セキュリティホール

Web3 インフラストラクチャと支払いネットワーク Diamante は、エコシステムにセキュリティの脆弱性が発生し、悪意のある行為者による未承認の活動が関与していると発表しました。発見後、チームは直ちに緊急セキュリティプロトコルを開始し、取引所のパートナー、マーケットメイカー、流動性提供者、上場パートナーと調整し、影響を受けた出金と送金を一時停止し、未承認の資産の流動を制限し、さらなる悪用を防ぎました。Diamante は、調査により攻撃者の特定を行い、複数の国の法執行機関、政府機関、管轄パートナーと調整し、法的措置と資産の回収を求めています。脆弱性の原因、事件の順序、影響を受けた資産の範囲を特定し、インフラストラクチャを強化するために、全面的な事件レビューを開始しました。Diamante は、影響を受けたすべての参加者に全額補償を保証し、確認された情報を得た後、事件の範囲、資産回収の進捗、保護措置について継続的に更新すると約束しています。

ビットコイン軽量ウォレット Electrum は 10 月 24 日に取引手数料に対する悪意のあるサーバー攻撃を公表し、4.8.3 バージョンで修正しました。これは GitHub セキュリティ公告 GHSA-6jp4-8v48-cc5v に対応しています。ユーザーが取引に通常の手数料を加える際、資金を攻撃者に署名してしまう可能性があります。開発者によると、これはユーザーが手数料を署名した後に資金を失ったと報告したことが原因です。二つの報告の結果は異なります：一人は支払いを放送した後、ウォレットの履歴にある取引が置き換えられていることに気づき、元の支払いがビットコインのピアツーピアネットワークに入っておらず、サーバーに保持されていると述べました；もう一人の Raju-K12 は置き換えられた取引の手数料を加えた後に資金を失いました。攻撃では、悪意のあるサーバーがクライアントが放送した新しい取引を保持し、履歴に対立する取引を挿入し、元の出力を攻撃者のアドレスに置き換えました。その置き換え取引は当時署名が無効でしたが、軽量クライアントは未確認の取引前にこれらの署名を確認していませんでした；ユーザーは RBF を通じて手動で手数料を加え、署名した後、攻撃者が受け取ることが有効になりました。二人とも攻撃者のアドレスが合法的な受取アドレスの末尾四桁と同じであると述べています。公告では盗まれた金額、取引識別子、または攻撃者のアドレスは公表されていません。パッチは 90fe308 に対応し、メモリプールの取引をローカル履歴に書き込む前に、そのウォレットの独自の入力の署名を確認しますが、ウォレット外のアドレスの入力は上書きせず、完全な合意検証は行いません。公告では、未アップグレードのユーザーに対し、毎回署名する際に出力アドレスと金額を確認することを推奨しています；独自または信頼できるサーバーに接続しているクライアントはこの攻撃の影響を受けません。タイムラインでは、10 月 11 日に初めて非公開で公表され、10 月 18 日に手数料損失の報告を受け、修正バージョンは 10 月 23 日にタグ付けされ、バイナリと公開は 10 月 24 日に行われました。

ハードウェアウォレットメーカーのKeystoneは、同社のウェブサイトがセキュリティ脆弱性攻撃を受け、一部の顧客の住所情報と注文詳細が漏洩したことを確認しました。同社は、脆弱性を発見した後、直ちに行動を起こし、無許可のアクセスを成功裏に阻止したと述べています。現在、Keystoneは脆弱性の修正作業を完了しており、今回の事件はユーザーの支払い詳細、リカバリーフレーズ、または秘密鍵には影響を及ぼしていないと強調しています。同社は、引き続きセキュリティ対策を強化していくと述べています。

