edge

LedgerのCTOチャールズ・ギルメットは、「約30％のBTCが量子計算のリスクにさらされており、残りの約70％は公開鍵ハッシュによって安全である」という見解に同意しないと述べました。Glassnodeのデータによると、現在約30.2％のBTCがチェーン上で支出公開鍵を露出していますが、ギルメットは、これはチェーン上の静的状態を反映しているだけであり、露出していない公開鍵はxpub、デバイス、PSBT、ログ、またはバックアップに存在する可能性があると指摘しました。また、BTCが取引を開始すると、公開鍵は取引確認前に公開されます。ギルメットはGoogle Quantum AIの研究を引用し、現在存在しない高速量子コンピュータモデルの下で、secp256k1に対する関連攻撃は約9分で完了する可能性があると述べました。したがって、公開鍵を隠すだけでは量子リスクを解決できず、ビットコインは最終的にポスト量子暗号学に移行する必要があります。

XRP Ledger の PermissionDelegationV1_1 アップグレードは 9 月 21 日に 14 日間のアクティベーションカウントダウンに入り、35 の信頼できるノードのうち 29 の支持を得ました。支持率がこの期間中に 80% 以上を維持すれば、このアップグレードは最も早く 10 月 5 日 11:18 UTC に正式にアクティブ化されます。同時に、少なくとも 28 の検証ノードが継続的に支持する必要があり、そうでなければカウントダウンはリセットされます。この機能は、アカウントが役割に応じて権限を分割することを可能にします。例えば、ステーブルコインの発行者は、ネットワークに接続されたコンプライアンスシステムに顧客アカウントがそのトークンを保有することを承認させることができ、完全な制御権を持つキーはオフラインに保つことができます。運営アカウントは支払い権限を得ることができますが、キーを変更したり他者に権限を付与したりすることはできません。各受託者は最大 10 の権限を持つことができ、主アカウントはいつでも変更または撤回することができます。これはこのネットワークがこの機能を導入しようとする二度目の試みです。元のバージョンには脆弱性があり、攻撃者は正しく署名されていない取引を利用して他者に手数料を支払わせ、高額な手数料の取引を繰り返し提出することで被害者の XRP 残高を使い果たす可能性がありました。この脆弱性はコミュニティのテスターによって 2025 年 9 月 15 日に報告され、検証ノードにはこの修正案を拒否するように勧告され、したがって一度もアクティブ化されませんでした。修正バージョンは xrpld 3.3.0 と共にリリースされ、未承認の取引の拒否方法が変更され、署名の検証前に手数料が差し引かれないことが保証されました。

CoinDesk の報道によると、Ripple は資産管理会社やその他の商業プロジェクトが XRP Ledger の Batch V1.1 機能を使用する準備を進めていると述べています。この機能は最大 8 件の取引を 1 回の操作に統合し、全有または全無モードで全ての取引が成功するか、全てがキャンセルされることを保証し、片方の取引が決済されてもう片方が失敗する状況を回避します。このアップグレードは、資産移転と支払いを同期して完了させることを可能にし、取引所、ウォレット、マーケットプラットフォームがサービス料を顧客の取引に直接追加して処理できるようにすることで、貨銀対付（DVP）取引をサポートすることが期待されています。RippleX のエンジニアリングディレクター Ayo Akinyele は、一部のプロジェクトが Batch を中心に開発を進めており、アクティベートされると関連作業が生産環境に近づくと述べています。具体的なパートナーやローンチ時期は計画が確定した後に発表される予定です。この修正案は、XRP Ledger の 35 の追跡可能なバリデーターのうち 30 の支持を得ており、アクティベーションのカウントダウンに必要な 28 票を超えています。カウントダウンは 9 月 15 日に開始され、バリデーターの支持率が 14 日間 80% 以上を維持すれば、Batch V1.1 は 9 月 29 日以降にアクティブ化される見込みです。以前、研究者は 2 月に Batch V1 の署名検証プロセスに深刻な欠陥があることを発見しました。特定の条件下で署名のチェックが早期に停止する可能性があり、攻撃者が他のアカウントの取引を無許可で取り込むことができるため、開発者はその後、元のバージョンを撤回しました。この修正案は当時まだアクティブ化されていなかったため、脆弱性コードはリアルタイムの台帳上で実行されず、資金も露出していませんでした。

