慢雾

慢雾科技の創業者余弦の監視によると、バイナンスのハッカーの資金は2025年初頭に暗号取引プラットフォームPhemexが盗まれた事件に関連するハッカーのウォレットアドレスと関連しています。余弦は、その時にこの事件が北朝鮮のハッカーに関与していることが判明したと述べています。

慢雾の最高情報セキュリティ責任者 23pds は、Binance が盗まれた資産の凍結を継続することに関する声明を転送し、コメントを寄せました。歴史的な証拠収集の経験に基づくと、攻撃者はリスク管理システムを回避できるとのことです。23pds は、今回の資産が一度に盗まれた侵入経路が、秘密鍵の漏洩によるものか、署名機が攻撃されたものか、まだ重点的に確認する必要があると述べています。Binance は、チームが法執行機関、資産発行者、ブロックチェーン情報機関、業界パートナーと密接に協力し、さらなる関連資産を追跡し凍結していると声明しました。累計凍結額はさらに増加する見込みで、確認情報が得られ次第、迅速に共有されるとのことです。

慢雾の創設者余弦は、ツイッターでバイナンスのハッカーがイーサリアム上でEIP-7702メカニズムを選択したのは、清掃作業を便利にするためであり、バイナンス関連のホットウォレットからトークンを大量に盗むためだと述べました。余弦は、チェーン上で見ると、ハッカーの操作はかなり粗雑であり、実際にコインを盗む前に数時間のリハーサル準備を行ったと強調しました。彼は、EIP-7702メカニズム自体には問題がなく、このプロトコルメカニズムがなくても、類似の操作を実現する他の方法が存在すると述べました。

慢雾の最高情報セキュリティ責任者23pdsが発表し、Coinbaseのデータ漏洩が事実であることを確認したが、パスワードや資金が盗まれたかどうかはまだ確認されていない。ハッカーは70,000人以上のユーザーの連絡先情報を取得した。

慢雾によると、そのセキュリティチームは日常の脅威インテリジェンス調査の中で、Udeskカスタマーサービスシステムに関連するスクリプトudeskApi.2026-10-16.cached.jsが悪意のあるローダーに埋め込まれていることを発見しました。このローダーは16進数でエンコードされたアドレスを隠し、非同期でリモートスクリプトdeeps.jsをロードします（ソースはudeskqlobal[.]comで、ドメイン名はqで始まります）。このスクリプトは、ページでアクセス可能なCookie、localStorage、sessionStorageを読み取り、フォームやログイン、認証リクエストを傍受し、データをudeskqlobal[.]com/c.phpに送信します。攻撃者はこれを利用してセッションを偽装したり、アカウントを乗っ取ったりする可能性があります。このデータ収集行為は、ターゲットサイトのルールに制限されず、一致しないページも影響を受ける可能性があります。慢雾の分析によると、このスクリプトはmgbx[.]com、bikingex[.]およびbitxex[.]ioの3種類のサイトにも対応しており、200ミリ秒ごとにチャージページをスキャンし、識別されたチャージアドレスを事前設定されたBTC、EVM、TRON、Solana、LTC、DOGEのアドレスに置き換えます。同時に、スクリプトはクリップボードAPIをラップし、コピーボタンを置き換え、コピーイベントを傍受することで、ユーザーが見ることができ、コピーするのは改ざんされたアドレスだけになります。ユーザーがこのアドレスに送金すると、資金は攻撃者のアドレスに流れます。

慢雾の監視によると、Yapeswapが攻撃を受け、約2.19万ドルの損失を被りました。事件の根源は、WorkersUnionのガバナンスメカニズムの法定人数要件がゼロであるため、約0.000055%の投票権の支持を得た提案が、YapeFactoryのfeeToSetter権限を攻撃者に移転させたことにあります。攻撃者はその後、悪意のあるRegistryコントラクトを展開し、latestVault()が偽の金庫アドレスを返すようにしましたが、vaults()は依然として本物の金庫をリストアップしています。YapePairは移転される預金をファーム資産に計上しますが、償還可能なシェアを受け取らず、最終的に資金の損失を引き起こしました。この事件はYapeFactory、YapePair、YapeWrapperなどのコントラクトに関与しています。

