goplus

GoPlus Securityは、安全警報を発表し、詐欺団体がrealtrumpcoins[.]comサイトおよび@realtrumpcoins1アカウントをハイジャックし、悪意のあるGOLDトークンを発行したと述べています。この団体は、市場価値を約6000万ドルまで引き上げた後、売却しRug Pullを実施し、820万ドル以上の利益を得ました。オンチェーンデータによると、開発者の初期資金はKuCoin関連のホットウォレットに遡ることができ、さらに15の操縦ウォレットはBinance関連のホットウォレットから資金を提供されています。これらのウォレットはすべて同じ悪意のあるルーティング契約を通じて取引されています。GoPlus Securityはさらに、この団体が別の悪意のあるミームコインTrump Digital Platinum（PLATINUM）を展開しており、その契約はいつでも任意の保有者の残高を空にできることを指摘し、ユーザーに購入を避け、リスクに注意するよう警告しています。

GoPlus Securityは安全警報を発表し、Realio Network傘下のrealio[.]fundが攻撃を受け、攻撃者がプラットフォームの署名システムを掌握し、Ethereum、BNB Chain、Algorand、Stellar、およびRealioのネイティブチェーン上で金庫とホスティングウォレットの資産を移転したと報告しています。今回の事件では約1.279億枚のRIOが関与しており、価値は約620万ドルです。攻撃者は現在、約31.7万ドルを現金化しています。

GoPlusの監視によると、VSCode拡張のSolidity Proは毒されており、過去のバージョンにはデータ窃取やリモート実行などの悪意のある機能が存在していました。開発者は自分がインストールした関連拡張を直ちに確認し、サードパーティのプラグインに対する警戒を高めることをお勧めします。

公式の発表によると、GoPlusはDeepScanを全面的にアップグレードし、AIに基づくスマートコントラクトの安全ソリューションを提供することを発表しました。GoPlusは、ハッカーがAIを利用してより深いレベルのコントラクトの脆弱性を掘り起こし始めているため、従来の「一度の監査、オンラインで終了」という安全モデルでは、継続的に変化する攻撃リスクに対応するのが難しくなっていると述べています。DeepScanはスマートコントラクトの全ライフサイクルにわたり、AIによるコントラクト監査、継続的な安全監視、トークンの安全自己チェックからなる完全な安全クローズドループを構築し、開発者、プロジェクトチーム、取引プラットフォームに継続的な安全保障を提供します。その中で、AIによるコントラクト監査は、AIを基にコントラクトのソースコード、権限管理、ビジネスロジックを深く分析し、文法の脆弱性、ビジネスロジックの脆弱性などの安全リスクを特定し、安全スコア、重要な発見、問題の詳細、修正提案を含む構造化された監査報告書を出力します。継続的な安全監視は、すでにオンラインで監査を完了したコントラクトに対して、新たに公開された脆弱性、チェーン上の攻撃事件、オラクルやクロスチェーンブリッジなどの外部依存の変化をリアルタイムで追跡し、AIを通じてプロジェクトが影響を受けているかどうかを判断し、迅速に再確認と警告を行います。トークンの安全自己チェックは、発表予定または上場申請中のプロジェクトに向けて、貔貅盤/蜜罐、悪意のある増発権限、ブラックリストメカニズム、異常取引税、オーナー権限および取引制限などのリスクを迅速に検出します。さらに、GoPlus DeepScanチームは、実際のスマートコントラクト攻撃事件に基づいて構築されたオープンソースのベンチマークデータセットを発表しました。これは、AIの脆弱性識別、攻撃経路の理解、文脈推論、監査の安定性などの実際の能力を評価するためのもので、2025年5月から現在までに近百件の典型的な攻撃事件が収録され、継続的に更新されています。GoPlusは、DeepScanが開発者の低コストの安全スキャン、プロジェクトチームのオンライン前の安全審査、運営中の継続的な監視に利用できるほか、取引プラットフォームの上場前の安全評価の補完としても機能し、関係者が新たな脆弱性や攻撃リスクをより迅速に特定できるよう支援すると述べています。

