セキュリティホール

オープンソースのビットコインライトニングネットワークノードソフトウェアCore Lightningチームは、攻撃者がパッチをまだインストールしていないノードを標的にしているとの報告を受けて、緊急警告を発しました。そのため、古いバージョンを実行しているオペレーターに対して、すぐにアップグレードするよう促しています。チームは次のように述べています：「緊急セキュリティアップデート：使用しているバージョンが26.06.7またはそれ以前の場合は、できるだけ早く最新のリリースにアップグレードしてください。」それ以前に、Core Lightningは9月16日に、実験的機能に影響を与え、ユーザーの資金に波及する可能性のある問題を調査し始め、約6日後に26.06.8バージョンをリリースしました。このアップデートでは、いくつかの欠陥を修正するだけでなく、複数の責任ある報告者からのセキュリティ脆弱性に対するパッチも提供されており、リリースノートではBitcoin Red Teamおよび他の12名の個人と組織に感謝の意を表し、匿名の報告者にも敬意を表しています。変更ログによれば、今回の修正には、送信者ノードがクラッシュする可能性のある障害、RESTインターフェースのメモリを使い果たすリクエスト、および支払いチャネルを閉じる際にユーザーの資金が没収されるリスクを伴う脆弱性が含まれています。オペレーターに十分なアップグレードウィンドウを提供し、攻撃者が逆向きの研究と利用を行う機会を防ぐために、このバージョンでは一部のテスト内容が意図的に隠されています。今年の8月には、AIによって生成された一般的な脆弱性開示報告を大量にレビューした後、協調修正プロセスを開始し、2日後に26.06.7バージョンをリリースして確認された脆弱性を封じ込めました。

慢雾は安全警報を発表し、Aave V3 Loop Safe Moduleに安全な脆弱性が存在すると述べています。攻撃者は偽のSafe認証を通じて任意のModuleを実行し、2つのSafeマルチシグウォレットから約114.09 ETHを盗みました。攻撃者は常に真を返すSafeを偽造して認証を回避し、任意に制御可能なrouterとcalldataを利用してモジュール取引を実行し、weETHおよびAave担保を移転しました。攻撃者は約1300枚のWETH債務を返済した後、担保を解除しました。

MetaのAI製品Museにセキュリティの脆弱性があることが報告され、ユーザーデータと仮想環境の安全が脅かされる可能性があります。会社はリスク警告を強化する計画です。

NFT市場Magic Edenにおいて、NFTのセキュリティ脆弱性が疑われ、ホワイトハッカーが数百のウォレットから3832枚のNFTを移転しました。Yuga Labsのブロックチェーン副社長Quitは、この移転はホワイトハットの行動であり、関連するNFTは現在「0x71cF」で始まるアドレスに保管されており、資産は安全な状態にあると述べました。リスクが解除され次第、全て返還される予定です。

慢雾セキュリティチームの発表によると、BonfireSwapルーターコントラクトはtransfer関数にアクセス制御の欠如があり、約5万ドルの損失を引き起こしました。この関数は、呼び出し元がfromアドレスであるかどうかを検証せず、呼び出し元がfromアドレスの資産に対する承認を確認していませんでした。そのため、攻撃者は事前に承認されたルーターのユーザーをfromアドレスとして設定し、自身をtoアドレスとして設定することで、被害者のTOKENを転送し、同じトークンプールで交換することができました。慢雾によると、合計41名のTOKEN保有者がこのルーターに承認を与えており、脆弱性のあるコントラクトアドレスは0x17e801e17cefc6334059189c178d4783830e03d3です。

Cosmos Labsは技術報告を発表し、以前にCosmos EVMの整数アンダーフローの脆弱性を誤って判断したことを認め、8月20日から25日の間に6つのブロックチェーンネットワークが攻撃を受け、盗まれたトークンの合計は約570万ドルに達した。攻撃者はこの脆弱性を利用してアカウントの残高を2^256-1の最大値までアンダーフローさせ、逆操作で膨張した残高を転送し、ターゲットアカウントのトークンを盗み出した。この過程で新たにトークンが発行されることはなかった。報告書によると、研究者は4月25日にバグバウンティプログラムを通じてこの欠陥を提出したが、テスターは既存のCosmosチェーンの構成上で再現できなかったため、Cosmos Labsは5月にサイレントパッチ方式で修正を行った。独立した研究者が8月初旬に脆弱性がすべてのCosmos EVMチェーンに影響を及ぼすことを確認した後、Cosmos Labsは8月19日にパッチをリリースしたが、最初の攻撃は約20時間後に発生した。具体的な損失については、MANTRAが7.209億枚のトークン（約360万ドル）を失い、TACが近く30億枚のTACを失い、KiiChainが約1.48億枚のKIIを失った。MANTRAとKiiChainは、Cosmos Labsが影響を受けたチェーンに事前に通知せず、停止を提案しなかったことを批判しており、KiiChainはパッチの展開に数日かかる一方で、停止には数分しかかからないと述べた。Cosmos Labsは40のチェーンと調整して対応し、13のチェーンが攻撃を受ける前に修正または停止を完了するのを支援したと述べている。

