サプライチェーン

10月30日、安全研究者のPaul McCarty（6mile）がOpenSource Malwareブログで発表したところによると、AnthropicのClaude Code VS Code拡張がその日に改ざんされ、悪意のあるバージョン2.1.313がOpen VSXレジストリに公開された。この拡張は外部でanthropic.claude-code@2.1.313として識別され、主なJavaScriptパッケージの前に66行のローダーが挿入されている。研究者は、現在分析されたOpen VSXバージョンが悪意のあるサンプルであることのみ確認されており、慎重を期してMicrosoft VS Codeマーケットの同バージョンに脅威報告を提出した。記事によると、展開された拡張およびバンドルされたバイナリファイルは正常なバージョンと一致しており、違いはextension.jsのみにある。拡張はVS Codeの起動後およびWebviewが開かれたときにこのファイルをロードし、ユーザーはClaudeとの対話を開始することなくトリガーを引くことができる。ローダーはユーザーのSSH設定にsvc-telemetryとしてラベル付けされた攻撃者のキーを書き込み、ローカルSSHサービスを有効にしようとし、134.209.82.225に対してリバーストンネルを確立し、macOS、Linux、Windows上で持続化を設定し、その後暗号化されていないHTTPを介してそのアドレスの8099ポートにホスト偵察情報を送信する。注入段階では追加の実行可能ファイルやスクリプトはダウンロードされない。研究者によると、影響を受けたOpen VSX拡張の所有者はAnthropicの従業員Igor Kofmanであり、彼のアカウントが利用されたのか、他の配布プロセスが利用されたのかは不明である；Dean Hardcastleは事件発生時に彼に通知した。記事は、分析されたディレクトリの出所はまだ確立されておらず、関連する発見はAnthropicの公式マーケットまたは配布インフラが侵害されたことを単独で証明するものではなく、攻撃者の身元とインフラの帰属もまだ確認されていないと明記している。文中では、関連するファイルパス、キー注釈、起動項目を検索し、134.209.82.225の22および8099ポートを遮断し、クリーンなシステム上で影響を受けたアカウントがアクセスできる資格情報をローテーションすることを推奨している。

安全会社 GoPlus はソーシャルメディアで脆弱性分析を発表し、予測市場プラットフォーム Polymarket の国際サイトでユーザー資産が盗まれる事件が発生したと述べました。第三者のパフォーマンス監視サービスプロバイダー DebugBear の RUM スクリプトがサプライチェーンに汚染され、悪意のあるコードがユーザーページに配信され、取引および署名権限が悪用されました。チェーン上の分析によると、主な経路には 710 の DepositWallet と 731 のアドレスが関与しており、損失は約 271 万ドルです。アドレス数は実際のユーザー数を示すものではありません。Polymarket の公式はその後、問題を修正しサービスを再開したと述べ、影響を受けたトレーダーに対して全額賠償を約束しましたが、実際の賠償進捗は公式の後続発表に基づくものとします。

Digital Asset の報道によると、安全プラットフォーム OpenSourceMalware は 10 月 21 日の番組で、北朝鮮関連のハッカー組織が Contagious Interview という手法を使用し、暗号業界の求人を餌に LinkedIn を通じて求職者に接触し、プライベートコードリポジトリへの訪問を招待し、開発タスクに必要なソフトウェアパッケージをインストールさせることを明らかにしました。攻撃者はリポジトリ内に .npmrc 設定ファイルを設定し、npm が公共レジストリではなく指定された外部ソフトウェアパッケージリポジトリから依存関係をダウンロードするようにし、インストールプロセス中に悪意のあるコードを実行する可能性があり、公開されたセキュリティスキャンで発見される確率を低下させることができます。OpenSourceMalware の共同創設者 Paul McCarty は、最近攻撃者がこのような手法を採用していることを観察していると述べました。具体的な被害者数、影響を受けた企業、またはデジタル資産の損失額はまだ公表されていません。

