pm

The Blockによると、JPMorganのアナリストは最新の報告書で、Strategyが以前に32枚のビットコインを売却したことで市場が動揺したが、これは象徴的な操作に過ぎず、本当の問題は新しい投資家の需要が不足していることだと述べています。報告書は、Strategyの現在のドル準備が約6.3ヶ月分の優先株配当を支払うのに十分であると指摘し、投資家の信頼を回復するためにドル準備を再構築することを提案しています。JPMorganは同時に予想を引き下げ、米国の暗号市場構造法案（Clarity Act）が今年通過する可能性は50％未満であると考え、デジタル資産全体に対して慎重な姿勢に転じました。それにもかかわらず、アナリストはStrategyが引き続きビットコインを購入すると予測しており、現在の市場の低迷が将来の強気の逆信号になる可能性があると考えています。

BBXデータによると、昨日ビットコインは年内の新低値$61,300に下落し、暗号関連株セクターは圧力を受け、機関と立法の面で重要な信号が現れました。核心的な動向は以下の通りです：Strategy, Inc. (NASDAQ: $MSTR) の創業者マイケル・セイラーは6月4日に公に、ビットコインの現在の下落はBTCの基本面の悪化によるものではなく、資本がビットコインからAI株、SpaceX IPO、その他の新興資産への「段階的なローテーション」に移行していると述べました。「ビットコインは問題を抱えているわけではなく、単に一時的にモメンタムトレードの主役ではない」とセイラーは再度、継続的な増購の立場を強調しました。以前、Strategyは5月11日から17日の1週間で約$20.1億（平均価格$80,985）を費やして24,869枚のBTCを増購し、最新の開示によると総保有量は843,738枚のBTCで、総コストは約$638.7億（平均価格$75,700）です。現在、BTCはコストライン$12,300を下回っており、会社の全ての保有は帳簿上の浮損状態にありますが、経営陣は減少の意図を公にしていません。JPMorgan Chase & Co. (NYSE: $JPM) はCoinDeskの6月4日の報道を引用し、最新の研究報告書で警告しています：CLARITY法案が上院全体の投票に残された立法の時間ウィンドウは「急速に狭まっている」と。ステーブルコインの収益条項に関する表現の相違は法案の最も重要な未解決の障害に進展しており、銀行業界は「受動的収益」の制限を保持することに固執し、暗号業界は「活動インセンティブの空間」を求めています。両者の間の駆け引きが今月中に妥協に至らなければ、上院は7月4日までに60票の投票を完了するタイムラインが完全に無効になります。また、報告書はSpaceX IPOとAI株の資金吸引効果が短期的に機関のBTCへの配置意欲をさらに抑制していることを指摘しています。

慢雾の監視によると、IronWormという名前の新型Rustサプライチェーンマルウェア活動が、悪意のあるnpmパッケージを通じて開発者環境とWeb3エコシステムを攻撃しています。潜在的な攻撃行為には、認証情報の窃取、ウォレットのニーモニックとパスワードの盗取、GitHubリポジトリの改ざん、悪意のあるパッケージの公開、CI/CDの機密漏洩、Torベースのコマンドコントロール、eBPFルートキットの隠蔽が含まれます。セキュリティチームは、リポジトリ内のリバートコミット、疑わしいブランチ、予期しないビルドフック、およびclaude、dependabot、renovate、またはgithub-actionsなどの自動化されたアイデンティティによるコミットを監査するべきです。影響を受けたパッケージのバージョンを削除または廃止し、クリーンなバージョンを公開し、漏洩したすべてのキーとトークンをローテーションし、GitHub Actionsのコンポーネントをレビューし、クリーンなイメージから損傷を受けた可能性のある開発またはCIシステムを再構築することをお勧めします。

慢雾 SlowMist は安全警報を発表し、@redhat-cloud-services に関連するソフトウェアパッケージをターゲットとした活発な npm サプライチェーン攻撃を検出しました。現在、31以上のパッケージが影響を受けていることが確認されており、週のダウンロード数は約 116,000 回、300 以上の GitHub リポジトリに盗まれた認証情報が存在します。この攻撃手法は以前の "Shai-Hulud" npm 攻撃と非常に類似しており、認証情報の窃取、悪意のあるリポジトリの作成、自動化された秘密の漏洩が含まれます。現在も新たな疑わしいリポジトリが継続的に出現しており、攻撃が続いていることを示しています。開発者は引き続き感染しています。潜在的な危害には、GitHub/npm トークンの盗難、AWS/GCP/Azure クラウド認証情報の漏洩、SSH キーと Kubernetes 秘密の収集、ローカル環境およびウォレットデータの漏洩、悪意のあるリポジトリの作成および持続的な操作、さらにはトークンが取り消された後に破壊的な行動を引き起こす可能性があります。影響を受けた @redhat-cloud-services パッケージのバージョンを直ちに削除またはダウングレードし、CI/CD ワークフローと依存関係のインストールを全面的に監査し、すべての GitHub、npm、クラウドサービス、SSH およびウォレット関連のキーをローテーションし、ログを保持し、クリーンなイメージから露出した開発者マシンまたは Runner を再構築し、常に高い警戒を維持することをお勧めします。