オープンソースのビットコインライトニングネットワークノードソフトウェアCore Lightningチームは、攻撃者がパッチをまだインストールしていないノードを標的にしているとの報告を受けて、緊急警告を発しました。そのため、古いバージョンを実行しているオペレーターに対して、すぐにアップグレードするよう促しています。チームは次のように述べています：「緊急セキュリティアップデート：使用しているバージョンが26.06.7またはそれ以前の場合は、できるだけ早く最新のリリースにアップグレードしてください。」それ以前に、Core Lightningは9月16日に、実験的機能に影響を与え、ユーザーの資金に波及する可能性のある問題を調査し始め、約6日後に26.06.8バージョンをリリースしました。このアップデートでは、いくつかの欠陥を修正するだけでなく、複数の責任ある報告者からのセキュリティ脆弱性に対するパッチも提供されており、リリースノートではBitcoin Red Teamおよび他の12名の個人と組織に感謝の意を表し、匿名の報告者にも敬意を表しています。変更ログによれば、今回の修正には、送信者ノードがクラッシュする可能性のある障害、RESTインターフェースのメモリを使い果たすリクエスト、および支払いチャネルを閉じる際にユーザーの資金が没収されるリスクを伴う脆弱性が含まれています。オペレーターに十分なアップグレードウィンドウを提供し、攻撃者が逆向きの研究と利用を行う機会を防ぐために、このバージョンでは一部のテスト内容が意図的に隠されています。今年の8月には、AIによって生成された一般的な脆弱性開示報告を大量にレビューした後、協調修正プロセスを開始し、2日後に26.06.7バージョンをリリースして確認された脆弱性を封じ込めました。

慢雾は安全警報を発表し、Aave V3 Loop Safe Moduleに安全な脆弱性が存在すると述べています。攻撃者は偽のSafe認証を通じて任意のModuleを実行し、2つのSafeマルチシグウォレットから約114.09 ETHを盗みました。攻撃者は常に真を返すSafeを偽造して認証を回避し、任意に制御可能なrouterとcalldataを利用してモジュール取引を実行し、weETHおよびAave担保を移転しました。攻撃者は約1300枚のWETH債務を返済した後、担保を解除しました。

MetaのAI製品Museにセキュリティの脆弱性があることが報告され、ユーザーデータと仮想環境の安全が脅かされる可能性があります。会社はリスク警告を強化する計画です。

NFT市場Magic Edenにおいて、NFTのセキュリティ脆弱性が疑われ、ホワイトハッカーが数百のウォレットから3832枚のNFTを移転しました。Yuga Labsのブロックチェーン副社長Quitは、この移転はホワイトハットの行動であり、関連するNFTは現在「0x71cF」で始まるアドレスに保管されており、資産は安全な状態にあると述べました。リスクが解除され次第、全て返還される予定です。

慢雾セキュリティチームの発表によると、BonfireSwapルーターコントラクトはtransfer関数にアクセス制御の欠如があり、約5万ドルの損失を引き起こしました。この関数は、呼び出し元がfromアドレスであるかどうかを検証せず、呼び出し元がfromアドレスの資産に対する承認を確認していませんでした。そのため、攻撃者は事前に承認されたルーターのユーザーをfromアドレスとして設定し、自身をtoアドレスとして設定することで、被害者のTOKENを転送し、同じトークンプールで交換することができました。慢雾によると、合計41名のTOKEN保有者がこのルーターに承認を与えており、脆弱性のあるコントラクトアドレスは0x17e801e17cefc6334059189c178d4783830e03d3です。

Cosmos Labsは技術報告を発表し、以前にCosmos EVMの整数アンダーフローの脆弱性を誤って判断したことを認め、8月20日から25日の間に6つのブロックチェーンネットワークが攻撃を受け、盗まれたトークンの合計は約570万ドルに達した。攻撃者はこの脆弱性を利用してアカウントの残高を2^256-1の最大値までアンダーフローさせ、逆操作で膨張した残高を転送し、ターゲットアカウントのトークンを盗み出した。この過程で新たにトークンが発行されることはなかった。報告書によると、研究者は4月25日にバグバウンティプログラムを通じてこの欠陥を提出したが、テスターは既存のCosmosチェーンの構成上で再現できなかったため、Cosmos Labsは5月にサイレントパッチ方式で修正を行った。独立した研究者が8月初旬に脆弱性がすべてのCosmos EVMチェーンに影響を及ぼすことを確認した後、Cosmos Labsは8月19日にパッチをリリースしたが、最初の攻撃は約20時間後に発生した。具体的な損失については、MANTRAが7.209億枚のトークン（約360万ドル）を失い、TACが近く30億枚のTACを失い、KiiChainが約1.48億枚のKIIを失った。MANTRAとKiiChainは、Cosmos Labsが影響を受けたチェーンに事前に通知せず、停止を提案しなかったことを批判しており、KiiChainはパッチの展開に数日かかる一方で、停止には数分しかかからないと述べた。Cosmos Labsは40のチェーンと調整して対応し、13のチェーンが攻撃を受ける前に修正または停止を完了するのを支援したと述べている。

