goplus

GoPlusは安全警報を発表し、韓国版涼兮、契約ライブ KOL 西八姐 @jadoodoo_ のXアカウントがハッキングされ、協力名義でファンにフィッシングリンクを送信するために狂ったようにダイレクトメッセージを送っていると報告しています。すでに複数のKOLが被害に遭い、総損失は約5,000ドルです。ウォレットに接続したり、悪意のあるソフトウェアをダウンロードしたりしないでください。

「DxSaleがバックドアを利用して730万ドルの流動性資金を引き出した」との件について、安全会社GoPlusは、この攻撃は内部の者によるものである可能性が高いと述べ、まだ1550万ドルの資金とLPが緊急に救済を必要としているとしています。GoPlusはプロジェクトチームに対し、直ちにプロジェクトのLPが0xEb3a9C56、0x81E0eF68、0x2D045410、0x5b5e9448の契約にロックされているかどうかを確認し、もしロックされている場合は直ちに撤回する措置を講じるように提案しています。初期資金の出所がBybitであるため、KYCの追跡を推奨します。最終的な出金経路は複数のバイナンスアドレスであるため、関連するセキュリティチームはチェーン上の証拠を提出し、攻撃者のアドレスを凍結するように申請することを推奨します。GoPlusはプロジェクトに対し、セキュリティメカニズムを強化するよう呼びかけており、重要な管理者関数にはタイムロックを設け、オーナー権限にはマルチシグを使用する必要があると強調しています。GoPlusは、現時点でDxSaleが公開の事件対応声明を発表していないこと、その沈黙自体が注目に値することを強調しています。

GoPlusの安全警報によると、Xプラットフォーム上でブラックUを推奨し、マネーロンダリング検出サイトのフィッシング詐欺活動が発生しています。調査の結果、このサイトはVercelホスティングプラットフォームに展開されたフィッシングサイトであり、ユーザーのウォレットの承認を騙し取ることを目的としていますので、相互作用しないでください。GoPlusの推奨：私的な取引はできるだけ避け、中央集権取引所のOTC機能を使用してください。特にウォレットの署名や承認が必要な操作に対しては、不明なリンクに対して高い疑念を持ってください。「フィッシング防止の四つの選ばないこと」を忘れないでください：不明なリンクをクリックしない、不明なソフトウェアをインストールしない、不明な内容の取引に署名しない、未確認のアドレスに送金しない。

GoPlusの分析によると、ステーブルコインプロトコルStablRは、イーサリアム上のマルチシグ契約のセキュリティ設定の問題（マルチシグの閾値が1）および保有者の秘密鍵が盗まれたことにより、StablR $EURR、$USDRステーブルコインが20%脱ペッグし、攻撃者は約280万ドルの利益を得た。

GoPlus Securityは、あるユーザーが典型的なアドレスポイズニング攻撃に遭遇したことを示しています。ユーザーは取引履歴から類似のアドレスをコピーし、攻撃者の偽造アドレスに100,000枚のDAIを誤って送金しました。この事件では、ユーザーは以前にターゲットアドレスに300,000枚のDAIを送金しており、攻撃者はその後、前後の文字が似ているアドレスから0.0003枚のDAIを送信し、ユーザーが2回目の送金時に誤ってアドレスを選択するよう誘導しました。GoPlus Securityは、取引履歴からアドレスをコピーしないように、送金前に完全なアドレスを確認し、大額の送金の前に小額のテストを行うように警告しています。

GoPlus の発表によると、過去 36 時間以内に新たに 2 件の公開鍵漏洩事件が発生し、総損失は 23.8 万ドルに達しました。そのうち 0xUnihax0r は 20 万ドルの損失を被り、取引ボットや Telegram をアップロードしたことがあります；@Eli5defi の盗まれたアドレスは、以前の 574 件のアドレスの大規模な秘密鍵漏洩事件と関連しています。GoPlus は、このような集中型の大規模秘密鍵漏洩を考慮し、直ちに秘密鍵漏洩自己検査チェックリストに従ってリスクを調査することを推奨しています。

GoPlus Securityのツイートによると、過去48時間以内にイーサリアムメインネットで4件のスマートコントラクト攻撃が発生し、総損失は150万ドルを超えた。これには、Onchainアグリゲーターコントラクトが攻撃され、約98.3万ドルの損失；TradingProtocol関連の第三者金庫コントラクトが盗まれ、約39.8万ドルの損失；BCBコントラクトが再入攻撃により攻撃され、約3.98万ドルの損失；あるコントラクトが任意呼び出しの脆弱性によりQNT資産が約12.49万ドルの損失を被ったことが含まれる。GoPlus Securityは、AI技術が戦場に入るにつれて、ハッカーの攻撃がより正確かつ迅速になっていると警告しており、脆弱性の発見が「数日」から「秒単位」に圧縮されている。