上海金融監督局は「上海の銀行業および保険業のデジタル金融の高品質な発展を促進するためのいくつかの措置」を発表し、ビッグデータやブロックチェーンなどの技術を活用して、サプライチェーン金融サービスを着実に拡大することを提案しました。措置では、売掛金ファイナンス、サプライチェーン手形ファイナンス、倉庫証券担保ファイナンス、注文ファイナンスなどの製品の規範的な発展を提案し、先進製造業に対する保険サービスの配置を継続的に深化させ、総合的なリスク保障能力を向上させることを目指しています。

慢雾の発表によると、LiteLLMは再びサプライチェーン攻撃に遭い、悪意のあるバージョンlitellm@1.107.0がPyPIパッケージおよびDockerイメージに影響を及ぼし、latest、main-stableなどのフローティングタグが含まれています。注入された悪意のあるコードは、Pythonの起動時に自動的に実行され、クラウド認証情報、AI APIキー、SSH秘密鍵などの敏感なデータを盗み、リモートコード実行をサポートします。影響を受けたバージョンは削除または置き換えられました。慢雾はユーザーに対し、1.107.0バージョンの使用を避け、クリーンなイメージから影響を受けた環境を再構築し、漏洩の可能性のある認証情報をローテーションし、バージョンを1.106.2に固定することを推奨しています。

美光テクノロジーは、アメリカの半導体サプライチェーンを強化するために、最大30億ドルを投資する計画です。

英偉達のPC上級副社長ジェフ・フィッシャーは、RTX Spark発表会でRTX 5090グラフィックスカードは生産中止されておらず、依然としてコア製品であり、供給を続けると述べました。彼は供給チェーンの生産能力が制限されていることを認めましたが、英偉達は製品が順調に市場に出るよう努力していると述べました。

テクノロジー記者マーク・グルーマンは、Appleが供給不足の中でiPhone Duoを早期に発売し、早く市場に出すことを決定したと述べています。十分な供給が得られるのは少なくとも11月までかかると予想されています。Appleは、オフライン店舗での発売初日に在庫があるかどうかを明らかにしていません。

慢雾は、最近のLedgerのサプライチェーン事件を利用した偽の「Ledgerファームウェア更新」活動が行われていると発表しました。このフィッシングページは非常にリアルで、偽の「Genuine check（真品チェック）」ページ、デバイス選択インターフェース、そして「今すぐ更新」ボタンが含まれています。慢雾は、ウェブサイトのリンクを通じてLedgerデバイスを更新せず、どこでもリカバリーフレーズを入力しないように警告しています。

Bitcoin News の監視によると、Bitcoin News はポッドキャストを公開し、Mt. Gox の前 CEO マーク・カルペレスとファウンデーションの CEO ザック・ハーバートが暗号業界の歴史上最大のサプライチェーン攻撃について議論しました。マーク・カルペレスは、資金が盗まれる 3 週間前にスパイ植込みを発見し、Ledger に連絡したが、返答がなかったと述べました。その植込みには隠されたセルラーモデムが内蔵されており、画面上のニーモニックを直接読み取ることができ、Ledger 自身のチェックを通過します。パスフレーズを設定しても、ニーモニックが盗まれるのを防ぐことはできません。マーク・カルペレスは、500 万ドルあれば、X 線でしか発見できない植込みを製造できると述べました。番組では、ハードウェアウォレットのディストリビューターモデル、攻撃の背後にいるマレーシアのディストリビューター、盗まれた暗号資産のオンチェーン追跡、攻撃がヨーロッパに拡大する理由、Trezor が標的にならなかった理由、ハードウェアウォレットのセキュリティ、およびマルチパーティ計算ソリューションについても議論されました。番組のタイムラインによると、ハードウェアウォレットの盗まれた金額は 1 億ドルに達し、そのうち 24 時間以内に 8600 万ドルが転送されました。

ハードウェアウォレットメーカーのTrezorは、最近発生したサプライチェーンのセキュリティ事件を受けて、パートナーをより効果的に審査するために、ディストリビューターの数を減らすことを決定しました。現在、Trezorデバイスが侵害されたという証拠はありません。この調整は慎重な考慮から取られた予防措置です。