Cointelegraphは、Aviciが50.0859万ドルのカード残高の脆弱性の影響を受けた1685名のユーザーに全額返金することを発表したと報じています。

The Sandboxは、SANDのクロスチェーンブリッジがセキュリティ脆弱性攻撃を受けた事件の更新を発表しました。攻撃者は検証メカニズムを変更し、クロスチェーンの入金メッセージを偽造して裏付けのないSANDを鋳造しました。この事件により、約1474.23万枚のSANDが引き出され、約69.7万ドルの価値が失われました。また、一部の無担保SANDは市場取引で利益を上げ、全体の経済的影響は約149.7万ドルに達し、そのうち攻撃者が実際に得た金額は約98.7万ドルです。The Sandboxは、攻撃がイーサリアムおよびPolygon上のSAND供給に影響を与えなかったと述べています。イーサリアムのSAND総量は30億枚のままであり、スーパー管理者権限も盗まれていません。攻撃はトークン契約内の一般的な呼び出し機能とブリッジ権限設計の組み合わせによる脆弱性から発生しました。現在、関連アドレスはマークされており、取引所、安全機関、LayerZeroチームと協力しています。影響を受けたユーザーに対して、The Sandboxは攻撃前のチェーン上のスナップショットに基づき、合法的なブリッジSANDを保有するウォレットに対して1:1の比率でイーサリアムチェーン上のSANDを補償することを約束しました。補償申請プロセスは、2週間以内にオープンし、2週間続く予定です。

Core Lightningのメンテナーはノードオペレーターに通知し、未発表のバージョンにアップグレードしない限り、ノードをシャットダウンするように求めています。この警告はDiscordを通じて広まり、Cashuプロトコルの開発者Calleによって強調され、深刻な脆弱性が存在するとされています。修正バイナリはまだリリースされておらず、脆弱性の詳細は2週間の秘密保持期間にあります。これは4週間内におけるビットコインインフラストラクチャの4回目のセキュリティ警報です。以前のColdcardファームウェアの脆弱性により、約1.14億ドルのBTCが盗まれ、BoltzとBTCPay Serverにも問題が発生しました。CLNチームは過去10日間に複数のAI生成のCVEレポートを受け取り、検証と修正を急いでいると述べています。

BubblemapsはXプラットフォームで発表し、攻撃者がCosmos EVM共有モジュールの脆弱性を利用して5000万ドル相当のNESトークンを盗んだが、最終的には約6万ドルの利益しか得られなかったと述べています。以前、Cosmos Labsはその共有Cosmos EVMソフトウェアにセキュリティの脆弱性があることを報告しており、Nesaを含むこのモジュールに基づいて構築された複数のチェーンが影響を受けています。報告によると、主要な攻撃者である0x9AE7で始まるアドレスは、以前に25万ドルを費やしてNESを購入し、Nesa Chainにクロスチェーンした後、この脆弱性を利用してアカウント残高を200倍に膨らませ、5000万ドルのNESをイーサリアムにクロスチェーンで転送しました。このウォレットの初期資金はモネロから来ています。攻撃者はその後、トークンを複数のウォレットアドレスに分散させ、DEXでNESをETHに交換し、得た利益を中央集権取引所に預けました。流動性プールの資金が迅速に引き出されたため、攻撃者の大部分の交換取引は深刻なスリッページに直面し、実際には25.5万ドルを費やして攻撃を開始し、現金化したのは31.5万ドルで、純利益は約6万ドルでした。Bubblemapsは、別のCosmos EVMチェーンが前日に140万ドルの類似の攻撃を受けたにもかかわらず、資金の出所と操作手法の違いから、2件の事件は異なる攻撃者によるものである可能性があると判断しています。報告では、NESトークンの価格が一時90%暴落した後、大幅に回復したことが述べられており、チームは回復の主な原因は攻撃後のDEXとCEXの価格の不一致によるアービトラージ行為であると考えています。