最近発生した「ListaDAOLiquidStakingVault」契約の攻撃事件に関して、ListaDAO公式は声明を発表し、攻撃を受けた契約は公式に展開されたものではなく、未検証の第三者によって類似の名前で作成された偽契約であることを明らかにしました。ListaDAOの公式契約はこの事件の影響を受けていません。GoPlusセキュリティチームの詳細な分析によると、今回の攻撃は2026年4月16日に発生し、その根本的な原因は第三者契約にビジネスロジックの欠陥が存在することです。トークンの転送が行われると、Dividend.setShares()関数がトリガーされ、契約内のシェアの記録が変更され、それがclaimReward()関数内の報酬計算に影響を与えました。攻撃者はこの脆弱性を利用して契約内の資産を枯渇させました。GoPlusは、上記の2つの契約コードに同じロジックの脆弱性が存在するため、これらのコードをフォークまたは再利用する開発プロジェクトは高い利用リスクにさらされていることを警告しています。関連する開発者には、コードの点検と修正を迅速に行い、スマート契約の安全性を確保するために継続的な監査メカニズムを導入することをお勧めします。

Web3 ウォレットインフラ Claw Wallet は GoPlus と戦略的提携を結んだことを発表しました。Claw Wallet は GoPlus の SafuSkill Launchpad を統合し、AI スキル（Skill）の資産化とトークン化をサポートし、開発者が GitHub 認証を通じて継続的なオンチェーン収益を得られるようにします。同時に、Claw Wallet は GoPlus AgentGuard セキュリティスキャン技術を導入し、多次元スコアリングシステムを通じて AI エージェントのコード、センシティブデータ、実行環境をリアルタイムで監視し、リスクの可視化を行います。この提携は AI エージェントウォレットのセキュリティを向上させ、そのエコシステムのインセンティブメカニズムを強化することを目的としています。

GoPlusの中国語コミュニティによると、あるユーザーが悪意のあるPermit2取引に署名したため、彼のウォレットにある約316,000ドルのUSDCがフィッシャーに転送されました。GoPlusはユーザーに対してフィッシング防止の「四つの不」の原則を守るよう提案しています：知らないリンクをクリックしない、出所不明のソフトウェアをインストールしない、不明な内容の取引に署名しない、未確認のアドレスに送金しない。また、フィッシングリスクをリアルタイムで遮断するためにGoPlusのセキュリティプラグインのインストールを推奨しています。

GoPlus Security の報告によると、Infiniti Stealer という名前の情報窃取マルウェアが "ClickFix" ソーシャルエンジニアリング攻撃手法を通じて、Mac ユーザーの暗号ウォレットや敏感な資格情報を狙っている。攻撃者は高度に模倣された Cloudflare の CAPTCHA ページを偽造し、ユーザーを誘導してターミナルを開かせ、手動で悪意のあるコマンドを貼り付けて実行させる。コマンドが実行されると、スクリプトは macOS の隔離属性を削除し、その後のペイロードを /tmp ディレクトリに静かに書き込んで実行する。最終的なペイロードは Nuitka でコンパイルされたネイティブ macOS バイナリファイルであり、セキュリティツールによる検出の難易度を大幅に引き上げる。Infiniti Stealer が展開されると、Chromium / Firefox ブラウザの資格情報、macOS キーチェーン、暗号ウォレット、開発者キー ファイル（.env ファイルなど）を盗むことができ、サンドボックス検出や遅延実行機能を備えて追跡を回避する。

GoPlus Security が発表したセキュリティ警告によると、Silverfort のセキュリティ研究者は OpenClaw のスキルリポジトリ ClawHub に深刻な脆弱性を発見しました。攻撃者は内部関数 downloads:increment を呼び出すことで、すべての防御機構を回避し、単一の curl リクエストで数分以内にダウンロード数を 2 万回以上に増やすことができ、悪意のあるコードを含むスキルを検索ランキングの第一位に押し上げ、ユーザーや AI エージェントに自動的にインストールさせることができます。悪意のあるスキルが実行されると、暗号財布や API キーなどの敏感なデータを盗むことができます。現在、この脆弱性は 24 時間以内に修正されました。GoPlus はユーザーに対し、高いダウンロード数が安全を意味するわけではないと警告し、AgentGuard を使用して安全スキャンと防御を行うことを推奨しています。

Arkhamのデータによると、15:54に16億枚のGPS（約1231万ドル相当）がGoPlusからある契約アドレス（0x7448...で始まる）に転送されました。