Xユーザー@0xJohannesによると、数週間前にヨーロッパの公式ディーラーから購入したLedgerハードウェアウォレットに、未承認のスパイ埋め込み装置が含まれていることが発見されました。このデバイス内部には、正規のLedgerハードウェアには存在しない疑わしい回路があり、販売前に物理的に改ざんされた可能性が示されています。この埋め込み装置は旧バージョンのものである疑いがあり、新バージョンでは通常、コンポーネントが画面の後ろに隠されています。今回影響を受けたデバイス内の資金はまだ盗まれていません。現在、アジア、南アメリカ、ヨーロッパで疑わしいケースの報告があります。元のセキュリティコンポーネントが完全であれば、LedgerソフトウェアのGenuine Checkは未承認の物理改造を検出できません。

暗号分析家 Darkfost は、Ledger のディーラー CryptoBilis がセキュリティ事件に遭遇した後、コミュニティの議論の中で他の関連するディーラー名が出てきたことを発表しました。これには一部の Lazada の商人も含まれています。Darkfost は、現在の事件の影響範囲は完全には確認できていないと述べています。Ledger は CryptoBilis の事件との関連を確認しましたが、CryptoBilis が唯一の影響を受けたディーラーであるかどうかはまだ不明です。彼は、リスクが存在する可能性のある Ledger ディーラーのリストを整理し、これらのディーラーは地域が近いため、サプライチェーンが同時に破壊される可能性があると述べています。ただし、Darkfost は、上記の判断はあくまで推測であり、現在は確認されていないと強調しています。Darkfost は、もしユーザーが過去 6 ヶ月以内に関連するディーラーから Ledger デバイスを購入していた場合、事件の調査が終了するまでに資産を他の安全なデバイスに移すことを検討するよう提案しています。また、ユーザーは安全研究者 MagicalTux が発表したガイドを参考にして、自分で Ledger デバイスに改ざんの兆候がないか確認することもできると述べています。

10月9日に報道されたところによると、ストレージチップのコストが大幅に上昇し、Appleが価格を引き上げ、需要を抑制せざるを得なくなったため、Appleは一部のサプライヤーに対し、新たに発表されたiPhone 18 ProおよびiPhone 18 Pro Maxの部品生産量を削減するよう求めた。記者がAppleのサプライチェーン企業に確認したところ、あるサプライチェーン企業の関係者は、Appleが新しい出荷ガイダンスを示した後、iPhone 18 Proの注文が減少したが、iPhone 18 Pro Maxの注文は増加したため、全体の注文量はあまり変わらないと述べた。別のサプライチェーン企業の関係者は、噂には明らかな一方的な側面があると述べた。iPhone 18 Pro Maxの需要が強いため、Appleは一部のiPhone 18 Proの注文をiPhone 18 Pro Maxに調整したが、総量は減少しておらず、Pro Maxの高級機のサプライチェーンにとって有利である。9月にAppleはiPhone 18 Proシリーズを発表したが、製品計画の調整によりiPhone 18の基本モデルはまだ発売されていない。今回発表された2つのモデルの起価格はそれぞれ9999元、10999元で、iPhone 17 Proシリーズよりも上昇している。9月中旬の初売り時、記者は深圳のApple公式小売店の外で、iPhone 18 Proの買取市場が冷え込んでいるのを目にし、一部の転売業者は買取を行わず、さらには買取価格が公式の起価格を下回っていることもあった。現在、iPhone 18 Proの供給は比較的豊富で、店員によれば512GBの黒色モデルのみ在庫があり、他のメモリバージョンは在庫が豊富で、iPhone 18 Pro Maxはまだオフラインでの購入ができない。

