慢雾余弦

慢雾科技の創業者余弦の監視によると、バイナンスのハッカーの資金は2025年初頭に暗号取引プラットフォームPhemexが盗まれた事件に関連するハッカーのウォレットアドレスと関連しています。余弦は、その時にこの事件が北朝鮮のハッカーに関与していることが判明したと述べています。

慢雾の創設者余弦は、ツイッターでバイナンスのハッカーがイーサリアム上でEIP-7702メカニズムを選択したのは、清掃作業を便利にするためであり、バイナンス関連のホットウォレットからトークンを大量に盗むためだと述べました。余弦は、チェーン上で見ると、ハッカーの操作はかなり粗雑であり、実際にコインを盗む前に数時間のリハーサル準備を行ったと強調しました。彼は、EIP-7702メカニズム自体には問題がなく、このプロトコルメカニズムがなくても、類似の操作を実現する他の方法が存在すると述べました。

慢雾余弦の監視によると、ユーザーはiPhoneとiPadのシステムを迅速に更新し、インストールされている一部のアプリがDarkSwordによって毒されている可能性に警戒する必要があります。DarkSwordは主にiPhoneの暗号通貨ユーザーを狙った標的攻撃とコインの盗難を行い、iOSに関連する脆弱性を利用してサンドボックスを突破し、Keychain内のさまざまなパスワードなどのプライバシーデータや、ウォレットのローカル秘密鍵ファイル、メモなどのプライバシーデータを盗みます。

慢雾余弦の監視によると、Qubic Walletはすでに大部分の秘密鍵が漏洩しており、6回の接続で秘密鍵を復元できる可能性があります。

慢雾余弦の監視によると、FOMOのウェブ版に対するブックマークフィッシングによる暗号通貨盗難攻撃が発生しています。このようなフィッシングウェブサイトは、ユーザーを偽の人間確認を完了させるように誘導し、JavaScriptの悪意のあるコードをブラウザのブックマークにドラッグして保存させます。ユーザーがそのブックマークを2回から3回クリックすると、以前にログインしたFOMOアカウントが攻撃者にハイジャックされ、アカウント内の暗号資産も即座に盗まれます。

慢雾余弦はXプラットフォームで発表し、iOS 27バージョン以前のシステムが一部のブラック・グレー産業団体によって脆弱性を利用され、iPhoneユーザーの暗号ウォレットが盗まれていると述べました。そのため、ユーザーにはiPhone、iPad、Macなどのデバイスを最新バージョンに更新し、不明な出所のアプリを慎重にインストールし、Safariやアプリ内蔵ブラウザを通じて不明なリンクを開く際には慎重になるように警告しています。

慢雾余弦は X プラットフォームで発表し、Bitget の盗難事件が広範囲に広がり、関与した金額が巨大であり、関連する資金がすぐに北朝鮮のハッカーに関連付けられたと述べました。Circle、Tether などの機関は、関連する資金を凍結するために迅速に協力しました。その中で Circle はハッカーが保有する USDC を凍結しました。THORChain に関して、余弦は、THORChain が以前に自身が遭遇した盗難事件の際にも、いわゆる「分散型」プラットフォームに迅速に介入したことを指摘しました。しかし、今回の業界の重大なセキュリティ事件に直面して、「分散型、干渉しない」という理由で応答し、自身をビットコインやイーサリアムと同列に扱いながら、ハッカーの大規模なクロスチェーン取引から手数料を得続けています。彼は、分散型は単なるスローガンであってはならず、重大なセキュリティ事件が発生した後には、どの問題が業界全体で解決すべきかを明確にすることが重要だと述べました。また、THORChain のようなプラットフォームをビットコインやイーサリアムと簡単に比較すべきではなく、異なるシステムの分散型の程度やメカニズムには明らかな違いが存在すると考えています。

慢雾余弦は X プラットフォームで投稿し、関連アプリは FomoPeek であり、慢雾はそれを FOMO アプリとは一度も呼んでいないと述べました。海外の関連セキュリティ KOL およびメディアはこれについて誤解を招く情報を流しています。

慢雾余弦の監視によると、あるハッカーのアドレスが集団盗難事件に関与しており、100以上のアドレスと数十人の実際のユーザーが影響を受けています。原因は秘密鍵の漏洩で、ハッカーは約20万ドルの利益を得ています。このグループは古いグループで、盗まれたユーザーは共通点を見つけることを試みることができます。