慢雾余弦の監視によると、ユーザーはiPhoneとiPadのシステムを迅速に更新し、インストールされている一部のアプリがDarkSwordによって毒されている可能性に警戒する必要があります。DarkSwordは主にiPhoneの暗号通貨ユーザーを狙った標的攻撃とコインの盗難を行い、iOSに関連する脆弱性を利用してサンドボックスを突破し、Keychain内のさまざまなパスワードなどのプライバシーデータや、ウォレットのローカル秘密鍵ファイル、メモなどのプライバシーデータを盗みます。

慢雾は脅威情報を発表し、最近ユーザーからのフィードバックを受けて、sol-liveという名前のGitHubリポジトリがSolidityの面接練習プロジェクトを装っていることが判明しましたが、その.vscode/settings.jsonにはリモートスクリプトをダウンロードして実行するコマンドが隠されています。ユーザーがプロジェクトのカスタムターミナル設定を起動すると、悪意のあるペイロードがトリガーされる可能性があります。慢雾の分析によると、関連する悪意のあるペイロードは、ブラウザのログインデータベース、ウォレット拡張ストレージ、macOSのKeychainファイルを収集することができ、さらにローカルファイルのスキャンとアップロード、リモートコマンドの実行、インタラクティブなシェルアクセスの提供、クリップボードの監視などの機能を持っています。macOSおよびLinux環境では、ユーザーが悪意のあるターミナル設定を手動で起動しない限り実行されません。Windows端の攻撃チェーンは、引用符の処理の問題によりまだ確認されていません。

慢雾安全予警は、PHPが10月20日に安全公告を発表し、リモートコード実行（RCE）を引き起こす可能性のある2つの深刻なセキュリティ脆弱性、番号はそれぞれCVE-2026-109618とCVE-2026-109619で、CVSS v4スコアはどちらも9.2であることを明らかにしたと述べています。現在、PHP公式は修正パッチをまだ発表しておらず、脆弱性の具体的な影響を受けるバージョンや利用条件はまだ確認されていません。既存の情報によると、PHP公式は10月21日14:00 UTC（北京時間22:00）に安全更新を発表する予定です。慢雾は関連機関に対し、サーバーおよび業務システム内のPHPバージョンを早急に調査し、特に公に露出しているPHPサービスに注意を払い、パッチが公開された後に迅速にアップグレードすることを推奨しています。暫定的にアップグレードできないシステムは、アクセス元を制限し、必要に応じて隔離措置を講じるべきです。

慢雾余弦の監視によると、Qubic Walletはすでに大部分の秘密鍵が漏洩しており、6回の接続で秘密鍵を復元できる可能性があります。

安全機関 SlowMist（慢雾）は、DarkSword マルウェアのバックエンドと iOS 攻撃チェーンに関する深層脅威インテリジェンスレポートを発表しました。このレポートは、攻撃インフラの進化過程を追跡し、暗号資産ユーザーに対するその高度な危険性を明らかにしています。慢雾の分析によると、2026年3月に関連する脆弱性を利用したコードが公開されて以来、DarkSword-PROV2は7月にGitHubに現れ、その攻撃インフラは9月下旬にオンラインで稼働しているのが観測されました。慢雾チームは、オンラインインフラの追跡だけでなく、その管理パネルを公開されているGitHubリポジトリと関連付け、脆弱性を利用したコード、デリバリーチェーン、および侵害後の利用能力を分解しました。レポートは、この攻撃フレームワークのいくつかの重要な発見を指摘しています：高度に自動化された完全な攻撃パイプラインで、脆弱性のデリバリー、デバイスとデータの収集、データの窃取、および暗号ウォレットの資金集約機能が統合されています。広範かつ深いデータ窃取能力を持つこのツールキットは、キーチェーン、ファイル、情報だけでなく、特に暗号ウォレットデータをターゲットにしており、ウォレットデータの復号化と資金の集約能力を備えています。このツールキットはiOS 13以降をサポートすると主張していますが、コード分析により、実際に有効な脆弱性の利用ウィンドウはiOS 18.6--18.7.2およびiOS 26--26.1の2つのバージョンに集中していることが確認されました。公開された脆弱性コンポーネントは武器化され、展開可能な攻撃フレームワークに統合されており、複雑なiOS攻撃を開始するためのハードルが大幅に低下しています。この脅威に対して、慢雾は明確なセキュリティ提案を示しています。ユーザーはiOSシステムを最新の状態に保ち、信頼できないリンクをクリックしないようにするべきです。なぜなら、Safariブラウザで悪意のあるページを開くだけで脆弱性がトリガーされる可能性があるからです。デバイスが疑わしいランディングページにアクセスしたことがある場合、ユーザーは直接リカバリーフレーズと秘密鍵を漏洩したものと見なし、決してそのページにアクセスしたことのないクリーンなデバイスを使用して新しいウォレットを作成し、資産を移動させる必要があります。さらに、ユーザーは各チェーン上の異常な取引とトークンの承認を徹底的にチェックし、不要な承認を直ちに取り消す必要があります。