赵長鵬は、Ledger ハードウェアウォレットのユーザーに警戒を呼びかけ、特に最近デバイスを購入したユーザーに注意を促しました。現在把握している情報によると、今回の事件はサプライチェーンの段階に限定されており、1社のサプライヤーが関与しており、一部のユーザーが偽造または改ざんされた Ledger デバイスを購入した可能性があります。赵長鵬は、Ledger は業界内で歴史があり、安全性が高いハードウェアウォレットブランドであるが、このような事件が発生する可能性があると述べました。彼は BNB エコシステムおよび暗号業界全体に対し、盗まれた資金の追跡と回収を促進するよう呼びかけました。以前、Ledger は東南アジアのユーザーに関与する資産盗難事件を調査中であることを確認しました。関連するユーザーは、ディストリビューターの CryptoBilis を通じてデバイスを購入していました。Ledger は CryptoBilis に販売および出荷を一時停止するよう要求し、過去 90 日間にこのディストリビューターを通じてデバイスを購入したユーザーには、デバイスの初期化を行わないように推奨しました。すでに設定を完了している場合は、新しいリカバリーフレーズを使用して新しい Ledger サインデバイスを作成し、資産を新しいウォレットに移動することを推奨しています。オンチェーン調査員の Specter は、今回の事件によりビットコイン、イーサリアム、トロンネットワーク上で数百のウォレットが盗まれ、8600 万ドル以上の損失が出たと推定しています。セキュリティ研究者の tanuki42 は、損失が 7200 万ドルを超えており、金額はまだ増加していると以前に推定しました。現在、事件の具体的な原因および関与したデバイスに安全上の脆弱性が存在するかどうかは、調査と確認を待っています。

AMDのCEO、スー・ジー・フォンは、AMDが世界のサプライチェーン全体に数百億ドルを投資することを発表しました。

欧州連合（EU）委員会の報道官オロフ・ギルは、アメリカがディーゼル輸出を禁止する計画について懸念を示し、このような供給の中断が双方の市場に悪影響を及ぼす可能性があると述べました。ギルは、EUとアメリカ政府の高官との接触が引き続き行われていることを強調し、共同市場に影響を与える措置を講じる前に相互に協議できることを望んでいます。

サプライチェーンの関係者によると、台積電のウェハー受託生産価格が再度上昇することが確定し、2027年1月から異なるプロセスに応じてウェハー出荷価格が調整されることが決まった。上昇幅は約3%から6%である。8インチ工場の稼働率は100%を超え、45ナノメートル以下のプロセスはフル稼働しており、受注の見通しは2030年まで達している。先進プロセスの上昇幅は高く、成熟した特殊プロセスは製品、稼働率、顧客の状況に応じて個別に交渉される。台積電は市場の噂には応じていない。サプライチェーンの関係者によると、台積電の2ナノメートル、3ナノメートルは供給不足であり、CoWoSなどの先進パッケージの生産能力の圧力は解消されていない。顧客は価格の引き上げに直面しても、すぐに供給業者を切り替えることは容易ではない。アメリカのアリゾナ州の工場は高い製造コストを反映しており、受託生産の見積もりは高水準を維持している。価格改定後、サムスン電子、インテル、聯電、世界先進などのウェハー受託生産工場、ならびに封止テスト工場やIC設計顧客の見積もりも影響を受ける可能性がある。聯電、力積電、世界先進はすでに値上げ戦略を発表しており、値上げは2027年まで続く見込みである。サプライチェーンによると、この波のAI需要はGPU、ASIC、HBMに加えて、PMIC、MCU、ドライバIC、アナログIC、センサーなどの需要も増加している。IC設計業者は、ウェハー価格が引き上げられた後、製品コストを再評価する必要があると指摘しており、高階GPU、ASICは転嫁の余地が相対的に大きい。台積電の会長である魏哲家は、顧客がウェハー受託生産パートナーを選ぶ際、今日不満だからといって明日すぐに別の会社に切り替えるわけではないと述べた。サプライチェーンによると、Google、Apple、NVIDIAなどの転注は主に非コアチップや規模の限られた注文であり、主要な高階プロセスの顧客の投片には明らかな変化は見られない。

スイス銀行のストラテジストは、Metaの消費者向け新型AIインテリジェンス体「Muse」が非常に人気であり、AIサプライチェーンの製品需要が増加することを示唆していると指摘しました。ストラテジストは、AI製品分野の競争が激化しており、計算能力とAIインフラの需要を押し上げ、半導体およびハードウェア業界のリーダー企業にとって好材料になると述べています。