性を発見することは持続可能なセキュリティ戦略ではないと述べ、開発者は自動化テスト、ファジングテスト、および属性ベースのテストを通じて、全ての脆弱性を事前に防ぐことができるテスト基盤を構築すべきだとしています。Bitcoin Core の重要なコンポーネントは、累計で 100 年以上の CPU ファジングテストを完了し、数十年にわたるビットコインノードネットワークのシミュレーションを行っています。

EU-Startups の報道によると、フランス・リヨンの AI 駆動脆弱性運用センター Hackuity が 1600 万ユーロ（約 1900 万ドル）の資金調達を完了したと発表しました。Forgepoint Capital International が主導し、Bright Pixel、Bpifrance、Seventure Partners が参加し、累計資金調達額は 3200 万ユーロに達しました。今回の資金は、製品の革新、AI 能力の向上、そしてヨーロッパやアジア市場の拡大に使用されます。Hackuity プラットフォームは、130 以上のセキュリティツールのデータを統合し、独自のリスクスコアリングエンジンを通じて脆弱性の優先順位付けと修正を自動化しています。現在、6000 人以上のユーザーにサービスを提供し、200 万以上の資産を保護し、10 億件のセキュリティ発見を管理しています。顧客には ENGIE、BPCE、Orange Cyberdefense などの大企業が含まれています。

慢雾によると、Core Lightning（CLN）の実験的機能に脆弱性が存在し、ユーザーの資金が危険にさらされる可能性があります。Core Lightningの公式はこの脆弱性を調査中であり、実験的機能を有効にしているすべてのノードに対して、直ちに無効化し、パッチを待つことを推奨しています。高リスクのオプションには、--experimental-dual-fund、--experimental-splicing、--experimental-peer-storageが含まれます。慢雾は、同様の問題が8月に修正されたことを指摘しており、リモートピアはチャネルを開く際や資金調整プロトコルにおいて、任意の料金またはゼロ料金を指定できることがあり、ローカルノードは追加の検証なしに署名し、データベースに書き込む可能性があるため、ノードが異常な料金を支払わされることや、クラッシュループを引き起こし、ノードが長期間オフラインになることがあります。ノード運営者には、すべての実験的パラメータを直ちに無効化または削除することを推奨します。ノードを完全にシャットダウンするのではなく、オフラインモードを使用してチェーン上の監視能力を保持し、ノードがオフラインの際にピアがチャネルを強制的に閉じるのを防ぐべきです。公式のパッチがリリースされた後に署名を検証してからアップグレードし、公式アカウントを偽装した虚偽のパッチリンクに注意してください。

CoinDesk の報道によると、攻撃者は Safe のマルチシグウォレットが承認した Multicall コントラクトの権限検証の欠陥を利用し、約 2900 枚の rsETH（約 780 万ドル）を転送しようとしましたが、自動取引ボットの yoink が公開取引プールでその取引を発見し、約 4.7 万ドルの手数料を支払って先に成立させ、2882 枚の rsETH を捕獲し、別のアドレスに転送しました。BlockSec、Blockaid、慢雾、AstraSec は、脆弱性がユーザーが自ら承認したコンポーネントに起因するものであり、Safe のコアコントラクトにはないことを確認しました。rsETH の発行元である Kelp DAO は、受取アドレスに対して 24 時間の停止を実施しました。

慢雾の監視によると、GitLab CE/EEには深刻なパス・トラバーサル脆弱性 CVE-2026-85706 が存在し、CVSS スコアは 10 です。認証されていない攻撃者は、Repository Commits API を通じて影響を受けた GitLab サーバー上の任意のファイルを読み取ることができます。GitLab はセキュリティパッチを公開しました。影響を受けるバージョンには、18.7 から 19.1.8 未満、19.2 から 19.2.6 未満、19.3 から 19.3.2 未満のバージョンが含まれます。管理者は、すぐに 19.1.8、19.2.6 または 19.3.2 にアップグレードし、パッチ適用後にログと露出した可能性のある資格情報を確認する必要があります。