GoPlusの安全監視によると、ある0x9709で始まるアドレスが悪意のあるPermitおよびApprove取引に署名し、約20万ドルのUSDCとwmtUSDTがフィッシング攻撃者に盗まれました。GoPlusは、ユーザーがチェーン上の承認（Approve）やオフライン署名（Permit）リクエストに署名する際には、取引の詳細と契約アドレスを慎重に確認し、不明な出所の悪意のあるリクエストに署名しないようにし、資産の盗難を防ぐことを強く推奨しています。

GoPlusの監視によると、あるユーザーが悪意のあるApprove取引に署名したため、フィッシャーによって約85,000ドルのsNUSDが盗まれました。

GoPlusの監視によると、約8時間前、あるユーザーが悪意のあるPermit取引に署名した後、フィッシャーによって176万ドル相当のUSDCを盗まれました。

GoPlus はソーシャルメディアで報告を発表し、ClawHub エコシステムの最も重要な 100 の高頻度ダウンロードスキルに対して全量安全スキャンを実施した結果、ブロックされたスキル数は 21 個 (割合 21%)、警告されたスキル数は 17 個 (割合 17%) であると述べています。GoPlus は、Top 100 Skills の中で 21% が明確な高リスク操作（例えば、直接のネットワーク侵入、敏感な API 呼び出し、自動送信など）を持っているとし、このようなスキルを実行する際には「Human-in-the-Loop (HITL) 人工確認」メカニズムを強制的に追加し、高リスク行動を人工的にレビューすることを推奨しています。また、17% のスキルには一定のリスクがあり、慎重に実行することを推奨しており、安全性に高い要求を持つユーザーには人工確認を追加することを勧めています。この背景の中で、GoPlus Security は SafuSkill を発表しました。これは安全を優先したスキル市場であり、SafuSkill は BNB Chain 上に構築され、スキル市場、オートスキル安全スキャンエンジン、開発者管理ツールを統合した AI エージェントスキルプラットフォームであり、ユーザーがより安全な AI エージェントスキルを選別し発見するのを助けることを目的としています。AI エージェントスキルに安全スキャンと実行時保護機能を提供し、AI エージェントエコシステムをより透明で安全なインフラ層へと発展させることを推進しています。

据 GoPlus 発表のセキュリティ警告によると、攻撃者は Google 検索広告を通じて、ピクセル単位で完璧にクローンされた #Claude Code の公式インストールページのマルウェアを配布しており、このマルウェアはユーザーのパスワード、クッキー、セッショントークン、暗号財布、資格情報、システム情報を盗むことができます。GoPlus は、検索結果の広告識別を確認し、公式ウェブサイトとの微妙な違いを注意深く確認することを推奨しています。また、公式文書、ソーシャルメディア、GitHub リポジトリなどの複数のチャネルを通じてインストール方法を検証し、知らないコマンドを直接実行せず、実行前にコマンドの動作を分析することを勧めています。フィッシングリンク、リスクのある署名、認証、取引をリアルタイムでブロックするために、安全なプラグインをインストールすることも重要です。

Web3 セキュリティ会社 GoPlus は、AI 開発ツール OpenClaw が最近自己攻撃のセキュリティ事件を起こしたと発表しました。自動化タスクを実行する際、システムが Shell コマンドを呼び出して GitHub Issue を作成する過程で誤った Bash 指令を構築し、意図せずコマンドインジェクションを引き起こし、大量のセンシティブな環境変数が公開されました。事件では、AI が生成した文字列にバッククォートで囲まれた set が含まれ、Bash によってコマンド置換として解釈され、自動的に実行されました。Bash が引数なしで set を実行すると、現在のすべての環境変数が出力されるため、最終的に 100 行以上のセンシティブな情報（Telegram キー、認証トークンなど）が直接 GitHub Issue に書き込まれ、公開されました。GoPlus は、AI 自動化開発やテストシーンでは、直接 Shell コマンドを結合するのではなく、API 呼び出しを使用することを推奨し、最小権限の原則に従って環境変数を隔離し、高リスク実行モードを無効にし、重要な操作には人間のレビュー機構を導入することを提案しています。

GoPlusはCustosとの長期的な戦略的パートナーシップを発表しました。双方のチームはトークンロックビジネスを中心に深い協力を展開し、オンチェーン資産管理の新しい可能性を探求し、トークンロックを基本的なツールからプロトコルレベルの資本戦略インフラに引き上げます。双方は明確な境界と異なる役割を維持し、独立して発展しながら戦略的な協調を実現します。Custosは資産管理プロトコル層の革新に注力し、トークンロックビジネスをより高いレベルに発展させます。GoPlusは安全なインフラを構築し続け、Custosの発展に戦略的なサポートを提供します。