XRP Ledger の Batch V1.1 アップグレードは、起動アクティベーションプロセスまであと一票です。RippleX チームは最新のレビューで 11 のソフトウェアバグを修正しました。Batch 機能は、ユーザーが最大 8 件の関連取引を一度の操作に統合できるようにし、例えば二人がトークンを交換する際に、双方の送金が同時に完了することを保証し、一方が支払いを行い、もう一方が失敗する状況を回避します。火曜日のスナップショットでは、このアップグレードは 35 の信頼できるバリデーターのうち 27 の支持を得ており、割合は約 77% です。XRP Ledger の変更には 80% の支持率が必要であるため、現在、1 票のバリデーターの投票が成功か失敗かを決定することができます。さらに 1 票を得ることで、2 週間のアクティベーションカウントダウンが開始されます。支持率は 14 日間この閾値を維持する必要があり、その間、バリデーターは投票を変更できます。以前、研究者たちは元の Batch 提案に脆弱性があることを発見しました。攻撃者は特定の条件下で他人のアカウントを無許可で使用して取引を開始することができ、このバージョンはメインネットには導入されていませんでした。新しいバージョンは xrpld 3.3.0 と共に 8 月 6 日にリリースされ、最新のレビューでは署名、承認チェック、サーバーのクラッシュに関する 11 の問題が発見されました。その中で、セキュリティ会社 Common Prefix によって深刻な脆弱性として評価されたものがあり、攻撃者がユーザーの署名権限を再利用して予期しない取引を実行することを可能にする可能性があります。RippleX は、レビューには 4 名のシニアエンジニア、Halborn および Common Prefix の監査、公開セキュリティコンペティション、そして自動化テストが含まれていると述べ、Batch を使用する商業プロジェクトが契約済みまたは開発中であるとしています。

ブルームバーグの報道によると、暗号ハードウェアウォレットメーカーのLedger SASは、Oded Blatmanを最高情報責任者（CIO）兼最高セキュリティ責任者（CSO）に任命し、内部技術システムとセキュリティ機能を同一の幹部が統括することを発表しました。Blatmanは以前、ブロックチェーン企業のFireblocksに勤務しており、ネットワークとインフラのセキュリティ、製品のセキュリティ、物理的および職場の安全、内部ITおよび企業リスク管理を全面的に担当します。

ハードウェアウォレットメーカーのLedgerとTrezorは、安全研究者に対してより責任ある脆弱性開示の方法を取るよう呼びかけています。Ledgerの最高技術責任者チャールズ・ギルメットはXプラットフォームで、人工知能が脆弱性を発見し利用することを容易にしているが、一部の研究者は修正案が発表される前に詳細を公開しており、これを「他人のリスクを利用して注目を集める行為」と呼びました。ギルメットは、研究者に対してまず非公開で脆弱性を報告し、修正のタイムラインに合意した後に詳細を公開するよう促しました。彼は90日を一般的なデフォルトの期限として挙げ、脆弱性の深刻度や修正に必要な作業量に応じて柔軟に調整できると述べました。Trezorのセキュリティ責任者ヤン・コマレクはCointelegraphに対し、90日はメーカーへの約束であり、単なる研究者の義務ではないと述べました。彼は研究者に対してまずメーカーに連絡し、スケジュールを合意することを提案し、メーカーがその期限内に修正を完了できなかった場合は公開開示を選択できるとしました。この発言の背景には、ハードウェアウォレットのセキュリティが最近密接に注目されていることがあります。Coldcardの盗難事件は1億ドルを超える金額が関与しており、Trezorの物流サプライヤーのデータ漏洩も数万名の顧客の個人情報に影響を与えました。

Evernorthの報告によると、XRP Ledgerのアカウント数は減少したが、1回の取引量はほぼ3倍に増加し、ネットワークの総価値はステーブルコインによって42億ドルを突破した。