Cointelegraph の報道によると、EUの「サイバー耐性法案」（CRA）が9月11日に正式に施行され、暗号ハードウェアおよびソフトウェアウォレットプロバイダーは、悪用されている脆弱性や重大なセキュリティ脆弱性を発見した場合、24時間以内に早期警告報告を提出し、72時間以内に完全通知を提出することが求められます。製造業者は、是正または緩和措置を講じた後、14日以内に最終報告を提出する必要があり、重大な事件は1ヶ月以内に報告を完了しなければなりません。欧州委員会は、新しい報告要件が消費者と企業をサイバー脅威からより良く保護することを目的としており、EU市場で販売される「デジタル要素を含む製品」に適用され、EUのより広範なサイバーセキュリティ戦略に基づいていると述べています。最終草案の罰則条項によれば、第13条および第14条の規定に従わない企業は、最高1500万ユーロ（約1730万ドル）または全世界の年商の2.5%の行政罰金に直面する可能性があり、高い方が適用されます。不正確、不完全、または誤解を招く情報を提供した場合も、最高500万ユーロの罰金が科されることになります。この措置が導入される前に、複数のハードウェアウォレットメーカーが最近、ユーザーデータの漏洩事件を公表しました。9月4日、Trezorはその物流サプライヤーであるShipMonkが遭遇したデータ漏洩が約6.7万人のアメリカの顧客に影響を及ぼし、最初の推定の1.4万人を超えたことを明らかにしました；今週、TrezorとBitBoxは、緊急のセキュリティ通知を装ったフィッシングメールに注意するようユーザーに警告しました。6月には、Layer-1ブロックチェーンネットワークのZilliqaがそのLedgerアプリに脆弱性が存在することを警告し、攻撃者が公開チェーン上のデータを利用してユーザーの秘密鍵を復元する可能性があると述べました。

Cointelegraphの報道によると、クロスチェーン流動性プロトコルSymbiosisは、ビットコインブリッジの脆弱性から15 BTC（約110万ドル）を回収し、チームが管理するマルチシグウォレットに預け入れたと発表しました。この脆弱性は先週の金曜日に発生し、攻撃者はプロトコルの脆弱性を利用して461億枚の無担保トークンを鋳造し、実際に4.3枚のWBTC（約33.6万ドル）を得ました。Symbiosisは以前、攻撃者に対して20%のホワイトハット報酬を提供し、資産の返還を要求しましたが、締切が過ぎても攻撃者からの応答はありませんでした。現在、プロトコルは資産回収の手助けをする手がかりを提供できる人に対して20%の報酬を提供することに転換し、影響を受けた流動性提供者への補償プランを発表することを約束しています。影響を受けたビットコインブリッジ機能は現在も停止しています。

ブロックチェーンセキュリティプラットフォーム Blockaid は、クロスチェーンプロトコル Symbiosis のビットコインブリッジに脆弱性が存在することを発見しました。攻撃者は新たに外部所有のアカウントを作成し、約 2^62 枚の syBTC を鋳造し、8 桁の小数で計算するとその価値は約 461 億ドルに相当します。そして、Ethereum の Uniswap V4 で約 4.39 枚の WBTC を売却し、約 33.6 万ドルを現金化しました。Symbiosis は、攻撃が 9 月 11 日の 4 時 28 分頃に発生したと述べており、チームは BTC ルーティングを一時停止しましたが、他のルーティングは引き続き運用されており、影響を受けていません。チームは約 15 枚のビットコインを回収し、チームが管理するマルチシグウォレットに保管しました。また、攻撃者に対して資金の 20% のホワイトハット報酬を提供し、締切は 9 月 13 日です。最近数週間の間に、Liquid Network、Nomic、Symbiosis の各社は、実際の資産に裏付けられていないトークンを鋳造して供給を拡大するというセキュリティ事件が発生しました。9 月 13 日時点で、Symbiosis は BridgeV2 の技術レビュー、最終的な損失額、または攻撃者が報酬を受け入れたかどうかについて公表していません。

