ブロックチェーンセキュリティ

標準普爾グローバル（NYSE: SPGI）は、オンチェーン金融セキュリティ基準プロバイダーのOpenZeppelinの買収を完了したと発表しました。この取引は9月17日に初めて発表され、財務条件は開示されていませんが、標準普爾グローバルの財務業績に重大な影響を与えることはないと予想されています。OpenZeppelinは2015年に設立され、900以上のセキュリティサービスプロジェクトを完了し、製品のローンチ前に1万以上の脆弱性を発見しました。そのオープンソーススマートコントラクトライブラリOpenZeppelin Contractsが支える価値移転の規模は38兆ドルを超え、さまざまな主流のステーブルコインやトークン化されたファンドを網羅しています。今回の買収により、標準普爾グローバルのリスク評価能力はオンチェーン技術リスク層に拡張され、両者は次世代のオンチェーンセキュリティ評価とベンチマークを共同で開発する計画です。買収後、OpenZeppelinは元のブランド名で独立した事業部門として運営を続け、創設者のDemian Brenerが責任者として留任し、標準普爾グローバルの格付け社長Yann Le Pallecに報告します。OpenZeppelin Contractsは引き続きオープンソースで無料、かつ公開メンテナンスを維持します。

Cointelegraph の報道によると、ブロックチェーンセキュリティ会社 CertiK は、Google、Apple、Microsoft がインドのデジタル証明書機関 eMudhra が発行した 8 つの影響を受けた証明書をブロックしたにもかかわらず、暗号取引ボットや取引所アプリは依然として関連する脆弱性のリスクにさらされる可能性があると述べています。ブラウザの修正措置は、独立したセキュリティシステムを採用しているソフトウェアには必ずしも適用されない可能性があります。CertiK のデジタル資産セキュリティシニアディレクター Peiyu Wang は、攻撃者が侵害された証明書を利用して取引所、ウォレットインターフェース、API を偽装し、入金アドレスを置き換えたり、ユーザーに悪意のある取引を承認させたりすることができると指摘していますが、関連する攻撃にはネットワークトラフィックの傍受やリダイレクトが必要であり、影響を受けた証明書機関の鍵だけではウォレットの秘密鍵を露出させることはできません。暗号サービスの運営者は、ソフトウェアと証明書の信頼リストを更新し、アプリが影響を受けた証明書を拒否することを確認する必要があります。

PR Newswireによると、S&P Global（NYSE: SPGI）は、ブロックチェーン金融セキュリティ基準会社OpenZeppelinを買収する契約を締結したと発表しました。OpenZeppelinは2015年に設立され、オープンソースのスマートコントラクトライブラリは、累計で37兆ドル以上の価値移転を支え、世界の主要なステーブルコインやトークン化ファンドをカバーし、900回以上のセキュリティ監査を完了し、1万件以上の脆弱性を発見しています。今回の買収により、S&P Globalはブロックチェーン技術リスク層の評価能力を拡張し、新世代のブロックチェーンセキュリティ評価およびベンチマーク製品を構築する助けとなります。OpenZeppelinは独立したビジネスユニットとして引き続き運営され、CEOのDemian Brenerは留任し、S&P Globalの格付け社長Yann Le Pallecに報告します。取引の財務条件は開示されておらず、S&P Globalの財務業績に重大な影響を与えることはないと予想されています。

不明な攻撃者がFogo財団に侵入し、約4億枚のFOGOトークンが悪意のあるアドレスに転送されました。Fogo財団は主要な取引所に通知し、法執行機関およびブロックチェーンフォレンジックの専門家と連携しています。今回の事件はFogoブロックチェーン自体には影響を与えず、ネットワークは現在も正常に稼働しています。Fogo財団は、さらなる情報を得次第、進展を発表します。