慢雾の発表によると、安全機関MistEyeは、npm、PyPI、crates.ioに悪意のあるパッケージを公開することで、暗号通貨、DeFi、Solana、Sui/MoveおよびAI分野の開発者を標的としたクロスレジストリサプライチェーン攻撃事件を検出しました。この攻撃活動には、34以上の悪意のあるパッケージと384以上の関連バージョンが含まれています。攻撃者は暗号通貨ウォレット、SSHキー、クラウド認証情報、GitHub/AWSトークン、ブラウザデータ、環境変数および開発者の機密情報を盗む可能性があります。一部の悪意のあるペイロードは、.cursorrules、CLAUDE.md、Gitフック、シェルフック、cron、systemdおよびSSHを通じて持続的な駐留を試みています。開発者には、影響を受けたパッケージを直ちに削除し、影響を受けたシステムを隔離し、ログを保持し、露出した認証情報をローテーションし、クリーンなイメージからCI実行環境と開発者マシンを再構築し、GitHub、クラウドサービス、SSHおよびウォレットの活動記録を確認することをお勧めします。

BBXのデータによると、昨日の伝統的な決済機関の暗号基盤の配置に分化が見られ、機関はETHとアルトコインのトラックに対する見解に明確な相違が生じました。核心的な動向は以下の通りです：Mastercard Incorporated (NYSE: $MA) は3月17日に最高18億ドル（うち3億ドルはパフォーマンスに基づく支払い）で英国のステーブルコイン基盤企業BVNKの買収契約を締結しました。これにより、Mastercardは以前進めていたZerohash（非公開株）の戦略的出資計画を放棄しました。CoinDeskの5月19日の報道によると、MastercardはBVNKの買収が完了した後、Zerohashとの交渉から撤退しました。Zerohashは現在、15億ドル以上の評価額で新たな資金調達ラウンドを開始しようとしています（2025年9月の1.04億ドルD-2ラウンドの際に確立された10億ドルの評価額を上回る）。MastercardがBVNKを買収する戦略的な論理は、BVNKが130カ国以上をカバーするステーブルコイン決済基盤と迅速に複製することが難しい多国籍決済ライセンスの組み合わせを持っていることにあります。Mastercardの最高製品責任者Jorn Lambertは、目標はステーブルコインをMastercard Moveの国際決済のコアネットワークに統合することであり、周辺の実験として扱うのではないと述べています。JPMorgan Chase & Co. (NYSE: $JPM) のアナリストは、CoinDeskの5月19日の報道を引用して、最新の研究報告を発表し、現在の市場環境においてイーサリアムとより広範なアルトコインのトラックはビットコインに対して引き続き遅れをとると指摘しました。核心的な理由は三つの構造的な弱点です：ネットワークの活性度の低下、DeFiエコシステムの成長の停滞（SolanaのTVLは2025年のピークの131億ドルから約55億ドルに減少）、および現実世界での採用シナリオが依然として限られていることです。アナリストは、アルトコインのトラックがビットコインのパフォーマンスに追いつくためには「重大なネットワーク活性度の爆発」という前提条件が必要であり、この条件は現在、短期的な触媒が見当たらないと考えています。

ブロックチェーンセキュリティ機関 SlowMist (@SlowMist_Team) の脅威監視システム MistEye によると、「Mini Shai-Hulud」と呼ばれる高度に複雑な npm ワームが、TanStack、UiPath、DraftLab などの有名な開発者プロジェクトを通じて拡散しています。攻撃者は GitHub の認証情報をハイジャックし、合法的な更新を装った悪意のあるソフトウェアパッケージを公開し、その中に隠れたスクリプト router_init.js を埋め込み、GitHub Actions などの CI/CD 環境で静かに実行され、CI/CD キー、クラウドインフラストラクチャキー、暗号通貨ウォレット情報を専門に盗み、GitHub 自身のインフラストラクチャを利用してデータを外部に送信します。SlowMist は顧客に関連する脅威インテリジェンス (IOC) を同期し、影響を受けたソフトウェアパッケージを使用しているプロジェクトに対し、CI/CD パイプライン内に router_init.js ファイルが存在するかどうかを直ちに調査し、すべての露出した GitHub、クラウドサービス、暗号通貨の認証情報をローテーションし、開発環境内の異常なバックグラウンド活動を継続的に監視することを推奨しています。