Decryptの報道によると、国際決済銀行が発表した新しい報告書は、先進的なAI技術が攻撃者がソフトウェアの欠陥を利用する前に銀行が欠陥を修正するための時間ウィンドウを短縮したことを示しています。報告書は、定期的なセキュリティ評価と予定されたパッチ更新がもはや課題に対処するには不十分であると警告しており、脆弱性が発見されてから利用されるまでの時間ウィンドウが数週間から数分に短縮されたと述べています。この報告書は、銀行の対応能力に重点を置き、金融機関はソフトウェア修正の速度を加速し、関連する承認決定プロセスを迅速化する必要があると主張しています。

SlowMistのセキュリティ警告によると、ether.fiのAtomicQueueコントラクトはsolve()関数にアクセス制御が欠如しており、約15.45 ETHが盗まれました。攻撃者はupdateAtomicRequest()を利用して悪意のあるリクエストを作成し、被害者のアドレスをsolverとして強制的に指定しました。その後、AtomicQueueは被害者のfinishSolveを呼び出し、want.transferFromを実行し、被害者が既に持っているERC-20の承認を悪用して資金を移転しました。SlowMistは既にether.fiチームに非公開で通知しており、攻撃者のアドレスと脆弱性のコントラクトアドレスは公開されています。

Bitcoin News の監視によると、DART は独立したホワイトハット研究者と共に、COLDCARD のエントロピー脆弱性の影響を受けたウォレットから 50 枚以上の BTC を救出し、悪意のある攻撃者に盗まれる前に転送を完了しました。DART はデジタル資産回収組織であり、ホワイトハット研究者と協力して脆弱性のある資金を保護し、それを所有者に合法的に返還するための調整を行っています。ホワイトハット研究者は報酬を要求せず、ビットコインを所有者に返還します。救出された BTC は Crypto Recovery Trust に転送されました。この信託はワイオミング州の法律に基づいて設立された専用の法定信託で、回収されたデジタル資産を保有し、合法的な所有者が確認され、検証された後に返還されます。信託は回収プロセスを記録し、BTC を DART および研究者の資金と分離し、ブロックチェーン分析、所有権の確認、制裁のスクリーニングを行い、確認された所有者に合法的な返還プロセスを提供します。所有権に争いがある場合や、関連する資金が制裁や刑事手続きに関与している場合、BTC は適用される法律手続きに従って処理されます。DART は、他の脆弱性のある資産および回収の手がかりがまだ審査中であると述べています。

Liquid Networkは最新の進展を発表し、緊急版Elements v23.3.4がリリースされたことを伝えました。Functionaryノードは即座にアップグレードを開始し、すべてのLiquidノード運営者に同期更新を推奨しています。このバージョンは、以前に発見されたProof検証キャッシュの脆弱性を修正し、Range Proofの使用におけるキャッシュキーを強化しました。ネットワークの回復について、Blockstreamは現在回復プランを策定中であり、3つの段階で進める予定です：ブロック生成を回復するがPeg操作は引き続き停止；検証済みの有効な取引をリプレイ；ネットワーク状態が完全に回復し、資金の返還が確認された後にPeg操作を再開します。現在、最初の2つの段階は並行してテスト中であり、各段階は安全が確認された後にのみ進められます。Liquid Networkは、Elements v23.3.4がBitcoin Red Team、Alpen Labsなどのチームを含む多くの内部および外部のレビューを完了したことを発表しました。同時に、Liquid Networkはユーザーに対し、この事件を利用して詐欺を行う偽のアップグレードサイトに警戒するよう警告しています。情報は公式のLiquid NetworkおよびBlockstreamのチャネルを通じてのみ取得し、見知らぬ人に資金を送ったり、秘密鍵やリカバリーフレーズを漏らしたりしないようにしてください。

Bitcoin News は X プラットフォームで、Alby が Alby Hub v1.7.0 から v1.18.5 にかけての重要な脆弱性を確認したと発表しました。管理 API が公開されている場合、攻撃者が未承認のアクセス権を取得し、資金を移動させる可能性があります。現在、1 名のユーザーが影響を受けていることが知られており、Alby Hub v1.19.0 以降のバージョンには影響がありません。Alby は影響を受けたユーザーに対し、管理インターフェースの公開アクセスを制限し、v1.24.0 へ即座に更新し、更新後にロック解除パスワードを変更することを推奨しています。Bitcoin Team Red、Project Loupe およびその他の研究者が報告した複数の問題も最新バージョンで修正されています。