GoPlusの安全警報によると、あるユーザーはアドレス毒付け攻撃により約10万ドルのUSDTを失いました。攻撃者は末尾が似ている悪意のあるアドレスを使って少額の取引を行い、ユーザーがコピー＆ペーストする際にミスをするのを待ちました。アドレス毒付け攻撃は完全に自動化されており、毒付けの機会を発見し、同名の偽コインを作成したり、少額の毒付けや混合通貨のマネーロンダリングを実施したりしています。被害を受けたアドレスは69日前に最後の取引を行った後、400件以上の毒付け取引を受け取りました。

GoPlusの監視によると、Baseチェーン上のあるユーザーがフィッシング攻撃により50万USDCを失いました。攻撃者は不正に得た資金をWETHに交換する際、スクリプトにスリッページ保護が設定されていなかったため、流動性がほとんどないUniswap V4のWETH/USDCプールにルーティングされ、50万USDCがわずか67.9ETH（価値12.9万ドル）にしか交換されませんでした。そのうち37万ドルがMEVボットに奪われました。このMEVボットはわずか0.03USDCを支払ってその取引を先取りしましたが、そのために3.5ETHのガス代を支払いました。その後、被害者は攻撃者とMEVアドレスにオンチェーンメッセージを送り、攻撃者の身元を特定したことを伝え、10%の報酬を支払って返金を要求する意向を示しました。

GoPlus の分析によると、Arbitrum 上の Lumi Finance は 7 月 13 日に攻撃を受け、約 27 万ドルの損失を被りました。脆弱性は Sodium スマートアカウントコントラクト（ERC-4337）の validateUserOp 関数にあり、_validateSignature を呼び出して署名を検証する際に論理的欠陥が存在しました。------ isValidSignatureNow を実行する際、signer パラメータに攻撃者のアドレスが渡され、ECDSA.tryRecover の呼び出しでエラーが発生した後、revert せずに攻撃コントラクト内の isValidSignature 関数を呼び出して検証に成功しました。攻撃者はこの脆弱性を利用して UserOperation の検証中に Token approve 操作を実行し、支払い側の許可なしに複数のスマートアカウントから ERC20 トークンの承認権を取得しました。

安全分析プラットフォーム GoPlus は「あるユーザーが Uniswap で約 1126 枚の ETH（約 201 万ドル）を 5776 枚の LIT（約 1.4 万ドル）に交換し、約 200 万ドルの損失を出した」事件についてツイートし、この事件の核心的な原因はサンドイッチ攻撃ではなく、同じブロック内のバックランナーによるアービトラージであると述べました。ルーティングコントラクトは大量の WETH を流動性が極めて低い AVAIL/WETH 取引プールに投入し、ユーザーは市場価格から大きく乖離した価格（合理的な価格の約 120 倍）で AVAIL を購入することになりました。その後、同じブロック内で、バックランナーはごく少量の実際の価格の AVAIL を使ってそのプールで逆取引を行い、約 1072 枚の WETH を引き出し、その大部分（約 1018 枚の ETH）をビルダーへの支払いとして Titan Builder に支払いました。

Web3 セキュリティ会社 GoPlus Security は、最近スマートコントラクトの脆弱性攻撃が頻発しており、特に数年前に展開された古いコントラクトが攻撃者の主要なターゲットになっていることを指摘しています。攻撃者は AI 技術を利用してこれらの脆弱性を迅速に発見し、利用しています。最近の典型的な事件には以下が含まれます：6月9日、7年前に展開されたToken of Power（TOP）コントラクトがイーサリアム上で攻撃され、約150万ドルの損失；5月25日、3年前に展開されたWUSD.fiコントラクトが攻撃され、約20万ドルの損失；6月14日と6月18日、Aztec Networkが2年前に展開された古いコントラクトに対して連続して攻撃され、総損失は400万ドルを超えました。GoPlus Security は、従来の監査方法では歴史的な遺留コントラクトを効果的にカバーすることが難しいと考えており、AI に基づく継続的監査（Always-on Audit）サービスが現在最も効果的な解決策である可能性が高いとしています。これにより、短時間で古いコントラクトの安全性をチェックし、信頼性とコストのバランスを取ることができます。

