証明

アメリカのテクノロジーメディア Wired の報道によると、アクセンチュア (ACN.N) の契約者が個人使用の Anthropic Claude AI インテリジェンスを通じてペンタゴンのアクセス認証情報を漏洩した。この AI インテリジェンスはアメリカ国防総省のネットワーク上で2ヶ月間稼働し、情報とシステムアーキテクチャ図を第三者に外部送信していた。

インドの証明書発行機関eMudhraの暗号セキュリティの脆弱性が、EthereumクライアントTekuとBesuに影響を及ぼしています。研究者は、eMudhra傘下の8つの中間証明書発行機関の秘密鍵がランダム性不足のために推測される可能性があることを発見しました。攻撃者はこれにより証明書を偽造し、修正されていないソフトウェアを利用して悪意のあるサービスを信頼させることができます。Tekuは26.1.3バージョンをリリースし、Besuは26.1.2バージョンをリリースしました。どちらもDockerイメージ内で関連証明書への信頼を削除しました。攻撃者が中間者攻撃を実施した場合、一部のバリデーターがブロック手数料の報酬を攻撃者のアドレスに送信するよう誘導される可能性があります。外部署名器を使用する特定の構成では、リスクがさらに高まる可能性があります。Tekuチームは、デフォルト構成のEthereumメインネットTekuノードは影響を受けず、行動を取る必要はないと述べており、現在のところ脆弱性が悪用されたという報告はありません。ホスト上で直接TekuまたはBesuを実行し、Dockerを使用していないオペレーターは、クライアントを更新するだけでは不十分な場合があり、Javaおよびその信頼された証明書リストを手動で更新する必要があります。サポートが終了したJava 26を使用しているオペレーターは、Java 25に移行する必要があります。

脆弱性報酬プラットフォーム Immunefi の CEO ミッチェル・アマドールは、インターネットユーザーが PHP の脆弱性によって引き起こされるネットワーク攻撃のリスクに直面していると警告しました。特に、緊急アップグレードが遅い小規模なウェブサイトは、修正に数週間かかる可能性があります。彼は「脆弱性の終末」が計画通りに到来しており、脆弱性を発見するコストが低下する一方で、脆弱性を修正するコストは依然として高いと述べました。彼は、ユーザーに対して今後数週間、ログインしたすべてのウェブサイトを攻撃されている可能性があると見なし、パスワードの使い回しを避け、暗号ウォレットを接続する際には注意を払い、認識できないトークンの権限を取り消すように勧めました。以前、PHP財団はリソース不足のため、2024年に初めて発見された深刻なセキュリティ脆弱性の修正を遅らせたことを認めました。PHP開発者は同日に2つの深刻な脆弱性のための緊急パッチをリリースしましたが、各ウェブサイトは自らアップグレードを行う必要があります。CloudflareのCEO マシュー・プリンスは、PHPの脆弱性が公に開示された24時間以内に、ネットワーク上で数百万回の悪用試行が記録され、開示前にも数千回の試行があったと述べました。W3Techsの推計によれば、PHPは約69%の既知のサーバーサイドプログラミング言語を持つウェブサイトをサポートしており、これらの脆弱性は攻撃者がマルウェアを広めたり、ウェブサイトに悪意のあるスクリプトを注入したりすることを可能にする可能性があります。アメリカ連邦捜査局のサイバー部門も、これらの脆弱性が悪意のある行為者に「PHPコア内でリモートコードを実行させる可能性があり、敏感なデータやネットワークを危険にさらす可能性がある」と警告しています。アマドールは6月にCointelegraphのインタビューで、最先端のAIモデルの普及がサイバーセキュリティの状況を変え、攻撃者に有利な状況をもたらし、「脆弱性の終末」を引き起こし、DeFiのハッキング攻撃の再発を引き起こしていると警告しました。Immunefiは世界最大の脆弱性報酬プラットフォームであり、これまでに650のプロトコルに対して1.4億ドルの報酬を支払っています。