イーサリアムクライアントのBesuは、7月27日にリリースされた26.7.1バージョンで、ブロックチェーンセキュリティ会社CertiKが発見した5つのセキュリティ脆弱性を修正し、8月14日に4つの詳細なセキュリティ公告を発表しました。脆弱性の詳細は、ノードオペレーターがアップグレードの展開を完了できるように、後日公開されます。CertiKのセキュリティエンジニアリングディレクター兼シニア監査パートナーであるJialiang Changは、パッチを先行させ、詳細を後置するアレンジが18日間のバッファ期間を提供し、ノードオペレーターが影響を受ける展開を特定し、新しいバージョンをテストし、バリデーターやアライアンスの参加者と調整してアップグレードを完了できると述べました。関連する脆弱性は、ブロックブロードキャスト処理、将来の高度な合意提案キャッシュ、WebSocketのサブスクリプション制限、およびJSON-RPCフィルターの作成に関係しています。修正されない場合、攻撃者はノードのメモリまたはスレッドリソースを枯渇させ、ノードの可用性や合意処理に影響を与える可能性があります。CertiKはChain Scanメソッドを使用して、プライベートなマルチノードテストネットワークでピアツーピア、HTTP RPC、WebSocket RPC、および合意インターフェースに対する対抗テストを実施し、Besuチームに再現可能なテストツールを提供しました。CertiKは、パブリックチェーンネットワークに対する24時間体制のマルチノードテストを拡大するためにChain Scanを更新しています。

Cointelegraph の報道によると、サイバーセキュリティ会社 Rapid7 は、Operation Asterix と呼ばれる暗号フィッシングキャンペーンを明らかにし、対象は複数の国の約 88.5 万件の電話番号で、被害者を偽のウォレットサービスサイトに誘導しています。すでに 5576 件の電話番号が Binance ユーザーアカウントと一致し、攻撃リストに載っています。攻撃者は Ledger、Trezor、Exodus の偽アプリを装ってニーモニックフレーズを盗み、偽のカスタマーサービスメールや電話を使って被害者に接触しています。Rapid7 はまた、ドイツの 31.6 万件以上の電話番号の中で 43066 件が暗号取引アカウントと一致しており、ヒット率は約 13.6% であることを発見しました。関連する攻撃には、Kraken アカウントに対するバルク電話番号検証ツールも含まれており、調査では AI ツールがフィッシング活動で大量に使用されていることがわかりました。ブロックチェーンセキュリティ会社 Hacken のデータによると、今年の第一四半期におけるフィッシング攻撃とソーシャルエンジニアリング詐欺によって 3.06 億ドルの損失が発生し、暗号業界全体の 4.82 億ドルの総損失の大部分を占めています。

Bitcoin NewsはXプラットフォームで、Bitcoin Policy Instituteと40以上の機関で構成される連盟が、主要なAIラボに対して、条件を満たすオープンソースの防御者に最先端のAIモデルへの信頼できるアクセスを提供するよう呼びかけていると発表しました。公開書簡では、ビットコインとデジタル資産の開発者がますます複雑化するAI駆動のネットワーク脅威に直面しており、合法的なセキュリティ研究がしばしば最前線のモデルのセキュリティ保護メカニズムによって制限されていると述べています。Block、Coinbase、Strategy、MARA、Galaxy、BitGo、Brink、OpenSats、Chaincode Labs、Spiral、Trezor、Unchainedなどの署名者は、最前線のサイバーセキュリティモデルへの事前アクセス、十分な計算能力、安全な研究環境、およびAIラボのセキュリティチームとの直接的なコミュニケーションチャネルの確立を要求しています。公開書簡は、「防御者は最前線の技術を必要としています。彼らに公平な先発優位性を与えてください。」と述べています。

Bitcoin News の監視によると、Chainalysis は、3800 万ドルを超える Coldcard の脆弱性を利用した事件の分析を示し、攻撃者は最も価値の高いウォレットを意図的に標的にしたことを明らかにしました。これには、180 万ドルを保有するウォレットが含まれており、被害者は資産移転が始まる前に特定されていたことを示しています。最初の 10 分間で約 3000 万ドルが盗まれ、その後 25 分間で約 500 のウォレットが空にされました。Block の Clay Garrett は、調査官が攻撃者が操作中にある有名なブロックチェーンサービスプロバイダーの有料アカウントを使用して被害者のアドレスを照会したことを確認したと述べています。このプロバイダーの内部ログは、リクエストの時間と順序と一致していますが、Block はその会社が盗難を知って協力していた証拠は発見されなかったと述べています。関連情報は当局と共有されています。