慢雾は、最近のLedgerのサプライチェーン事件を利用した偽の「Ledgerファームウェア更新」活動が行われていると発表しました。このフィッシングページは非常にリアルで、偽の「Genuine check（真品チェック）」ページ、デバイス選択インターフェース、そして「今すぐ更新」ボタンが含まれています。慢雾は、ウェブサイトのリンクを通じてLedgerデバイスを更新せず、どこでもリカバリーフレーズを入力しないように警告しています。

慢雾安全の最高情報セキュリティ責任者23pdsは、LedgerデバイスのPCBがMt. Goxの前CEOマーク・カルペレスが説明した方法で改造されている場合、攻撃者は相当な技術レベルを持つことになると述べています。23pdsによれば、可能な攻撃の流れは、ウォレットがセキュリティチップ内で助記詞を生成し、ユーザーがメモするために画面に表示することから始まります。悪意のあるモジュールはSPIなどの画面データラインを通じて表示内容を取得し、完全な助記詞を記録した後、LTE/eSIMを介してデータを攻撃者に送信します。セキュリティチップは秘密鍵が直接読み取られたりエクスポートされたりするのを防ぐことができますが、外部モジュールが画面に表示されている情報を取得するのを防ぐことはできません。彼は、上記の分析はPCBが実際に述べられた方法で改造されているという前提に基づいており、関連する攻撃経路やハードウェアの埋め込み状況はまだ独立して検証される必要があると述べています。マーク・カルペレスは以前、彼が受け取ったLedgerハードウェアウォレットがスパイモジュールを埋め込まれている疑いがあると発表しました。デバイスはマレーシアから来ており、外装の収縮フィルムは無傷で、埋め込まれたものは画面本来のクッションパッドの位置に隠されており、LTE通信コンポーネント、アンテナ、eSIM、およびLedger SPIバスに接続されたマイクロコントローラーが含まれています。これにより、デバイスがユーザーに表示する文字を分析し、助記詞の設定が完了した後に関連データを送信します。

慢雾の最高情報セキュリティ責任者 23pds がツイートし、公衆WiFi自体はコインを盗むことはないと述べました。損失を引き起こすのは偽のWiFiが開いたフィッシングページや、ユーザー自身が取引に署名したり、秘密鍵をインポートする行為です。接続後にどのウェブサイトにアクセスし、どのような操作を行うかが、資産損失を引き起こすかどうかの核心です。以前、XユーザーのXiaoyu_184CMがツイートし、シンガポールの空港で無料WiFiに接続した後、1ヶ月間取引のなかった小口のウォレットから3.7枚のBNBが転送されたと述べました。バイナンスの創設者CZは、常に公衆WiFiに接続することを推奨していないが、WiFiに接続するだけではウォレットが盗まれることはないと応じ、間に他の操作があったかどうかを尋ねました。暗号KOLのAB KuaiDongは、誰かが特別に無料WiFiを設定し、ルーターが改造されている可能性があると推測し、Xiaoyuはそのような状況だと感じていると述べました。

慢雾余弦の監視によると、FOMOのウェブ版に対するブックマークフィッシングによる暗号通貨盗難攻撃が発生しています。このようなフィッシングウェブサイトは、ユーザーを偽の人間確認を完了させるように誘導し、JavaScriptの悪意のあるコードをブラウザのブックマークにドラッグして保存させます。ユーザーがそのブックマークを2回から3回クリックすると、以前にログインしたFOMOアカウントが攻撃者にハイジャックされ、アカウント内の暗号資産も即座に盗まれます。

