pm

慢雾の発表によると、安全機関MistEyeは、npm、PyPI、crates.ioに悪意のあるパッケージを公開することで、暗号通貨、DeFi、Solana、Sui/MoveおよびAI分野の開発者を標的としたクロスレジストリサプライチェーン攻撃事件を検出しました。この攻撃活動には、34以上の悪意のあるパッケージと384以上の関連バージョンが含まれています。攻撃者は暗号通貨ウォレット、SSHキー、クラウド認証情報、GitHub/AWSトークン、ブラウザデータ、環境変数および開発者の機密情報を盗む可能性があります。一部の悪意のあるペイロードは、.cursorrules、CLAUDE.md、Gitフック、シェルフック、cron、systemdおよびSSHを通じて持続的な駐留を試みています。開発者には、影響を受けたパッケージを直ちに削除し、影響を受けたシステムを隔離し、ログを保持し、露出した認証情報をローテーションし、クリーンなイメージからCI実行環境と開発者マシンを再構築し、GitHub、クラウドサービス、SSHおよびウォレットの活動記録を確認することをお勧めします。

BBXのデータによると、昨日の伝統的な決済機関の暗号基盤の配置に分化が見られ、機関はETHとアルトコインのトラックに対する見解に明確な相違が生じました。核心的な動向は以下の通りです：Mastercard Incorporated (NYSE: $MA) は3月17日に最高18億ドル（うち3億ドルはパフォーマンスに基づく支払い）で英国のステーブルコイン基盤企業BVNKの買収契約を締結しました。これにより、Mastercardは以前進めていたZerohash（非公開株）の戦略的出資計画を放棄しました。CoinDeskの5月19日の報道によると、MastercardはBVNKの買収が完了した後、Zerohashとの交渉から撤退しました。Zerohashは現在、15億ドル以上の評価額で新たな資金調達ラウンドを開始しようとしています（2025年9月の1.04億ドルD-2ラウンドの際に確立された10億ドルの評価額を上回る）。MastercardがBVNKを買収する戦略的な論理は、BVNKが130カ国以上をカバーするステーブルコイン決済基盤と迅速に複製することが難しい多国籍決済ライセンスの組み合わせを持っていることにあります。Mastercardの最高製品責任者Jorn Lambertは、目標はステーブルコインをMastercard Moveの国際決済のコアネットワークに統合することであり、周辺の実験として扱うのではないと述べています。JPMorgan Chase & Co. (NYSE: $JPM) のアナリストは、CoinDeskの5月19日の報道を引用して、最新の研究報告を発表し、現在の市場環境においてイーサリアムとより広範なアルトコインのトラックはビットコインに対して引き続き遅れをとると指摘しました。核心的な理由は三つの構造的な弱点です：ネットワークの活性度の低下、DeFiエコシステムの成長の停滞（SolanaのTVLは2025年のピークの131億ドルから約55億ドルに減少）、および現実世界での採用シナリオが依然として限られていることです。アナリストは、アルトコインのトラックがビットコインのパフォーマンスに追いつくためには「重大なネットワーク活性度の爆発」という前提条件が必要であり、この条件は現在、短期的な触媒が見当たらないと考えています。

ブロックチェーンセキュリティ機関 SlowMist (@SlowMist_Team) の脅威監視システム MistEye によると、「Mini Shai-Hulud」と呼ばれる高度に複雑な npm ワームが、TanStack、UiPath、DraftLab などの有名な開発者プロジェクトを通じて拡散しています。攻撃者は GitHub の認証情報をハイジャックし、合法的な更新を装った悪意のあるソフトウェアパッケージを公開し、その中に隠れたスクリプト router_init.js を埋め込み、GitHub Actions などの CI/CD 環境で静かに実行され、CI/CD キー、クラウドインフラストラクチャキー、暗号通貨ウォレット情報を専門に盗み、GitHub 自身のインフラストラクチャを利用してデータを外部に送信します。SlowMist は顧客に関連する脅威インテリジェンス (IOC) を同期し、影響を受けたソフトウェアパッケージを使用しているプロジェクトに対し、CI/CD パイプライン内に router_init.js ファイルが存在するかどうかを直ちに調査し、すべての露出した GitHub、クラウドサービス、暗号通貨の認証情報をローテーションし、開発環境内の異常なバックグラウンド活動を継続的に監視することを推奨しています。