慢雾の創設者余弦がXプラットフォームでClaude Codeの潜在的な毒攻撃リスクに関するツイートをリツイートし、Grok Build CLIおよびClaude Code CLIに対する毒攻撃の詳細分析を発表しました。その中で、Grok Build CLIのセキュリティメカニズムは統一されておらず、異なるコードパスには異なる信頼仮定が存在し、その隙間が攻撃者の通路となることが指摘されています。攻撃者は悪意のあるプロジェクト設定ファイルを通じて、ユーザーが知らないうちに任意のコマンドを実行し、APIキー、クラウド認証情報、またはローカルデバイスを制御する可能性があります。研究者はテスト環境を構築し、MacシステムにおいてClaude Codeが影響を受けた場合、特定のテストコマンドを実行後にローカル計算機が起動することを確認し、潜在的なコマンド実行リスクが存在することを証明しました。攻撃が成功した場合、攻撃者はClaude、OpenAIなどのAIサービスのAPIキーをさらに盗み、アカウントの費用損失を引き起こし、AWS、アリババクラウド、テンセントクラウドなどのクラウドサービスの認証情報を取得してサーバーやデータにアクセスし、コードリポジトリを改ざんしてバックドアを埋め込み、ローカルデバイスを利用して企業内部ネットワークへの攻撃を行う可能性があります。関連する脆弱性はすでに1年間存在しているとのことです。

慢雾の創設者余弦はXプラットフォームでSquidのセキュリティ事件について解説を発表しました。彼はサンプリングの結果、関連するSafeウォレットはすべてシングルサインで、オーナーも異なることを示しましたが、問題はプライベートキーにはなく、これらのSafeアドレスで使用されているモジュール（SquidRouterModule）に脆弱性が存在することにあります。攻撃者はメッセージを偽造し、関連する検証を簡単に回避して、後続の交換操作を開始し、ターゲットのSafeウォレット内の資金を移動させることができます。さらに、余弦は攻撃者の利益が蓄積されたアドレス情報も公開しました。以前の情報によれば、ある第三者のGnosis SafeモジュールがBaseとイーサリアム上で悪用され、約320万ドルの損失を引き起こしました。被害者はこの契約を信頼されたSafeモジュールとして追加した86のGnosis Safeです。この契約はBasescan上で「SquidRouterModule」として知られており、その後SquidはGnosis Safeに関連する脆弱性事件の影響を受けていないことを明らかにしました。

SlowMistの創設者余弦（@evilcos）によると、今回のKelpDAO約2.9億ドルの盗難事件の攻撃の核心は、LayerZero DVN（分散型検証者ネットワーク）下流のRPCインフラストラクチャに対する標的型毒物投与です。具体的な攻撃手順は次の通りです：まず、LayerZero DVNが使用しているRPCノードのリストを取得し、その後、2つの独立したクラスターを攻撃してop-gethバイナリファイルを置き換えます；選択的欺瞞技術を利用して、DVNに対してのみ偽造された悪意のあるペイロードを返し、他のIPには実際のデータを返します；同時に、攻撃されていないRPCノードに対してDDoS攻撃を仕掛け、DVNを毒されたノードにフェイルオーバーさせ、偽造メッセージの検証を完了した後、悪意のあるバイナリが自壊し、ログを消去します。最終的に、LayerZero DVNは「発生したことのない取引」を発行して検証します。

慢雾の創設者余弦はXプラットフォームで投稿し、Coinbaseがユーザーにプレーンテキストのリカバリーフレーズを入力させるページをオフラインにしたと述べました。彼は、ウォレットにとってオンラインウェブページのセキュリティモデルは非常に低く、拡張機能やアプリよりもはるかに劣っていると指摘しました。オンラインウェブページがプレーンテキストのリカバリーフレーズを収集する手法は、フィッシングウェブページに模倣されやすく、すでにフィッシングの一般的な手法となっています。

慢雾余弦は X プラットフォームで次のように発表しました："あるグループがハッキングされている事件が発生しています。ハッカーのアドレス：0x913efc2062984288a0a083cd42b3a3422c07fcef、現在ハッカーは累計で 8.5 万ドルの利益を上げており、まだ増加しています。コミュニティのフィードバックによると、このグループは主に羊毛を刈るプレイヤーに属しており、プライベートキー/ニーモニックフレーズがハッカーによって事前に収集されています。ハッカーは関連資金を集めています。もし MoreLogin フィンガープリンターを使用している場合は必ず注意してください。ただし、現時点では MoreLogin または関連プラグインに問題があるという証拠はありません。"