Succinct 旗下のゼロ知識証明システム SP1 が高い深刻度の信頼性の脆弱性を暴露しました。この脆弱性は GitHub の公告 GHSA-p7v2-jjv3-8p8f によって公開され、SP1 のネイティブ Rust 検証器 6.0 から 6.8.0 バージョンに影響を与え、メインネットの Prover Network が無効な証明を受け入れる可能性があります：悪意のある証明者が無効な実行の証明を提出しても、ネットワークの検証器はそれを受け入れてしまいます。脆弱性の原因は、検証器がデータのタグ（宣言次元）を読み取るだけで、実際に保存されている要素の数が次元の積と等しいかどうかを検証していないため、攻撃者はタグを偽造して無効な証明を通過させることができます。固定形状の wrap 証明を使用する Groth16 と Plonk のチェックは影響を受けず、オンチェーンの Solidity チェッカーも安全です。Succinct は 9 月 24 日に修正バージョン 6.8.1 をリリースし、メインネットにデプロイしました；このバージョンでは逆シリアル化の長さチェックが追加されました。脆弱性は Vitalis Salis によって発見され、Immunefi の脆弱性報奨プログラムに報告されました。ネイティブ Rust 検証器を自分で実行し、信頼できない証明者を受け入れるユーザーは 6.8.1 にアップグレードする必要があります。

慢雾の発表によると、LiteLLMは再びサプライチェーン攻撃に遭い、悪意のあるバージョンlitellm@1.107.0がPyPIパッケージおよびDockerイメージに影響を及ぼし、latest、main-stableなどのフローティングタグが含まれています。注入された悪意のあるコードは、Pythonの起動時に自動的に実行され、クラウド認証情報、AI APIキー、SSH秘密鍵などの敏感なデータを盗み、リモートコード実行をサポートします。影響を受けたバージョンは削除または置き換えられました。慢雾はユーザーに対し、1.107.0バージョンの使用を避け、クリーンなイメージから影響を受けた環境を再構築し、漏洩の可能性のある認証情報をローテーションし、バージョンを1.106.2に固定することを推奨しています。

Cointelegraph の報道によると、ブロックチェーンセキュリティ会社 CertiK は、Google、Apple、Microsoft がインドのデジタル証明書機関 eMudhra が発行した 8 つの影響を受けた証明書をブロックしたにもかかわらず、暗号取引ボットや取引所アプリは依然として関連する脆弱性のリスクにさらされる可能性があると述べています。ブラウザの修正措置は、独立したセキュリティシステムを採用しているソフトウェアには必ずしも適用されない可能性があります。CertiK のデジタル資産セキュリティシニアディレクター Peiyu Wang は、攻撃者が侵害された証明書を利用して取引所、ウォレットインターフェース、API を偽装し、入金アドレスを置き換えたり、ユーザーに悪意のある取引を承認させたりすることができると指摘していますが、関連する攻撃にはネットワークトラフィックの傍受やリダイレクトが必要であり、影響を受けた証明書機関の鍵だけではウォレットの秘密鍵を露出させることはできません。暗号サービスの運営者は、ソフトウェアと証明書の信頼リストを更新し、アプリが影響を受けた証明書を拒否することを確認する必要があります。

インドの eMudhra が発行した 8 つの TLS 証明書に、極めて弱い秘密鍵が存在することが発見され、攻撃者はこれを利用してほぼすべてのウェブサイトを偽装する可能性があります。主要なブラウザは影響を受けた証明書をブロックしましたが、数百万台のサーバー、Linux システム、接続されたデバイスはまだ更新が必要かもしれません。ある暗号学の専門家は、このクリーンアップ作業の規模が 2014 年の Heartbleed 脆弱性を超える可能性があると警告しており、現在のところ悪用が確認されていません。

CoinDesk の報道によると、Cardano の創設者 Charles Hoskinson は、Cardano ネットワークのために新しいプログラミング言語を自ら開発しており、Input Output Global のエンジニア Lucas Rosa と協力していると述べています。Lucas Rosa は Cardano の主要なスマートコントラクト言語の一つである Aiken の共同創設者です。Hoskinson は X プラットフォームで、この言語がユーザーが取引を完了させたい操作と暗号学的証明を組み合わせた初のプログラミング言語になると投稿しました。この言語は、取引意図、証明を持つデータ、および Groth16 証明の三つのツールをサポートすることが紹介されています。取引意図は、ユーザーが達成したい目標を明示することを可能にし、具体的な手順はアプリに処理させることができます。たとえば、取引者は最終価格が設定した条件を満たすときにのみあるトークンを別のトークンに交換するよう要求でき、具体的な経路を示す必要はありません。証明を持つデータは、情報に暗号学的証拠を追加し、特定のルールに準拠していることを証明します。他のアプリは再計算することなく検証できます。Groth16 は広く使用されている証明システムで、小さなサイズで高速に検証できる証明を生成し、プライバシーデータを公開することなく条件が満たされていることを証明します。三者が組み合わさることで、開発者は取引を調整し、複雑な条件をチェックし、サービス間で検証済みの情報を伝達するアプリを構築でき、最終的に Cardano が小型の証明を検証します。現在、Cardano の開発者は主に Haskell ベースの Plutus および Aiken を使用してスマートコントラクトを作成しており、Hoskinson の Input Output Global が構築したプライバシーブロックチェーン Midnight には独自の言語 Compact があります。この新しい言語の名称、公開コード、およびリリース日は現在のところ発表されていません。