弁護士のアリエル・ギブナーによると、暗号ハードウェアウォレットメーカーのLedgerは、2023年の安全事件によりアメリカで集団訴訟に直面しています。原告は、この事件により顧客の名前、メールアドレス、電話番号などの個人情報が漏洩し、Ledgerが関連情報を適時かつ十分に開示しなかったと主張しています。訴状では、ハッカーがその後これらの連絡先情報を利用してLedgerを装い、ユーザーに詐欺的な取引を承認させ、暗号資産を盗み取ったことも指摘されています。

オープンソースウォレットプロバイダーの OneKey のセキュリティチームは、ラボ環境で旧版 Ledger イーサリアムアプリに対する脆弱性の悪用を成功裏に再現しました。OneKey の創設者兼 CEO の王一石氏は、以前に修正された脆弱性を利用して、Ledger イーサリアムアプリ 1.22.1 バージョンで「取引置換攻撃」を実行したと述べています。攻撃者は、ユーザーが合法的な取引を確認している間に、署名待ちの取引を上書きすることができます。Ledger は、この脆弱性を利用するにはデバイスとホスト間の通信を制御する必要があると応じています。例えば、悪意のあるソフトウェア、侵害されたウォレットソフトウェア、または悪意のあるウェブページを通じて実現されます。Ledger は、8 月 13 日にリリースされたイーサリアムアプリ 1.22.2 でアプリケーション層の防護を追加し、8 月 21 日に Secure SDK 26.6.1 で基盤となる問題を修正しました。Ledger は、ユーザーがこの件でハッキングされたことはなく、これはあくまでラボ環境での脆弱性の再現であると強調しています。今回のセキュリティテストは、Coldcard 脆弱性事件の後に発生しました。以前、Coldcard ウォレットはファームウェアの脆弱性により、一部のニーモニックフレーズ生成に安全上のリスクがあることが判明しましたが、Ledger はそのデバイスはこの脆弱性の影響を受けていないと述べています。なぜなら、リカバリーフレーズはデバイスのセキュリティチップ内蔵の認証乱数源によって生成されるからです。OneKey が再現した脆弱性はニーモニックフレーズ生成とは無関係であり、署名プロセス中の取引の処理方法に影響を与えます。

Ledgerは昨日、公式ウェブサイトでLSB 023のセキュリティ脆弱性の詳細を発表しました。一部のLedger Secure SDKを基に構築されたアプリケーションは、ユーザーが画面確認を行っている間に新しいAPDU命令を受信する可能性があり、これにより画面に表示されるパラメータと最終的な署名パラメータが一致しないことがあります。攻撃者がデバイスとホスト間のAPDU通信を制御している場合、ユーザーが画面に表示された操作を確認した後、デバイスは異なるパラメータに対して署名を生成する可能性があります。Ledgerは、アプリケーションレベルのチェックサムとSDK層を通じてこの問題を修正したと述べており、8月21日にLedger Secure SDK v26.6.1をリリースしました。関連するアプリケーションは再構築され、リリースされています。ユーザーはLedger Liveを通じてアプリケーションを更新する必要があり、デバイスのファームウェアを更新するだけでは修正が完了しません。ただし、Ledgerは現在、この脆弱性が実際に悪用された証拠はないと述べています。