慢雾は安全警報を発表し、Aave V3 Loop Safe Moduleに安全な脆弱性が存在すると述べています。攻撃者は偽のSafe認証を通じて任意のModuleを実行し、2つのSafeマルチシグウォレットから約114.09 ETHを盗みました。攻撃者は常に真を返すSafeを偽造して認証を回避し、任意に制御可能なrouterとcalldataを利用してモジュール取引を実行し、weETHおよびAave担保を移転しました。攻撃者は約1300枚のWETH債務を返済した後、担保を解除しました。

慢雾余弦はXプラットフォームで発表し、iOS 27バージョン以前のシステムが一部のブラック・グレー産業団体によって脆弱性を利用され、iPhoneユーザーの暗号ウォレットが盗まれていると述べました。そのため、ユーザーにはiPhone、iPad、Macなどのデバイスを最新バージョンに更新し、不明な出所のアプリを慎重にインストールし、Safariやアプリ内蔵ブラウザを通じて不明なリンクを開く際には慎重になるように警告しています。

慢雾余弦は X プラットフォームで発表し、Bitget の盗難事件が広範囲に広がり、関与した金額が巨大であり、関連する資金がすぐに北朝鮮のハッカーに関連付けられたと述べました。Circle、Tether などの機関は、関連する資金を凍結するために迅速に協力しました。その中で Circle はハッカーが保有する USDC を凍結しました。THORChain に関して、余弦は、THORChain が以前に自身が遭遇した盗難事件の際にも、いわゆる「分散型」プラットフォームに迅速に介入したことを指摘しました。しかし、今回の業界の重大なセキュリティ事件に直面して、「分散型、干渉しない」という理由で応答し、自身をビットコインやイーサリアムと同列に扱いながら、ハッカーの大規模なクロスチェーン取引から手数料を得続けています。彼は、分散型は単なるスローガンであってはならず、重大なセキュリティ事件が発生した後には、どの問題が業界全体で解決すべきかを明確にすることが重要だと述べました。また、THORChain のようなプラットフォームをビットコインやイーサリアムと簡単に比較すべきではなく、異なるシステムの分散型の程度やメカニズムには明らかな違いが存在すると考えています。

Cointelegraph の報道によると、ブロックチェーンセキュリティ会社 SlowMist は、最近のセキュリティ警告を引き起こした iPhone Safari 攻撃と、確認された暗号通貨の盗難事件との関連性を調査中であると述べています。SlowMist は Cointelegraph に対し、分析した特定の Safari 攻撃サンプルによって被害を受けた者が独立して確認されていないと述べており、同社が把握している最も強力な技術的証拠は iOS 18.4 から 18.6.2 バージョンをカバーしています。同社は、外部で流布されている「iOS 13 から 26.5」の影響範囲は初期の判断と見なすべきであり、再現可能な技術的証拠を得る前に iOS 26.5 が影響を受けたと主張することは避けるべきだとしています。SlowMist は、この Safari 攻撃が以前に公開された DarkSword 脆弱性を利用した攻撃手法を再利用しており、App Store アプリ内に悪意のあるコンポーネントを組み込む FomoPeek 調査とは独立していることを指摘しています。Google 脅威情報チーム（GTIG）は、3 月に DarkSword を公開し、2025 年 11 月以来、複数の脅威行為者によって使用されている iOS 脆弱性利用手法であると述べています。

慢雾 MistTrack が Bitget のハッカーウォレットアドレスを更新し、7つの Ripple ネットワークアドレスに新たにマークを追加しました。残高は合計約 102,926,478 枚の XRP で、約 1.57 億ドルに相当します。さらに、11の EVM アドレスと 1つの TRON アドレスも含まれています。その中で、EVM アドレスは合計約 67,980.25 枚の ETH、5896.58 枚の BNB、495.625 枚の WETH、218,022.9 枚の USDT および 99,989.9 枚の USDC を保有しています；TRON アドレスは約 20,593,376.5 枚の TRX を保有しています。