イーサリアム研究フォーラムの研究者 Pierre は、より高速で、集約可能かつ量子耐性のあるプライバシープールの提案を行いました。この提案は、量子後の安全性を備えたハッシュ型 SNARK システム Flock に、Tornado Cash のようなプライバシープールを移植し、SHA-256 を採用しています。提案では、小型の「単回圧縮」回路が大型回路の代わりに使用されています。

火币 HTX の最新のマークルツリー準備証明（PoR）データによると、2026年10月1日（UTC+8）時点で、プラットフォームの主要資産の準備率はすべて100%以上を維持しており、十分な準備でユーザー資産の安全を保障し、100%の返済を実現することを約束しています。ユーザーはいつでも取引や引き出しができるようにしています。業界内で早期からマークルツリー準備証明を継続的に公開しているプラットフォームの一つとして、火币 HTX は市場に向けて48ヶ月連続でPoRデータを公開し、長期的かつ検証可能な方法でプラットフォームの透明性を向上させています。今回具体的に更新された準備金率は、BTC（104%）、ETH（102%）、TRX（108%）、USDs（104%）、HTX（103%）、XRP（105%）、DOGE（102%）、SOL（109%）です。ユーザーは火币 HTX の公式ウェブサイトの「資産-準備金証明報告」ページで確認できます。今年4月から、米ドル資産の準備データの表示の直感性をさらに向上させるために、火币 HTX はUSDT、USDCなどの米ドルステーブルコインを「USDs」として統一して表示しています。各通貨の資産データは引き続き独立して記録、独立して検証され、準備情報が真実で明確かつ追跡可能であることを保証しています。

イーサリアムの第2層ネットワーク ZKsync が証明器 Airbender Prime を発表しました。ZKsync は、これが単一の GPU 上でイーサリアムのリアルタイム証明をデモする初の証明器であると述べています。Airbender Prime は後量子安全を目指し、ハッシュベースの STARK を使用し、GKR サムチェック、WHIR 多項式コミットメント、BLAKE2s ハッシュを組み合わせています；その L1 証明は、BN254 ペアリングではなく、Keccak-256 ベースのコミットメントを採用します。この証明器はオープン RISC-V 標準に基づいており、リアルタイム証明と独立した検証者を組み合わせています。単一の GPU 評価では、NVIDIA RTX PRO 6000 Blackwell が連続する 7200 のイーサリアムメインネットブロックの 99% の証明を完了し、各ブロックの処理時間は 10 秒未満で、統計には証拠の準備が含まれています；すべてのブロックは 12 秒以内に完了しました。ZKsync は、Airbender Prime が ETHproofs 公開ランキングで報告された平均証明時間、GPU 効率、コストの面でリードしており、すでに双 GPU および四 GPU のリアルタイム構成があり、証明生成のハードウェア要件を低減しています。

Tangemの共同創設者Andrey LazutkinがXに投稿し、最近のLedgerのセキュリティ事件が再び「複雑性が攻撃面を拡大する」というセキュリティエンジニアリングの原則を証明したと述べました。彼は、画面、ボタン、バッテリー、ファームウェアなどの各追加コンポーネント、ソフトウェア層、ユーザーインタラクションが新たな潜在的な故障点や脆弱性を引き起こし、特定し緩和する必要があるリスクを増加させることを指摘しました。Lazutkinはこれに基づいてTangemが採用している極めてシンプルなカード型デザインを擁護しました――このアプローチは安全チップとアンテナの周りだけで構築されており、今回の事件がそのデザイン理念の正しさに対する判断を強化したと述べています。

NADA NEWSによると、日本の金融庁（FSA）は、暗号通貨取引所を含む金融機関に対し、運転免許証などの証明書画像を用いた本人確認（KYC）を速やかに停止し、スマートデバイスを通じて集積回路（IC）チップ情報を読み取る新しい確認方法に切り替えるよう求めています。

イーサリアムの貢献者 Francesco Risitano (@frisitano) が EIP-8440 (実行チェーン証明) の草案提案を提出しました。この提案は、再帰的ゼロ知識証明メカニズムを通じて、ヘッダービーコルブロックからオリジンビーコルブロックまでのすべての実行有効ペイロードの合法性を証明し、それをビーコルチェーンにバインドします。ノードは単一の証明を通じて、弱い主観性チェックポイントから最新のブロックヘッダーまでの完全な実行有効性を確立し、定数時間のチェーン同期を実現します。