Cointelegraph の報道によると、モルガン・スタンレーは今年 Kinexys を通じて JPM コインを Canton Network に拡張する予定であり、このネットワークは現在、毎日 3500 億ドル以上の米国債のリポ取引決済を処理しています。

アルゼンチン国内のいくつかの銀行が、機関ユーザー向けにモルガン・スタンレーが設計した預金トークンJPM Coinのテストを開始しました。現在、Banco CMFは確認された参加者の一つであり、この金融機関はJPM Coinをバックエンドの決済ワークフローに使用し、決済の速度と効率を向上させることを期待しています。

攻撃者は、JavaScriptで最も人気のあるHTTPクライアントライブラリAxiosの主要メンテナーのnpmアクセス令牌を盗み、その令牌を利用してクロスプラットフォームのリモートアクセス型トロイの木馬（RAT）を含む2つの悪意のあるバージョン（axios@1.14.1とaxios@0.3.4）を公開しました。これらはmacOS、Windows、Linuxシステムを対象としています。悪意のあるパッケージはnpmレジストリ上で約3時間生存した後に削除されました。セキュリティ会社Wizのデータによると、Axiosの週あたりのダウンロード数は1億回を超え、約80%のクラウドおよびコード環境に存在しています。セキュリティ会社Huntressは、悪意のあるパッケージが公開されてから89秒後に最初の感染を検出し、露出ウィンドウ期間内に少なくとも135のシステムが侵害されたことを確認しました。注目すべきは、Axiosプロジェクトは以前にOIDC信頼できる公開メカニズムやSLSAトレーサビリティ証明などの現代的なセキュリティ対策を導入していたにもかかわらず、攻撃者はこれらの防御を完全に回避しました。調査の結果、プロジェクトはOIDCを設定する際に従来の長期有効なNPM_TOKENを保持しており、npmは両者が共存する場合、デフォルトで従来のトークンを優先して使用するため、攻撃者はOIDCを突破することなく公開を完了できました。

慢雾は再び安全に関する警告を発表し、axiosの悪意のあるバージョンとOpenClawのnpmグローバルインストール履歴の露出リスクに注意するよう呼びかけています。axios@1.14.1とaxios@0.3.4は悪意のあるバージョンとして確認されており、両者はplain-crypto-js@4.2.1に依存しており、postinstallスクリプトを通じてクロスプラットフォームの悪意のあるペイロードを配信しています。OpenClawの影響状況はシナリオによって判断されます：ソースコードのビルドは影響を受けず、ロックファイルでロックされたバージョンは1.13.5/1.13.6です。しかし、npm install -g openclaw@2026.3.28でインストールしたユーザーには履歴露出リスクがあります。理由は依存関係の中にoptionalDependencies.axios@^1.7.4が存在し、悪意のあるバージョンがオンラインの間にaxios@1.14.1に解決される可能性があるためです。現在、npmはaxios@1.14.0に解決を戻しましたが、攻撃ウィンドウ内でインストールされた環境は引き続き調査を推奨します。慢雾は各プラットフォームの調査コマンドとIoCパスを提供しており、plain-crypto-jsディレクトリが存在する場合、package.jsonがクリーンにされていても、高リスクの実行痕跡と見なすべきです。影響を受けたホストは直ちに資格情報をローテーションし、ホスト側の調査を開始することをお勧めします。以前の情報では、慢雾の創設者である余弦が、OpenClaw 3.28バージョンが毒入りバージョンのaxiosを導入する可能性があると警告しており、ユーザーは緊急に調査する必要があります。