Bitcoin News の監視によると、Liquid Federation は事件報告を発表し、攻撃者が Elements の範囲証明検証キャッシュの脆弱性を利用して、約 4000 枚の無備蓄 L-BTC を鋳造し、その後 SideSwap を通じて認可された退出アンカー経路を介して実際の BTC に交換したと述べています。Liquid の機関は関連する取引を有効と見なし、連邦準備金から約 4000 枚の BTC を解放しました。事件発生前、Liquid は約 4205 枚の BTC を保有しており、運営停止前の準備金は最低 197 枚の BTC にまで減少しました。自称ホワイトハットの攻撃者はその後 3400 枚の BTC を返還しましたが、約 598.5 枚の BTC は未返還のままです。秘密鍵は漏洩しておらず、退出アンカー機構自体は設計通りに機能しています。Liquid は現在もオフラインの状態にあり、Blockstream は Elements v23.3.4 の緊急バージョンをリリースする準備を進めており、1:1 のビットコイン準備の支援の下でネットワークを復旧させる作業を行っています。

公式の発表によると、The Sandboxは正式にSAND補償の申請を開始した。8月22日に発生したBaseとBNB Smart Chain（BSC）ネットワークのSANDクロスチェーン契約の脆弱性事件で影響を受けたユーザーは、事件発生前に影響を受けたネットワーク上のブリッジ版SANDを保有していた場合、1:1の比率でイーサリアムネットワーク上のSANDの全額補償を受けることができる。補償資格は事件発生前のオンチェーン残高のスナップショットに基づき、ユーザーの事件発生後の取引、送金、または保有行動とは無関係である。The Sandboxは、補償資格が契約がハッキングされる前に記録されたオンチェーン残高に基づいて決定されると述べており、Baseネットワークのスナップショットは2026年8月21日23:42:03 UTCのブロック50283188に対応し、BSCのスナップショットは2026年8月21日11:42:44 UTCのブロック117322025に対応している。中央集権型取引所を通じてBaseまたはBSCネットワークのSANDを保有しているユーザーは、何の行動も取る必要はなく、The Sandboxは関連取引所と調整して補償を処理している；個人ウォレットを通じて保有しているユーザーは自ら申請を行う必要がある。申請期間は9月8日から9月22日24:00（UTC+8）まで。申請は、事件のスナップショット時にSANDを保有していた元のウォレットから1回の取引を発起するだけで済み、トークンの承認やオフチェーンメッセージの署名、または任意のアドレスへの送金は不要である。

ハードウェアウォレットメーカーのLedgerとTrezorは、安全研究者に対してより責任ある脆弱性開示の方法を取るよう呼びかけています。Ledgerの最高技術責任者チャールズ・ギルメットはXプラットフォームで、人工知能が脆弱性を発見し利用することを容易にしているが、一部の研究者は修正案が発表される前に詳細を公開しており、これを「他人のリスクを利用して注目を集める行為」と呼びました。ギルメットは、研究者に対してまず非公開で脆弱性を報告し、修正のタイムラインに合意した後に詳細を公開するよう促しました。彼は90日を一般的なデフォルトの期限として挙げ、脆弱性の深刻度や修正に必要な作業量に応じて柔軟に調整できると述べました。Trezorのセキュリティ責任者ヤン・コマレクはCointelegraphに対し、90日はメーカーへの約束であり、単なる研究者の義務ではないと述べました。彼は研究者に対してまずメーカーに連絡し、スケジュールを合意することを提案し、メーカーがその期限内に修正を完了できなかった場合は公開開示を選択できるとしました。この発言の背景には、ハードウェアウォレットのセキュリティが最近密接に注目されていることがあります。Coldcardの盗難事件は1億ドルを超える金額が関与しており、Trezorの物流サプライヤーのデータ漏洩も数万名の顧客の個人情報に影響を与えました。