Cointelegraph の報道によると、モルガン・スタンレーは今年 Kinexys を通じて JPM コインを Canton Network に拡張する予定であり、このネットワークは現在、毎日 3500 億ドル以上の米国債のリポ取引決済を処理しています。

アルゼンチン国内のいくつかの銀行が、機関ユーザー向けにモルガン・スタンレーが設計した預金トークンJPM Coinのテストを開始しました。現在、Banco CMFは確認された参加者の一つであり、この金融機関はJPM Coinをバックエンドの決済ワークフローに使用し、決済の速度と効率を向上させることを期待しています。

攻撃者は、JavaScriptで最も人気のあるHTTPクライアントライブラリAxiosの主要メンテナーのnpmアクセス令牌を盗み、その令牌を利用してクロスプラットフォームのリモートアクセス型トロイの木馬（RAT）を含む2つの悪意のあるバージョン（axios@1.14.1とaxios@0.3.4）を公開しました。これらはmacOS、Windows、Linuxシステムを対象としています。悪意のあるパッケージはnpmレジストリ上で約3時間生存した後に削除されました。セキュリティ会社Wizのデータによると、Axiosの週あたりのダウンロード数は1億回を超え、約80%のクラウドおよびコード環境に存在しています。セキュリティ会社Huntressは、悪意のあるパッケージが公開されてから89秒後に最初の感染を検出し、露出ウィンドウ期間内に少なくとも135のシステムが侵害されたことを確認しました。注目すべきは、Axiosプロジェクトは以前にOIDC信頼できる公開メカニズムやSLSAトレーサビリティ証明などの現代的なセキュリティ対策を導入していたにもかかわらず、攻撃者はこれらの防御を完全に回避しました。調査の結果、プロジェクトはOIDCを設定する際に従来の長期有効なNPM_TOKENを保持しており、npmは両者が共存する場合、デフォルトで従来のトークンを優先して使用するため、攻撃者はOIDCを突破することなく公開を完了できました。

慢雾は再び安全に関する警告を発表し、axiosの悪意のあるバージョンとOpenClawのnpmグローバルインストール履歴の露出リスクに注意するよう呼びかけています。axios@1.14.1とaxios@0.3.4は悪意のあるバージョンとして確認されており、両者はplain-crypto-js@4.2.1に依存しており、postinstallスクリプトを通じてクロスプラットフォームの悪意のあるペイロードを配信しています。OpenClawの影響状況はシナリオによって判断されます：ソースコードのビルドは影響を受けず、ロックファイルでロックされたバージョンは1.13.5/1.13.6です。しかし、npm install -g openclaw@2026.3.28でインストールしたユーザーには履歴露出リスクがあります。理由は依存関係の中にoptionalDependencies.axios@^1.7.4が存在し、悪意のあるバージョンがオンラインの間にaxios@1.14.1に解決される可能性があるためです。現在、npmはaxios@1.14.0に解決を戻しましたが、攻撃ウィンドウ内でインストールされた環境は引き続き調査を推奨します。慢雾は各プラットフォームの調査コマンドとIoCパスを提供しており、plain-crypto-jsディレクトリが存在する場合、package.jsonがクリーンにされていても、高リスクの実行痕跡と見なすべきです。影響を受けたホストは直ちに資格情報をローテーションし、ホスト側の調査を開始することをお勧めします。以前の情報では、慢雾の創設者である余弦が、OpenClaw 3.28バージョンが毒入りバージョンのaxiosを導入する可能性があると警告しており、ユーザーは緊急に調査する必要があります。

市場の情報によると、Socket は npm コアパッケージ axios の 1.14.1 バージョンが活発なサプライチェーン攻撃に遭遇したことを検出しました。攻撃者は悪意のある依存パッケージを注入し、axios に悪意のあるコードを埋め込みました。axios を使用している開発者は、すぐにバージョンを固定し、プロジェクトのロックファイルを確認することをお勧めします。