市場の情報によると、Socket は npm コアパッケージ axios の 1.14.1 バージョンが活発なサプライチェーン攻撃に遭遇したことを検出しました。攻撃者は悪意のある依存パッケージを注入し、axios に悪意のあるコードを埋め込みました。axios を使用している開発者は、すぐにバージョンを固定し、プロジェクトのロックファイルを確認することをお勧めします。

市場の情報によると、ステーブルコイン USDT の発行者 Tether は、監査機関としてビッグフォーの KPMG を選定し、内部システムの改善を支援するために PwC を雇った。この動きは、Tether が全面的な財務諸表監査に向けての最も明確な信号であり、監査は現在 BDO Italia によって発行されている月次準備証明を超えて、資産、負債、管理措置および報告プロセスを全面的に審査することになる。以前の情報では、Tether はその業務に対してビッグフォーの一つを雇って監査を行うと発表したが、その時には具体的な監査法人の名前は明らかにされていなかった。

金十の報道によると、スタンダード・アンド・プアーズのグローバル市場情報のチーフビジネスエコノミストであるクリス・ウィリアムソンは、3月の初歩的なPMI指数調査データが示すところによれば、アメリカの経済成長の鈍化とインフレの上昇が懸念される状況であると述べています。企業は、紛争による不確実性と生活費が需要に影響を与えていると報告しており、金融市場の不安と支払い能力の制限がこの状況を悪化させています。調査によると、消費者物価のインフレは約4%に回復しており、アメリカがスタグフレーションのリスクに直面している可能性を示唆しています。連邦準備制度は、インフレ上昇のリスクと経済成長の減速の間でバランスを取る必要があります。

Cryptopolitan の報道によると、GhostClaw という名前の新しいマルウェアが macOS デバイス上の暗号財布を標的にしています。このマルウェアは、合法的な OpenClaw CLI ツールに偽装しており、npm レジストリに一週間存在した後、178 人の開発者を感染させた後に削除されました。開発者が "npm install" コマンドを実行すると、隠されたスクリプトがグローバルに GhostClaw パッケージをインストールし、難読化された設定ファイルを通じて検出を回避します。GhostClaw は 3 秒ごとにクリップボードをスキャンし、秘密鍵、リカバリーフレーズ、公開鍵などの暗号財布や取引に関連するデータをキャプチャします。第2段階のペイロードがダウンロードされた後、GhostLoader は Chromium ブラウザ、macOS キーチェーン、およびシステムストレージ内の暗号財布データをスキャンし、ブラウザセッションをクローンしてログイン済みの財布へのアクセスを取得し、OpenAI や Anthropic などの AI プラットフォームに接続する API トークンを盗みます。盗まれたデータは Telegram、GoFile、およびコマンドサーバーを通じて攻撃者に送信されます。

公式の発表によると、HyperliquidのネイティブステーブルコインUSDHの発行者であるNative Marketsは、トークン化されたマージンpmUSDHを導入します。ユーザーがポートフォリオマージンアカウントにUSDHを預け入れると、プロトコルはそのポジションをERC-20形式のpmUSDHトークンに変換します。このトークン化は、借り手が支払う利息収益を得ることができ、さらにFelix、Hyperlend、Pendle、Ryskを含むDeFiプロトコルでも使用できます。