Bitcoin Newsによると、Blockstreamは「ホワイトハット」ハッカーに対し、脆弱性が修正されたことを通知し、4,000 BTCを安全に返還できるとしています。以前、Liquidネットワークから約4,000 BTCを引き出したハッカーは、資金を返還する意向を示しましたが、脆弱性の修正を待つ必要がありました。全ての交渉プロセスは、ビットコインのOP_RETURNメッセージを通じて公開されました。ハッカーは最初に「大部分」のBTCを返還する提案をしましたが、後に脆弱性の修正を先に求めるように変更しました。「まず脆弱性を修正してください。最新の提出されたコードはチェーンにリスクをもたらします。すべてのノードがパッチを適用したことを確認した後、修正が完了したら安全に資金を返還します。」ハッカーはまた、Blockstreamに暗号化された脆弱性の詳細を送信しました。約2時間前、BlockstreamはPGP署名付きのOP_RETURNメッセージで応答しました。「クロスチェーンブリッジノードはパッチが適用されており、資金を安全に返還できます。」現在、3,998.5 BTCは依然としてハッカーの管理下にあります。

慢雾の警告によると、BSCチェーン上で2名の攻撃者が最近のNotional Financeの脆弱性攻撃手法をコピーしていることが検出されました。攻撃者は前期準備を完了し、同じ脆弱性パターンを利用して悪意のあるfCashポジションを作成しました。現在、攻撃は完全には実行されておらず、悪意のあるポジションは期限を待っています。期限が来ると、攻撃者はポジションを決済し、プロトコルから資産を引き出す可能性があります。慢雾は影響を受けたプロジェクトに対し、ポジションの期限前に防御を完了するよう強く推奨しています。

SideSwapは声明を発表し、今日14:05 UTCに1人の顧客がそのペグアウトサービスに4000 L-BTCを送信したと述べました。このサービスは通常通りに注文を処理し、L-BTCはLiquid上で消却され、有効なペグアウト認証が付与されました。14:28 UTCにLiquid Federationはその顧客のビットコインアドレスに3996 BTCを支払いました。BlockstreamはそのL-BTCがElementsソフトウェアの脆弱性を利用して鋳造されたことを確認しました。SideSwapのペグアウト認証キーおよびシステムは攻撃されておらず、サービスはこれらのトークンを他のL-BTCと区別できません。SideSwapは非管理型サービスであり、ユーザーのウォレットは影響を受けず、資産はユーザー自身のキーによって制御されています。LiquidはFederationによって一時停止され、SideSwapの交換、ペグインおよびペグアウトはネットワークが回復するまで停止します。ビットコインでの支払いが完了したペグアウトは影響を受けません。未完了のペグインまたはペグアウトは、取引IDをhello@sideswap.ioに送信して個別に処理されます。サービスが回復する前に新しいペグインまたはペグアウトの入金を送信しないでください。

Decrypt の報道によると、Google は Chrome ブラウザの中でハッカーに利用された高危険度の脆弱性 CVE-2026-85046 を修正しました。この脆弱性は V8 エンジンに存在し、JavaScript と WebAssembly を実行するために使用されます。Google はこの脆弱性が実際に悪用されていることを確認しましたが、攻撃者の身元、ターゲット、または脆弱性の具体的な利用方法については明らかにしていません。パッチは Chrome 152.7977.82/83 バージョンに含まれており、今後数日または数週間以内に配信される予定です。この脆弱性はセキュリティ研究者 Salvatore Gulizia によって 8 月 4 日に報告され、Google は彼に 1,000 ドルの脆弱性報奨金を授与しました。今回の更新には合計 12 件のセキュリティ修正が含まれており、そのうち 9 件は高危険度、2 件は中危険度です。Google はこの脆弱性を暗号資産の盗難事件と関連付けていませんが、ブラウザのウォレット、取引所アカウント、取引拡張機能は以前に他の方法で攻撃のターゲットとなっていました。