GoPlusはXプラットフォームで、Metaアカウントの復元機能に高リスクの設計欠陥があることが報告されており、ユーザーの電話番号、メールアドレス、PII（個人情報）が直接漏洩する可能性があると述べています。攻撃者はMETAユーザー名を入力するだけで、ログインや認証を必要とせず、ユーザーに紐づけられたメールアドレスや電話番号などの完全なPIIを直接取得できます。これにより、ユーザーに対して大規模なフィッシング攻撃、SIMカード交換攻撃、アカウント乗っ取りやアイデンティティ盗用、精密なソーシャルエンジニアリング攻撃などの多くの危害をもたらす可能性があります。提案：漏洩したメールアドレス/電話番号を復元方法として削除または変更する；関連アカウントのパスワードを変更し、2FAを有効にする；「アカウント異常」「確認」「パスワードリセット」に関連するメールやSMSをクリックしない；多チャネル認証を設定し、公式文書や公式の他のソーシャルメディアチャンネルで確認することができます。

GoPlusの警告によると、あるユーザーが悪意のあるPermit2取引に署名したため、フィッシャーによって約31.6万ドルのUSDCが盗まれました。

GoPlusは安全警報を発表し、韓国版涼兮、契約ライブ KOL 西八姐 @jadoodoo_ のXアカウントがハッキングされ、協力名義でファンにフィッシングリンクを送信するために狂ったようにダイレクトメッセージを送っていると報告しています。すでに複数のKOLが被害に遭い、総損失は約5,000ドルです。ウォレットに接続したり、悪意のあるソフトウェアをダウンロードしたりしないでください。

「DxSaleがバックドアを利用して730万ドルの流動性資金を引き出した」との件について、安全会社GoPlusは、この攻撃は内部の者によるものである可能性が高いと述べ、まだ1550万ドルの資金とLPが緊急に救済を必要としているとしています。GoPlusはプロジェクトチームに対し、直ちにプロジェクトのLPが0xEb3a9C56、0x81E0eF68、0x2D045410、0x5b5e9448の契約にロックされているかどうかを確認し、もしロックされている場合は直ちに撤回する措置を講じるように提案しています。初期資金の出所がBybitであるため、KYCの追跡を推奨します。最終的な出金経路は複数のバイナンスアドレスであるため、関連するセキュリティチームはチェーン上の証拠を提出し、攻撃者のアドレスを凍結するように申請することを推奨します。GoPlusはプロジェクトに対し、セキュリティメカニズムを強化するよう呼びかけており、重要な管理者関数にはタイムロックを設け、オーナー権限にはマルチシグを使用する必要があると強調しています。GoPlusは、現時点でDxSaleが公開の事件対応声明を発表していないこと、その沈黙自体が注目に値することを強調しています。

GoPlusの安全警報によると、Xプラットフォーム上でブラックUを推奨し、マネーロンダリング検出サイトのフィッシング詐欺活動が発生しています。調査の結果、このサイトはVercelホスティングプラットフォームに展開されたフィッシングサイトであり、ユーザーのウォレットの承認を騙し取ることを目的としていますので、相互作用しないでください。GoPlusの推奨：私的な取引はできるだけ避け、中央集権取引所のOTC機能を使用してください。特にウォレットの署名や承認が必要な操作に対しては、不明なリンクに対して高い疑念を持ってください。「フィッシング防止の四つの選ばないこと」を忘れないでください：不明なリンクをクリックしない、不明なソフトウェアをインストールしない、不明な内容の取引に署名しない、未確認のアドレスに送金しない。

GoPlusの分析によると、ステーブルコインプロトコルStablRは、イーサリアム上のマルチシグ契約のセキュリティ設定の問題（マルチシグの閾値が1）および保有者の秘密鍵が盗まれたことにより、StablR $EURR、$USDRステーブルコインが20%脱ペッグし、攻撃者は約280万ドルの利益を得た。