Dragonflyの管理パートナーであるHaseeb Qureshiは、今日のTOKEN2049サミットで、年初に「スマートエージェントが暗号支払いを全面的に採用する」というストーリーが証明されていないことを述べ、現実はクレジットカードなどの従来の手段がすでに準備が整っていると指摘しました。真の変化は------スマートエージェントは暗号通貨を必要とせず、あなたが必要とするということです。スマートエージェントは、暗号を信頼できるものにし（銀行のようにあなたの愚かな操作を阻止します）、同時にAIが監視コストを大幅に削減し、物理的攻撃が急増する全景監獄時代において、暗号とプライベートAIが個人が国家権力に対抗し、プライバシーを取り戻すための最後の防衛線となります。

公式サイトのデータによると、バイナンスは10月の準備金証明を更新し、BTCの準備率は100.35%、USDTの準備率は103.88%、ETHの準備率は100%、BNBの準備率は100.47%に達しました。9月の準備報告と比較すると、バイナンス取引所内でユーザーが保有するBTCの数量は9月より6,217.116枚増加し、約5.367億ドルに相当します。ユーザーが保有するETHの数量は9月より183,602.205枚減少し、約4.986億ドルに相当します。

Animoca Brands 旗下プロジェクト Moca Foundation と Moca Network は、Moca Chain のメインネットがローンチされたことを発表しました。これにより、ユーザーと AI エージェントが異なるアプリケーション間で検証可能な証明書を共有できるようになります。ユーザーは証明書を保管し、証明書をいつ、どこで共有するかを決定できます。Moca Chain は、機関が統一されたデジタルアイデンティティに関連付けられた改ざん防止証明書を発行することを可能にし、認証、会員資格などの情報をカバーします。Moca Network は同時に AIR を発表し、企業がユーザーと AI エージェントに接続するための統一された入り口を提供し、機密情報の保存ニーズを減少させます。Moca Network は、AIR エコシステムに SK Planet、Biletinial、Oyunfor、Open Campus、OneFootball、Automobili Lamborghini、Inveo Kripto、Plume、Nansen など 9 社以上のパートナーが参加していることを明らかにし、2026 年までに統合を完了する計画です。

公式発表によると、Bitgetは第47期の準備金証明（PoR）を発表しました。総準備金率は131%に達し、19種類の資産をカバーしています。その中で、BTC、ETH、USDT、USDCの準備金率はそれぞれ142%、110%、107%、154%です。Bitgetは2022年12月から毎月準備金証明を更新しており、今年の9月にはカバー範囲を4種類の資産から19種類に拡大し、ユーザーにより広範なプラットフォームの準備状況を提供しています。Bitgetの歴史的な平均準備金率は120%以上を維持しており、100%のカバレッジ基準を上回り、保護されたユーザー資産を全額カバーしています。

OpenAIは2026年9月28日に安全に関する記事を発表し、最先端の強化学習トレーニングを続ける前に、構造化された安全文書の提供を求めるべきだと考えています。理想的には、このような文書は航空、原子力などの安全が重要な業界で使用される証拠に基づく構造化リスク論証のレベルに達するべきです。OpenAIはこれを努力の方向性と見なし、AIの能力の出現による複雑性から、同等の厳格さを実現することが難しいことを認めています。この記事は最先端の強化学習トレーニングに焦点を当てており、内部および外部の展開に必要なより広範な整合性属性については触れていません。文中で提案されている内容は現在の実践に属し、今後も進化し続けると予想され、OpenAI内部で実施されています。技術的な防護は、モデルの整合性、隔離、監視をカバーする必要があり、正の強化報酬の投機を避け、オフライン整合性評価とストレステストを行い、自動採点器が思考の連鎖を見ることを防ぎ、マルチレイヤーのインフラストラクチャの安全性、サンドボックスのレッドチーム、高帯域幅のクロスサンプル通信の制限、不可変のエージェント記録の保存を含むべきです。運営の原則には、チーム間の事前異議、高級リーダーによる否決可能な承認、トレーニング責任者が安全論証と事件対応に責任を持つこと、失敗時の一時停止、内部監視、監査アクセス、重大度に応じたエスカレーションが含まれます。重大な不整合事件に対して、OpenAIは原始記録への制御されたアクセス、根本原因分析、運営および文化の振り返りを提案し、事件に基づく評価を回帰テストとして扱います。調査終了後には結果を公開し、振り返りと運営の変更を行い、影響を受けた第三者にできるだけ早く通知します。