投資家は火曜日にアメリカ・カリフォルニア州北部地区連邦地方裁判所に集団訴訟を提起し、JPMorganが倒産したGoliath Venturesが運営する3.28億ドルの暗号ポンジスキームにおいて疑わしい取引を阻止できず、同社が銀行インフラを利用して投資家の資金を徴収することを許可したと主張しています。訴状によれば、JPMorganは2023年1月から2025年5月または6月の間、Goliathに唯一の銀行サービスを提供しており、Goliathは2000人以上の投資家を通じて少なくとも3.28億ドルを調達しました。そのうち約2.53億ドルがJPMorganの0305口座に預けられ、約1.23億ドルがGoliathがCoinbaseで保有するウォレットに転送されました。以前、アメリカ・フロリダ州中部地区連邦検察官事務所は2月24日にGoliathのCEOクリストファー・デルガドを逮捕したと発表し、彼は最高30年の連邦刑務所に服役する可能性があります。検察はGoliath（旧称Gen-Z Venture Firm）が2023年1月から2026年1月の間にこの詐欺を運営していたと述べています。別の刑事訴状によれば、GoliathはBank of Americaに商業口座を持ち、デルガドはその口座の共同署名者です。

据慢雾科技首席信息安全官 23pds 披露，情报系统发现名为 "@openclaw-ai/openclawai" 的恶意 npm 包正在实施多层攻击。该恶意包伪装成名为 OpenClaw Installer 的合法命令行工具，旨在窃取用户敏感信息，包括系统凭证、加密钱包私钥、浏览器数据、SSH 密钥以及 Apple Keychain 数据库等。

市場の情報によると、ナスダック上場のSolana財庫会社DeFi Developmentは、戦略的投資として安定コインプロトコル開発プロジェクトApyxを発表した後、配当型安定コインを導入する計画を発表しました。これは安定コイン市場に透明な収益をもたらすことを目的としています。双方はトークンエコノミクス、評価フレームワーク、開発ロードマップ、そしてデジタル資産財庫（DAT）配当優先株の活用方法についても議論したとのことです。

1月のアメリカ ISM 製造業 PMI データが50を突破し、2025年全体の収縮トレンドを終え、2022年以来の最高水準に達しました。Bitwise ヨーロッパ研究責任者の Andre Dragosch は、PMI データの急上昇は再インフレ取引の論理に合致しており、このようなマクロ環境は歴史的にビットコインのブルマーケットと関連していると述べています。Michaël van de Poppe は、PMI が再び50を上回ることは長期的なベアマーケットの終了を示しており、今後1〜3年で暗号通貨市場が最後のブルマーケットを迎えると予測しています。Titan of Crypto は、2013年、2016年、2020年に PMI が50を超えた後にビットコインが上昇したものの、現在の PMI とビットコイン価格の間には弱気のダイバージェンスが存在し、今回の結果は異なる可能性があると述べています。

据 GMGN データによると、BAGS エコシステムの Meme トークン NPM は短期間で急落し、市場価値は高点の 890 万ドルから 80 万ドルに下落し、1 時間で 80% 以上の下落を記録しました。上場 5 時間での取引量は 1,320 万ドルです。NPM トークンのストーリーは、世界最大のパッケージマネージャー NPM の創設者である Isaac Z. Schlueter への敬意を表しています。彼はプログラマー界の「V 神」と称されています。ChainCatcher はユーザーに対し、Meme コインは実際のユースケースが少なく、価格の変動が大きいため、投資には慎重になるよう警告しています。

JPMorgan のアナリストは、12 月の資金流出に続いて、暗号通貨 ETF の資金流入が安定しつつあると述べています。ニコラオス・パニギルツォグルーを中心としたアナリストの報告によれば、世界の株式 ETF は 2,350 億ドルの記録的な流入を記録したものの、先月はビットコインとイーサリアムの ETF で資金流出が見られました。現在、ETF の資金流入や永続先物市場のポジションなどの指標は、暗号通貨市場の売り圧力が緩和されつつあることを示しています。アナリストは、最近の暗号通貨市場の調整の主な原因は、MSCI が 10 月に潜在的な指数からの除外を発表した後の投資家のリスク回避行動であり、市場流動性の悪化ではないと考えています。MSCI が 2026 年 2 月の世界株式ベンチマークの見直しでビットコインと暗号通貨金融会社を除外しないことを決定したことは、市場の安定をさらに支える可能性があります。