市場の情報によると、ステーブルコイン USDT の発行者 Tether は、監査機関としてビッグフォーの KPMG を選定し、内部システムの改善を支援するために PwC を雇った。この動きは、Tether が全面的な財務諸表監査に向けての最も明確な信号であり、監査は現在 BDO Italia によって発行されている月次準備証明を超えて、資産、負債、管理措置および報告プロセスを全面的に審査することになる。以前の情報では、Tether はその業務に対してビッグフォーの一つを雇って監査を行うと発表したが、その時には具体的な監査法人の名前は明らかにされていなかった。

金十の報道によると、スタンダード・アンド・プアーズのグローバル市場情報のチーフビジネスエコノミストであるクリス・ウィリアムソンは、3月の初歩的なPMI指数調査データが示すところによれば、アメリカの経済成長の鈍化とインフレの上昇が懸念される状況であると述べています。企業は、紛争による不確実性と生活費が需要に影響を与えていると報告しており、金融市場の不安と支払い能力の制限がこの状況を悪化させています。調査によると、消費者物価のインフレは約4%に回復しており、アメリカがスタグフレーションのリスクに直面している可能性を示唆しています。連邦準備制度は、インフレ上昇のリスクと経済成長の減速の間でバランスを取る必要があります。

Cryptopolitan の報道によると、GhostClaw という名前の新しいマルウェアが macOS デバイス上の暗号財布を標的にしています。このマルウェアは、合法的な OpenClaw CLI ツールに偽装しており、npm レジストリに一週間存在した後、178 人の開発者を感染させた後に削除されました。開発者が "npm install" コマンドを実行すると、隠されたスクリプトがグローバルに GhostClaw パッケージをインストールし、難読化された設定ファイルを通じて検出を回避します。GhostClaw は 3 秒ごとにクリップボードをスキャンし、秘密鍵、リカバリーフレーズ、公開鍵などの暗号財布や取引に関連するデータをキャプチャします。第2段階のペイロードがダウンロードされた後、GhostLoader は Chromium ブラウザ、macOS キーチェーン、およびシステムストレージ内の暗号財布データをスキャンし、ブラウザセッションをクローンしてログイン済みの財布へのアクセスを取得し、OpenAI や Anthropic などの AI プラットフォームに接続する API トークンを盗みます。盗まれたデータは Telegram、GoFile、およびコマンドサーバーを通じて攻撃者に送信されます。

公式の発表によると、HyperliquidのネイティブステーブルコインUSDHの発行者であるNative Marketsは、トークン化されたマージンpmUSDHを導入します。ユーザーがポートフォリオマージンアカウントにUSDHを預け入れると、プロトコルはそのポジションをERC-20形式のpmUSDHトークンに変換します。このトークン化は、借り手が支払う利息収益を得ることができ、さらにFelix、Hyperlend、Pendle、Ryskを含むDeFiプロトコルでも使用できます。

投資家は火曜日にアメリカ・カリフォルニア州北部地区連邦地方裁判所に集団訴訟を提起し、JPMorganが倒産したGoliath Venturesが運営する3.28億ドルの暗号ポンジスキームにおいて疑わしい取引を阻止できず、同社が銀行インフラを利用して投資家の資金を徴収することを許可したと主張しています。訴状によれば、JPMorganは2023年1月から2025年5月または6月の間、Goliathに唯一の銀行サービスを提供しており、Goliathは2000人以上の投資家を通じて少なくとも3.28億ドルを調達しました。そのうち約2.53億ドルがJPMorganの0305口座に預けられ、約1.23億ドルがGoliathがCoinbaseで保有するウォレットに転送されました。以前、アメリカ・フロリダ州中部地区連邦検察官事務所は2月24日にGoliathのCEOクリストファー・デルガドを逮捕したと発表し、彼は最高30年の連邦刑務所に服役する可能性があります。検察はGoliath（旧称Gen-Z Venture Firm）が2023年1月から2026年1月の間にこの詐欺を運営していたと述べています。別の刑事訴状によれば、GoliathはBank of Americaに商業口座を持ち、デルガドはその口座の共同署名者です。

据慢雾科技首席信息安全官 23pds 披露，情报系统发现名为 "@openclaw-ai/openclawai" 的恶意 npm 包正在实施多层攻击。该恶意包伪装成名为 OpenClaw Installer 的合法命令行工具，旨在窃取用户敏感信息，包括系统凭证、加密钱包私钥、浏览器数据、SSH 密钥以及 Apple Keychain 数据库等。