GoPlus Securityは、あるユーザーが典型的なアドレスポイズニング攻撃に遭遇したことを示しています。ユーザーは取引履歴から類似のアドレスをコピーし、攻撃者の偽造アドレスに100,000枚のDAIを誤って送金しました。この事件では、ユーザーは以前にターゲットアドレスに300,000枚のDAIを送金しており、攻撃者はその後、前後の文字が似ているアドレスから0.0003枚のDAIを送信し、ユーザーが2回目の送金時に誤ってアドレスを選択するよう誘導しました。GoPlus Securityは、取引履歴からアドレスをコピーしないように、送金前に完全なアドレスを確認し、大額の送金の前に小額のテストを行うように警告しています。

GoPlus の発表によると、過去 36 時間以内に新たに 2 件の公開鍵漏洩事件が発生し、総損失は 23.8 万ドルに達しました。そのうち 0xUnihax0r は 20 万ドルの損失を被り、取引ボットや Telegram をアップロードしたことがあります；@Eli5defi の盗まれたアドレスは、以前の 574 件のアドレスの大規模な秘密鍵漏洩事件と関連しています。GoPlus は、このような集中型の大規模秘密鍵漏洩を考慮し、直ちに秘密鍵漏洩自己検査チェックリストに従ってリスクを調査することを推奨しています。

GoPlus Securityのツイートによると、過去48時間以内にイーサリアムメインネットで4件のスマートコントラクト攻撃が発生し、総損失は150万ドルを超えた。これには、Onchainアグリゲーターコントラクトが攻撃され、約98.3万ドルの損失；TradingProtocol関連の第三者金庫コントラクトが盗まれ、約39.8万ドルの損失；BCBコントラクトが再入攻撃により攻撃され、約3.98万ドルの損失；あるコントラクトが任意呼び出しの脆弱性によりQNT資産が約12.49万ドルの損失を被ったことが含まれる。GoPlus Securityは、AI技術が戦場に入るにつれて、ハッカーの攻撃がより正確かつ迅速になっていると警告しており、脆弱性の発見が「数日」から「秒単位」に圧縮されている。

最近発生した「ListaDAOLiquidStakingVault」契約の攻撃事件に関して、ListaDAO公式は声明を発表し、攻撃を受けた契約は公式に展開されたものではなく、未検証の第三者によって類似の名前で作成された偽契約であることを明らかにしました。ListaDAOの公式契約はこの事件の影響を受けていません。GoPlusセキュリティチームの詳細な分析によると、今回の攻撃は2026年4月16日に発生し、その根本的な原因は第三者契約にビジネスロジックの欠陥が存在することです。トークンの転送が行われると、Dividend.setShares()関数がトリガーされ、契約内のシェアの記録が変更され、それがclaimReward()関数内の報酬計算に影響を与えました。攻撃者はこの脆弱性を利用して契約内の資産を枯渇させました。GoPlusは、上記の2つの契約コードに同じロジックの脆弱性が存在するため、これらのコードをフォークまたは再利用する開発プロジェクトは高い利用リスクにさらされていることを警告しています。関連する開発者には、コードの点検と修正を迅速に行い、スマート契約の安全性を確保するために継続的な監査メカニズムを導入することをお勧めします。

Web3 ウォレットインフラ Claw Wallet は GoPlus と戦略的提携を結んだことを発表しました。Claw Wallet は GoPlus の SafuSkill Launchpad を統合し、AI スキル（Skill）の資産化とトークン化をサポートし、開発者が GitHub 認証を通じて継続的なオンチェーン収益を得られるようにします。同時に、Claw Wallet は GoPlus AgentGuard セキュリティスキャン技術を導入し、多次元スコアリングシステムを通じて AI エージェントのコード、センシティブデータ、実行環境をリアルタイムで監視し、リスクの可視化を行います。この提携は AI エージェントウォレットのセキュリティを向上させ、そのエコシステムのインセンティブメカニズムを強化することを目的としています。