慢雾の創業者余弦は X プラットフォームで次のように発表しました：「OpenClaw の安定性や堅牢性を信頼していないが、Claude Code には安心している。これはソフトウェア工学の核心目標の一つです。セキュリティに関しては、両社ともにセキュリティへの重視が非常に高く、提出された脆弱性には迅速なフィードバックが得られています。特定の OpenClaw のフォークや参考バージョンは、セキュリティへの積極性が大きく欠けています。セキュリティのシナリオにおいて、OpenClaw はサンドボックス機構を持っており、ツールの権限に関してもより細かい設計を試みていますが、その名の通り「OpenClaw」、オープンさが最大の魅力です。束縛された OpenClaw は OpenClaw ではありません。自由でありながら制御可能であることを望むのは、皆が悩むポイントですが、実際の生産環境では、過度に自由な OpenClaw は制御を失いやすいです。」

慢雾の創設者余弦が安全に関する警告を発表しました。現在、OpenClawのClawHubマーケットでは1,184個の悪意のあるスキルが発見されており、これらのスキルはSSHキー、暗号ウォレット、ブラウザのパスワードを盗み、リバースシェルを開く可能性があります。たった一人の攻撃者が677個のパッケージをアップロードしました。ランキング1位のスキルには9つの脆弱性が存在し、ダウンロード数は数千回に達しています。余弦はユーザーに対し、テキストはもはやテキストではなく、指令であると警告しています。AIツールは独立した環境で使用することを推奨し、多くのOpenClawスキルには潜在的なリスクが存在します。さらに、Web3のセキュリティにおける契約は一部に過ぎず、本当の事故の原因はすでに契約だけではありません。数日前、Moonwellが178万ドルを盗まれた事件では、欠陥コードがCo-Authored-By：Claude Opus 4.6から来ています。

慢雾の創設者である余弦は X プラットフォームで投稿し、DeBot イベントを追跡しており、ブロックチェーン上の状況を確認していると述べました。DeBot に関連するユーザーの秘密鍵が盗まれ、ハッカーは現在 25.5 万ドルの資産を得ており、引き続き盗難が続いています。DeBot を使用している場合、秘密鍵が DeBot によって割り当てられていると、この秘密鍵にはリスクがあります。

慢雾の創設者余弦がツイートで、Trust Wallet ブラウザ拡張の新バージョンがバックドア問題を完全に解決し、PostHog 関連のコードが含まれていないことを示しました。以前、情報源データに誤りがあったため、分析時に PostHog が完全に削除されていないと誤解されていました。PostHog はオープンソースの全リンク製品分析プラットフォームで、さまざまな情報を収集して分析するために使用できます。Trust Wallet ブラウザ拡張 2.68.0 バージョンにはバックドアがあり、このバージョンは PostHog を利用していました。

慢雾余弦は X プラットフォームで発表し、慢雾チームが2つの取引プラットフォームの深刻な脆弱性（資金の安全に直接影響する）を発見したことを示し、連絡が取れず、公開連絡にも反応がないと述べました。余弦は同時に、これら2つの取引プラットフォームの1つは24時間の取引量が370億ドル、もう1つは2.4億ドルであると述べました。慢雾チームのアカウントのツイートによると、彼らは昨日「ICRYPEX Global」という取引プラットフォームに積極的に連絡を取ったことが示されています。

慢雾余弦は X プラットフォームで、ユーザー Babur が 2,700 万ドル相当の暗号資産を盗まれた事件について発表しました。分析によると、盗まれた資産は主に二つのアドレスに関連しています：Solana アドレス 91xu と Ethereum Safe マルチシグアドレス 0xD2 で、最大の二つの盗まれた資産の総価値は 1,800 万ドルを超えています。ハッカーのアドレスは 71fM（Solana）と 0x4f（Ethereum）で、一部の資金は Ethereum ネットワークにクロスチェーンされています。この事件は、コンピュータがマルウェアに感染したことが原因と疑われており、ユーザーが悪意のあるファイルをダブルクリックして実行した後に秘密鍵が漏洩した可能性があります。Safe マルチシグの二つの署名秘密鍵も感染したコンピュータに保存されている可能性があります。