ハードウェアウォレットメーカーのLedgerの最高技術責任者チャールズ・ギルメットは、最近市場でLedgerに対する「FUD」が出ていると発表しました。あるスマートコントラクトセキュリティ会社がLedgerのEthereumアプリに脆弱性があると主張しています。ギルメットは、LedgerのEthereumアプリには以前、いくつかのクリアサイニングプロセスに関連する脆弱性が確かに存在していたが、その脆弱性はLedgerのセキュリティ研究チームであるDonjonによってAI駆動の脆弱性研究ツールを使用して発見され、2週間前に修正と展開が完了したと述べています。ユーザーは、Ledgerデバイスのファームウェアとアプリを適時更新することで保護を受けることができます。関連するセキュリティ会社は、Ledgerが修正を完了した後にその脆弱性報奨プログラムに連絡を取り、責任ある開示プロセスに従っておらず、脆弱性報奨チームとのコミュニケーションも行わず、その後の発表で問題がまだ解決されていないかのように示唆しました。このような行為は真のセキュリティ研究ではなく、注目を集めるために恐怖を煽るものです。AIはサイバーセキュリティの風景を変えつつあり、攻撃者と防御者の両方がAIを利用して効率を向上させることができますが、AI駆動のセキュリティ研究は責任ある開示や公開前の検証などの基本的なセキュリティ原則に従う場合にのみ、エコシステム全体の安全性を真に向上させることができます。ギルメットは最後にLedgerユーザーに対し、デバイスのファームウェア、Ledgerアプリ、および関連ソフトウェアを最新バージョンに保つことで、自動的に最新のセキュリティ修正と研究成果を受け取ることができると注意を促しました。ユーザーは関連する「FUD」の影響を受ける必要はなく、ソフトウェアを適時更新し、安全な習慣を維持することで十分です。

CoinDesk の報道によると、Ripple の傘下のステーブルコイン RLUSD の時価総額が 20 億ドルを突破し、ステーブルコイン市場で最も成長の早いプロジェクトの一つとなっています。データによると、現在 RLUSD の総発行量は約 20 億ドルで、そのうち約 9.63 億ドルが XRP Ledger に展開され、約 11 億ドルが Ethereum ネットワークで発行されています。Ripple は以前、RLUSD がそのグローバルな決済ネットワークと組み合わせて、企業や金融機関により効率的なオンチェーン流動性ソリューションを提供すると述べています。

最近の「LedgerのEthereumアプリに脆弱性が存在する」という噂に対して、Ledgerの最高技術責任者チャールズ・ギルメットはツイートで応じ、特定の清算プロセスに関するバグが以前に存在していたことを認めました。この問題は、LedgerのセキュリティチームであるDonjonがAI脆弱性研究ツールを使用して発見しました。2週間前に、この脆弱性は修正され、展開されました。ユーザーはLedgerアプリを更新しておくだけで、保護されています。

彭博社の報道によると、EQTが支援するデータセンター運営会社EdgeConneX Inc.は、グローバルデータセンターの拡張計画を支援するために、銀行から最大25億ドルの電力コスト保証枠を求めています。EdgeConneXは、フランスのNatixisやスペインのBBVAを含む複数の銀行と信用状ファイナンスの取り決めについて交渉しています。この取り決めは、同社がデータセンタープロジェクトのために電力供給コストを固定するのに役立ちます。人工知能のトレーニングと推論の需要が急速に増加する中、世界のデータセンター建設は加速段階に入り、運営者は上昇し続ける電力調達コストとインフラ投資の需要に対応するために新しいファイナンス手段を模索しています。EdgeConneXが銀行の支援を求めることは、AIインフラ企業が従来の不動産や設備ファイナンスモデルから、エネルギー供給や長期電力契約などの資産を中心に新しいファイナンス構造を構築する方向に移行していることを反映しています。近年、大手クラウドコンピューティング企業やAIインフラ企業はデータセンターへの投資を強化しており、電力供給はAI計算能力の拡張を制約する重要なボトルネックとなっています。銀行の信用支援を通じて将来の電力コストを保証することは、データセンター運営者が拡張資金を獲得する新しい方法となっています。

チェーン探偵Specterの監視によると、同じ攻撃者がLedgerに対して類似のフィッシング活動を行っています。関連するスクリーンショットは2日前に撮影されており、このスポンサー広告は現在削除されています。現時点で、これらの活動によって300万ドル以上が盗まれています。

リアルタイムの越境資金流動プラットフォーム OpenFX は、Global Ledger を買収したことを発表し、その創設者である Tyler McIntyre が銀行業務責任者に就任し、同時に多通貨口座サービスを開始しました。McIntyre は以前に新銀行 Novo を共同設立し、同銀行は30万以上の企業にサービスを提供し、評価額は7億ドルを超えています。この口座は顧客が現地通貨で支払いを行うことをサポートし、企業は資金を直接保有でき、即座に換金する必要はありません。OpenFX は初期に USD 口座を導入し、ACH、Fedwire、SWIFT を通じて100以上の国の資金を受け取り、USDCなどのステーブルコインとの即時接続をサポートしています。