AI代理安全ツール V12 は、1000万ドルのシードラウンド資金調達を完了したことを発表しました。Electric Capital が主導し、ZachXBT、samczsun、Walden Yan などが参加しました。これまでに、V12 は主要なブロックチェーンの重大な脆弱性を自主的に発見しました。この脆弱性は1億ドル以上の資金リスクに関わっており、チームは250万ドルの脆弱性報奨金を獲得しました。これは AI 代理が得た最大の単一報奨金です。チームは、すべての脆弱性を見つけることができる AI システム「ネットワーク核兵器」を構築することを目指しており、ブラックボックスのペネトレーションテストではなくホワイトボックスのコード監査に重点を置いています。脆弱性報奨金制度は AI 時代には消滅すると考えており、唯一の解決策はコードがオンラインになる前に脆弱性を排除することだと述べています。V12 は暗号業界を重点的な応用シーンの一つと位置付けており、チームは以前にブロックチェーンセキュリティ会社 Zellic を設立し、1500回以上のセキュリティレビューを完了し、複数の脆弱性研究プロジェクトにも参加していました。

Crowdfund Insider の報道によると、MetaMask はアドレスポイズニング攻撃検出機能を導入し、ユーザーの過去のインタラクションアドレスに非常に似た詐欺アドレスを識別します。アドレスポイズニング攻撃とは、攻撃者がユーザーのウォレットに少額のトークンを送信し、偽装アドレスを取引記録に表示させ、ユーザーがその後誤ってコピーして送金するように誘導することを指します。近年、アドレスポイズニング攻撃は急増しています。Blockaid のセキュリティデータによれば、2025 年 1 月から 2026 年 2 月の間に、6540 万件以上のこのような事件が発生しました。MetaMask の新機能は、ユーザーがアドレスを貼り付けると自動的に過去のインタラクションアドレスと照合し、先頭と末尾の文字が同じで中間の文字が異なる場合、送金プロセス中にブロック式の警告を表示します。MetaMask はまた、アドレスの表示方法を改善し、より多くの文字を表示して混乱の可能性を減らしました。この機能は現在、MetaMask Mobile とブラウザプラグインで利用可能です。

CoinDesk の報道によると、複数の後量子暗号学とブロックチェーンセキュリティ分野の研究者が、AI が量子計算の発展を加速させており、暗号業界が既存のセキュリティシステムの信頼性を再評価することを余儀なくされていると述べています。Project Eleven の CEO アレックス・プルーデンは、研究者たちが機械学習を利用して量子誤り訂正を最適化していることを指摘しました。これは量子計算分野で最大の工学的ボトルネックの一つです。NEAR Protocol の共同創設者であり、元 Google AI 研究者のイリヤ・ポロスキンは、「今収穫し、未来を解読する」という戦略が現実の脅威を構成していると警告しています。つまり、攻撃者は現在の暗号トラフィックを収集し、量子コンピュータが成熟した後に解読を行う可能性があり、「これはすでに起こっている可能性が高い」と述べています。ほとんどのブロックチェーンネットワークがインターネットと同じ楕円曲線暗号学に依存しているため、量子コンピュータが十分に強力になると、理論的には公開鍵から秘密鍵を導出し、ウォレットやシステムを攻撃することが可能になります。研究者たちは、AI と量子計算の組み合わせが持続的なセキュリティ軍拡競争を生み出していると指摘しており、セキュリティ防護はもはや静的なインフラではなく、継続的に進化しアップグレードされる必要があると述べています。現在、イーサリアム、ソラナ、NEAR などの複数のブロックチェーンエコシステムが後量子暗号移行計画を積極的に推進しています。

CoinDeskの報道によると、道富銀行のデジタル資産責任者であるAngus Fletcherは、Consensus Miami会議で、最近のDeFi攻撃事件が頻発する中で、機関投資家はブロックチェーンのセキュリティ性能の改善を望んでいると述べました。彼は、数兆ドルの現実世界の資産がブロックチェーンに移行する前に、若い暗号業界は今すぐに解決策を見つける必要があると指摘しました。Fletcherは、ブロックチェーン間の相互運用性は明確に定義され理解される必要があり、機関顧客はクロスチェーントークンの法的所有権と法的権利を理解する必要があると考えています。Morphoの責任者であるDennis Breeは、4月がDeFiの歴史の中で最もハッキング攻撃が多かった月である可能性があり、規制当局は担保資産のセキュリティに対してより多くのデューデリジェンスを行っていると述べました。