Cointelegraphは、Aviciが50.0859万ドルのカード残高の脆弱性の影響を受けた1685名のユーザーに全額返金することを発表したと報じています。

The Sandboxは、SANDのクロスチェーンブリッジがセキュリティ脆弱性攻撃を受けた事件の更新を発表しました。攻撃者は検証メカニズムを変更し、クロスチェーンの入金メッセージを偽造して裏付けのないSANDを鋳造しました。この事件により、約1474.23万枚のSANDが引き出され、約69.7万ドルの価値が失われました。また、一部の無担保SANDは市場取引で利益を上げ、全体の経済的影響は約149.7万ドルに達し、そのうち攻撃者が実際に得た金額は約98.7万ドルです。The Sandboxは、攻撃がイーサリアムおよびPolygon上のSAND供給に影響を与えなかったと述べています。イーサリアムのSAND総量は30億枚のままであり、スーパー管理者権限も盗まれていません。攻撃はトークン契約内の一般的な呼び出し機能とブリッジ権限設計の組み合わせによる脆弱性から発生しました。現在、関連アドレスはマークされており、取引所、安全機関、LayerZeroチームと協力しています。影響を受けたユーザーに対して、The Sandboxは攻撃前のチェーン上のスナップショットに基づき、合法的なブリッジSANDを保有するウォレットに対して1:1の比率でイーサリアムチェーン上のSANDを補償することを約束しました。補償申請プロセスは、2週間以内にオープンし、2週間続く予定です。

Core Lightningのメンテナーはノードオペレーターに通知し、未発表のバージョンにアップグレードしない限り、ノードをシャットダウンするように求めています。この警告はDiscordを通じて広まり、Cashuプロトコルの開発者Calleによって強調され、深刻な脆弱性が存在するとされています。修正バイナリはまだリリースされておらず、脆弱性の詳細は2週間の秘密保持期間にあります。これは4週間内におけるビットコインインフラストラクチャの4回目のセキュリティ警報です。以前のColdcardファームウェアの脆弱性により、約1.14億ドルのBTCが盗まれ、BoltzとBTCPay Serverにも問題が発生しました。CLNチームは過去10日間に複数のAI生成のCVEレポートを受け取り、検証と修正を急いでいると述べています。

BubblemapsはXプラットフォームで発表し、攻撃者がCosmos EVM共有モジュールの脆弱性を利用して5000万ドル相当のNESトークンを盗んだが、最終的には約6万ドルの利益しか得られなかったと述べています。以前、Cosmos Labsはその共有Cosmos EVMソフトウェアにセキュリティの脆弱性があることを報告しており、Nesaを含むこのモジュールに基づいて構築された複数のチェーンが影響を受けています。報告によると、主要な攻撃者である0x9AE7で始まるアドレスは、以前に25万ドルを費やしてNESを購入し、Nesa Chainにクロスチェーンした後、この脆弱性を利用してアカウント残高を200倍に膨らませ、5000万ドルのNESをイーサリアムにクロスチェーンで転送しました。このウォレットの初期資金はモネロから来ています。攻撃者はその後、トークンを複数のウォレットアドレスに分散させ、DEXでNESをETHに交換し、得た利益を中央集権取引所に預けました。流動性プールの資金が迅速に引き出されたため、攻撃者の大部分の交換取引は深刻なスリッページに直面し、実際には25.5万ドルを費やして攻撃を開始し、現金化したのは31.5万ドルで、純利益は約6万ドルでした。Bubblemapsは、別のCosmos EVMチェーンが前日に140万ドルの類似の攻撃を受けたにもかかわらず、資金の出所と操作手法の違いから、2件の事件は異なる攻撃者によるものである可能性があると判断しています。報告では、NESトークンの価格が一時90%暴落した後、大幅に回復したことが述べられており、チームは回復の主な原因は攻撃後のDEXとCEXの価格の不一致によるアービトラージ行為であると考えています。