Decrypt の報道によると、Ledger の最高技術責任者チャールズ・ギルメットは、Coldcard の脆弱性事件がハードウェアウォレットの乱数生成の弱点を暴露し、AI がネットワークセキュリティの攻防の構図を再形成していることを強調しました。ギルメットは、ハードウェアウォレットのセキュリティモデルは「乱数に依存している」と指摘し、今回の事件が最も高価な方法でこれを証明したと述べました。Ledger はそのハードウェアウォレットが影響を受けていないと述べており、助記詞は認証されたセキュリティエレメント内のハードウェア乱数生成器によって生成され、ソフトウェアのロールバックパスはなく、毎回完全な 256 ビットの乱数を生成します。ギルメットは、オープンソースコードが十分に審査されていない場合、安全とは限らないと考えており、AI が攻撃者に機械の速度でコードをスキャンし脆弱性を特定する能力を与えているため、防御も同じ速度で進める必要があると述べています。これには、安全な設計、ハードウェア、数学に依存する必要があります。ギルメットは、ユーザーがハードウェアウォレットを選択する際には、その乱数生成方法と独立した認証を受けているかどうかを理解するべきだと提案しています。

Zilliqaは、Zilliqa Ledgerアプリに深刻な乱数生成の脆弱性が存在し、ネイティブな非EVM Zilliqa取引のSchnorr署名に影響を与えることを発表しました。攻撃者は公開されたチェーン上のデータを利用するだけで、偏りのある一時的な乱数から署名者の秘密鍵を復元することができます。Zilliqa Ledgerアプリを通じて約5件以上のネイティブ取引に署名し、放送したアカウントは、すでに漏洩したと見なされるべきです。関連する署名はチェーン上に永久に記録されているため、後続のアプリ更新でもリスクを排除することはできず、影響を受けた秘密鍵は無効にする必要があります。EVM取引およびzilliqa-js、gozilliqa-sdk、pyzilなどの開発ツールは影響を受けません。脆弱性は、アプリが乱数をコピーする際に誤った32バイトを選択し、8バイトのゼロパディングを保持し、8バイトのエントロピーを失ったことに起因し、各乱数が最大64ビットゼロに固定される結果となりました。攻撃者は、5件以上の影響を受けた署名を利用して、通常のハードウェアで数秒以内に秘密鍵を復元することができます。Zilliqaは7月19日に疑わしい積極的な利用活動を観察し、7月21日に根本原因を確認しました。Zilliqaはさらなる資金損失を防ぐためにネイティブ取引を一時停止し、Ledgerと修正版アプリの準備を進めています。しかし、修正版では既に露出した鍵を保護することはできず、影響を受けたユーザーは現在、自ら資産を移動するべきではなく、公式の調整処理案の発表を待つべきです。

CoinDesk の報道によると、ハードウェアウォレット会社 Ledger はオープンソースツールキット Ledger Agent Stack を発表し、AI エージェントが残高を読み取り、取引を準備し、操作を提案することで暗号ウォレットと対話できるようにしています。すべての取引はユーザーが Ledger ハードウェアデバイス上で承認する必要があります。Ledger は、今回のリリースが同社の AI ロードマップの第一歩であり、ハードウェアベースのセキュリティメカニズムを AI 駆動の暗号アプリケーションに導入し、自律エージェントが人間の承認なしに資金を移動したり、機密証明書にアクセスしたりするのを防ぐことを目指していると述べています。

ブルームバーグのETFアナリスト、エリック・バルチュナスはXプラットフォームで、DTCCのデジタル変換がHyperLedger Besu、つまりDTCCのプライベートネットワークおよびCantonパブリックチェーン上で行われていると述べました。これはDTCCのマルチチェーン戦略の一部であり、レジリエンス、スケーラビリティ、選択肢を確保することを目的としています。さらに、DTCCは現在、1.14兆ドルを超える証券を保管しており、その子会社は昨年、約47兆ドルの証券取引を処理しました。