BeInCryptoの報道によると、マスターカードは憲章レベルのメンバーとしてブロックチェーンセキュリティスタンダード委員会（BSSC）に参加し、Coinbase、Fireblocks、Anchorage Digital、BitGoなどのメンバーと共にブロックチェーンネットワークとトークン化された資産のセキュリティフレームワークを策定しています。マスターカードはまた、安全性とプライバシーガイドラインに焦点を当てた作業部会にも参加し、セキュリティソリューション部門の詐欺防止、ネットワークの弾力性、紛争、脅威インテリジェンスを担当するClaire Le Galがマスターカードを代表してBSSCの理事会に入ります。BSSCの執行ディレクターは、マスターカードの決済経験が強力なブロックチェーンセキュリティルールの策定に重要な価値を持つと述べています。マスターカードは、信頼をブロックチェーンとトークン化されたインフラに組み込むことを目的としたマルチトークンネットワークと暗号証明書製品を導入しています。

Coinbaseが設立した「量子計算とブロックチェーン独立顧問委員会」が初の立場文書を発表しました。この立場文書の核心的な結論は、ビットコインの核心インフラは基本的に安全であるということです。量子計算はビットコインのマイニング、ハッシュ関数、及びブロックチェーンの履歴に対して実質的な脅威をもたらすことはありません。本当の脆弱性はウォレットのレベルにあり、イーサリアムはこの問題を解決するための明確なロードマップを策定しており、近い将来に対応する予定です。以前の情報によれば、Coinbaseは今年の1月に量子計算とブロックチェーン独立顧問委員会を設立したと発表し、委員会のメンバーにはスタンフォード大学、テキサス大学オースティン校、及びイーサリアム財団などの研究者が含まれています。

市場の情報によると、ブロックチェーンセキュリティ会社Hackenが発表した報告書によれば、Web3プロジェクトはこの四半期にハッカー攻撃と詐欺によって4.645億ドルの損失を被った。その中で、フィッシングとソーシャルエンジニアリング攻撃が3.06億ドルを占め、主要な損失の原因となっている。1月に発生したハードウェアウォレットの詐欺は2.82億ドルの損失をもたらし、四半期の総損失の81%を占めている。スマートコントラクトの脆弱性による損失は8620万ドル、アクセス制御の失敗（キーやクラウドサービスが攻撃されたことを含む）による損失は7190万ドルである。報告書は、最大のセキュリティ事件は主にチェーン外の操作とインフラ層で発生し、従来の監査ではカバーしきれないことを指摘している。欧州の規制フレームワークMiCAとDORAは、セキュリティ監視とインシデント対応の要件を強化しており、世界の規制機関もリアルタイム監視と緊急対応基準を向上させている。

CoinDeskによると、カリフォルニア大学サンタバーバラ校、カリフォルニア大学サンディエゴ校、ブロックチェーンセキュリティ会社Fuzzland、World Liberty Financialの研究者たちが共同で論文を発表し、「LLMルーター」------ユーザーとAIモデルの間に位置する中間サービス------が暗号資産のセキュリティに重大な脅威となっていると警告しています。研究者たちは、26のLLMルーターが秘密裏に悪意のあるツール呼び出しを注入し、ユーザーの認証情報を盗んでいることを発見しました。そのうちの1件では、顧客の価値50万ドルの暗号ウォレットが空にされました。さらに、研究者たちは「汚染」ルーターエコシステムを通じて、数時間以内に約400台の下流ホストを制御できることを示しました。プライベートキーやAPI認証情報などの敏感なデータがこれらのルーターを介して平文で送信されるため、ユーザーは実際には何も知らずに資産をリスクにさらしています。研究者たちは、マッキンゼーが2030年までにAIエージェントが3兆から5兆ドルのグローバル消費ビジネスを仲介すると予測しているのに対し、バイナンスの創設者であるジャオ・チャンポンもAIエージェントの支払い量が人間の百万倍になると予測していると指摘しています。現在のインフラのセキュリティは業界の発展速度に大きく遅れをとっており、「最も弱い環」となるリスクがシステム的な連鎖危機を引き起こす可能性があります。