Decred 公式 X アカウント (@decredproject) がセキュリティ通知を発表しました。Decred (DCR) ネットワークでセキュリティの脆弱性が発見され、パッチ修正はアメリカ東部時間の 8 月 18 日午前にリリースされる予定です。セキュリティ上の理由から、公式はユーザーに対し、アップグレードが完了するまで投票とマイニングの操作を一時停止することを推奨しています。パッチがリリースされた後、公式 X アカウントで最初にお知らせします。

SafePalは、その注文追跡プラグインにセキュリティの脆弱性が存在し、一部の顧客情報が未承認でアクセスされたことを示しています。今回の事件は約39,798名のユーザーに関与しており、影響を受けたユーザーは2025年3月2日から2026年4月11日までの間に注文を行った顧客です。漏洩した情報には名前、メールアドレス、配送先住所、電話番号、購入詳細が含まれますが、リカバリーフレーズ、秘密鍵、ウォレットパスワード、銀行カード情報、または政府発行の身分証明書番号は含まれていません。SafePalは、現在関連する脆弱性が修正され、影響を受けたユーザーに個別に通知されたと述べています。また、公式に確認ページが立ち上げられ、ユーザーは注文番号と配送国を通じて自分が影響を受けているかどうかを確認できます。

CascadeはXプラットフォームで発表し、以前にCLS資金が引き抜かれた事件が解決されたことを明らかにしました。関係者は盗まれた全ての資金を返還することに協力しました。CLSに資金を保有している全てのユーザーは、2025年7月15日21:08:00 UTCの価値に基づいて100%全額補償を受けることができます。請求機能は今後数日以内に開放される予定です。ChainCatcher 以前の報道によると、多資産永続契約プラットフォームCascadeのDiscord管理者MAXはチャンネル内で、Cascade CLS金庫がセキュリティの脆弱性に遭遇し、約130万ドルの資金損失が発生した疑いがあると述べました。現在、プラットフォームは全ての取引と引き出しを停止しており、SEAL 911およびその他の第三者セキュリティチームに調査と処理を依頼しています。

多資産永続契約プラットフォーム Cascade の Discord 管理者 MAX は、チャンネル内で Cascade CLS 金庫がセキュリティの脆弱性に遭遇し、約 130 万ドルの資金損失が発生した可能性があると述べました。現在、プラットフォームはすべての取引と出金を一時停止しており、SEAL 911 およびその他の第三者セキュリティチームに調査と処理を依頼しています。Cascade は Arbitrum USDC または銀行口座を通じて入金をサポートしており、現在は招待制のプライベートテスト段階にあります。

ZetaChainは、AI向けのプライベートメモリレイヤーへの転換に伴い、旧来のクロスチェーンインフラを段階的に閉鎖し、Anumaやユーザー自身のメモリ、アイデンティティ、権限、支払い、代理などの新しい方向に焦点を当てることを発表しました。計画に基づき、ZetaChainは2026年6月1日にプラットフォームのチャージを閉鎖し、最終的な引き出しウィンドウを開放しました。それ以前に、ZetaChainは4月27日に攻撃者によってクロスチェーンメッセージシステムの脆弱性を利用され、3つの内部チームのウォレットから333,868ドルを盗まれました。

慢雾の最高情報セキュリティ責任者 23pds が X プラットフォームで発表したところによると、curl は最近 18 のセキュリティ脆弱性を修正し、認証バイパス、メモリセキュリティ、ホスト検証などの問題が含まれています。その中の 1 つの libcurl の脆弱性は約 25 年間存在していました。リスクは curl コマンドラインに限らず、libcurl に依存するアプリケーション、SDK、コンテナ、ファームウェア、ゲートウェイ、CI/CD 環境にも広く影響を及ぼします。curl/libcurl を早急にアップグレードし、特に mTLS、プロキシ認証、接続再利用のシナリオにおいて古いバージョンの libcurl を使用していないか確認することをお勧めします。

DeFi貸出プロトコルIonic ProtocolはXプラットフォームで発表し、2025年に発生したセキュリティ脆弱性の影響が拡大しているため、プロジェクトはすべての運営を直ちに停止せざるを得なくなり、すべてのユーザーはできるだけ早く各デプロイから資産を撤回する必要があると述べました。Ionic Protocolは、この閉鎖の決定は「選択肢がなかった」と補足し、現在関連サービスは終了プロセスに入っています。