Etherscan はユーザーに警告を発しました。以前、ある被害者が2回のステーブルコインの送金を行った後、30分以内に89件のアドレスポイズニング取引を受けました。アドレスポイズニング攻撃者はブロックチェーンの活動を監視し、ユーザーが過去にやり取りした有効なアドレスの先頭と末尾の文字に似た偽のアドレスを作成し、ターゲットにほとんど価値のない少額の送金を行います。これにより取引履歴に表示され、ユーザーがその後の送金時に攻撃者のアドレスを誤ってコピーするように誘導します。Etherscan はユーザーに対し、常に完全なターゲットアドレスを確認し、類似のアドレスを区別するためにアドレスハイライト機能を利用することを推奨しています。

カナダのナナイモに住む住民は、昨年末にリモート株式取引の仕事を促進するSMSを受け取った後、暗号通貨ATMを通じて約5000カナダドル（約3600米ドル）を預け入れ、詐欺に遭いました。今年の初め、この被害者はオンラインでRCMPの公告を装った情報を見つけ、詐欺の被害者に通報を促していました。フォームを提出した後、自称弁護士の人物から電話があり、被害者に関連する2つの暗号通貨アカウントが見つかり、約6万ドルのいわゆる利益を取り戻す手助けができると伝えられました。ナナイモRCMPのメディア関係官ゲイリー・オブライエンは、RCMPは発見された暗号通貨アカウントについて個人に連絡することはなく、損失資金を取り戻すために民間企業と協力することもなく、詐欺調査のためにいかなる形の支払いを要求することもないと述べました。ブロックチェーンセキュリティ会社BlockSecの共同創設者兼CEOアンディ・ジョウは、このような手法は「偽の回収サービス詐欺」と呼ばれ、体系的な特徴を持っていると述べました。詐欺師は通常、元の詐欺で収集された被害者の情報を把握しており、組織的な詐欺団体は以前に送金された被害者のリストを流通させ、これらの人々を二次詐欺の標的にします。法執行機関のブランドを偽装することが効果的である理由は、「権威バイアス」の心理メカニズムを利用しているからです。カナダの警察は2022年から暗号通貨の調査トレーニングを開始しています。

据 Decrypt 报道，区块链安全公司 CertiK 最新报告显示，2025 年针对加密货币持有者的物理攻击（即"暴力攻击"）激增，全年记录在案的攻击事件达 72 起，同比增长 75%，造成损失超 4090 万美元。報告によると、このような攻撃は辺縁的なリスクから構造的な脅威に進化しており、誘拐が最も一般的な手段となっており、身体的攻撃事件は前年比で250%増加しています。攻撃の地域分布には顕著な変化が見られ、ヨーロッパが最も被害を受けており、世界の事件の40%以上を占めています。その中でもフランスは19件の事件で世界一となっています。アメリカは2024年の36.6%から大幅に減少し、12.5%を占めています。アジアは依然として約33.3%の高リスク地域です。CertiKは、個人ユーザーに対しては、囮ウォレットの設定、リカバリーフレーズをハードウェアウォレットと地理的に隔離すること、公開された暗号通貨の足跡を減らすなどの防御戦略を採用することを推奨しています。機関や高資産者は、マルチシグウォレットの構築、タイムロックスマートコントラクトの設定、経営者保護協定の策定を検討すべきです。

Bitcoin Core 開発者、暗号通貨ホスティング会社 Casa の共同創設者 Jameson Lopp は、「量子コンピュータは短期的にはビットコインを覆すことはない。私たちはその進展を引き続き注視する。しかし、プロトコルに対する慎重な修正（および前例のない資金移動）には 5 年から 10 年の時間がかかる可能性がある。私たちは最良の希望を抱くべきだが、最悪の事態にも備える必要がある。」と述べました。先週の土曜日、スマートコントラクトの父、Castle Island Ventures の共同創設者 Nic Carter が長文を発表し、量子コンピュータがビットコインを破るまで「工学的な課題」しか残っておらず、170 万枚のビットコインが攻撃のリスクにさらされていると述べました。この発言はコミュニティの議論を引き起こしました。Blockstream の CEO Adam Back は、Castle Island Ventures の創設パートナー Nic Carter が量子コンピュータがビットコインに対して脅威をもたらす可能性についての人々の懸念を誇張していると批判しました。ビットコインの専門家 Pledditor は、Nic Carter が意図的に不安を煽っていると述べ、彼のファンドが量子攻撃に対抗するためのツールを販売するスタートアップに投資していることを指摘しました。