Decred 公式 X アカウント (@decredproject) がセキュリティ通知を発表しました。Decred (DCR) ネットワークでセキュリティの脆弱性が発見され、パッチ修正はアメリカ東部時間の 8 月 18 日午前にリリースされる予定です。セキュリティ上の理由から、公式はユーザーに対し、アップグレードが完了するまで投票とマイニングの操作を一時停止することを推奨しています。パッチがリリースされた後、公式 X アカウントで最初にお知らせします。

SafePalは、その注文追跡プラグインにセキュリティの脆弱性が存在し、一部の顧客情報が未承認でアクセスされたことを示しています。今回の事件は約39,798名のユーザーに関与しており、影響を受けたユーザーは2025年3月2日から2026年4月11日までの間に注文を行った顧客です。漏洩した情報には名前、メールアドレス、配送先住所、電話番号、購入詳細が含まれますが、リカバリーフレーズ、秘密鍵、ウォレットパスワード、銀行カード情報、または政府発行の身分証明書番号は含まれていません。SafePalは、現在関連する脆弱性が修正され、影響を受けたユーザーに個別に通知されたと述べています。また、公式に確認ページが立ち上げられ、ユーザーは注文番号と配送国を通じて自分が影響を受けているかどうかを確認できます。

CascadeはXプラットフォームで発表し、以前にCLS資金が引き抜かれた事件が解決されたことを明らかにしました。関係者は盗まれた全ての資金を返還することに協力しました。CLSに資金を保有している全てのユーザーは、2025年7月15日21:08:00 UTCの価値に基づいて100%全額補償を受けることができます。請求機能は今後数日以内に開放される予定です。ChainCatcher 以前の報道によると、多資産永続契約プラットフォームCascadeのDiscord管理者MAXはチャンネル内で、Cascade CLS金庫がセキュリティの脆弱性に遭遇し、約130万ドルの資金損失が発生した疑いがあると述べました。現在、プラットフォームは全ての取引と引き出しを停止しており、SEAL 911およびその他の第三者セキュリティチームに調査と処理を依頼しています。

多資産永続契約プラットフォーム Cascade の Discord 管理者 MAX は、チャンネル内で Cascade CLS 金庫がセキュリティの脆弱性に遭遇し、約 130 万ドルの資金損失が発生した可能性があると述べました。現在、プラットフォームはすべての取引と出金を一時停止しており、SEAL 911 およびその他の第三者セキュリティチームに調査と処理を依頼しています。Cascade は Arbitrum USDC または銀行口座を通じて入金をサポートしており、現在は招待制のプライベートテスト段階にあります。

ZetaChainは、AI向けのプライベートメモリレイヤーへの転換に伴い、旧来のクロスチェーンインフラを段階的に閉鎖し、Anumaやユーザー自身のメモリ、アイデンティティ、権限、支払い、代理などの新しい方向に焦点を当てることを発表しました。計画に基づき、ZetaChainは2026年6月1日にプラットフォームのチャージを閉鎖し、最終的な引き出しウィンドウを開放しました。それ以前に、ZetaChainは4月27日に攻撃者によってクロスチェーンメッセージシステムの脆弱性を利用され、3つの内部チームのウォレットから333,868ドルを盗まれました。

慢雾の最高情報セキュリティ責任者 23pds が X プラットフォームで発表したところによると、curl は最近 18 のセキュリティ脆弱性を修正し、認証バイパス、メモリセキュリティ、ホスト検証などの問題が含まれています。その中の 1 つの libcurl の脆弱性は約 25 年間存在していました。リスクは curl コマンドラインに限らず、libcurl に依存するアプリケーション、SDK、コンテナ、ファームウェア、ゲートウェイ、CI/CD 環境にも広く影響を及ぼします。curl/libcurl を早急にアップグレードし、特に mTLS、プロキシ認証、接続再利用のシナリオにおいて古いバージョンの libcurl を使用していないか確認することをお勧めします。

DeFi貸出プロトコルIonic ProtocolはXプラットフォームで発表し、2025年に発生したセキュリティ脆弱性の影響が拡大しているため、プロジェクトはすべての運営を直ちに停止せざるを得なくなり、すべてのユーザーはできるだけ早く各デプロイから資産を撤回する必要があると述べました。Ionic Protocolは、この閉鎖の決定は「選択肢がなかった」と補足し、現在関連サービスは終了プロセスに入っています。

ZEC 財庫会社 Cypherpunkは X プラットフォームで ZEC トークン市場の変動に応じて発表し、すべてのソフトウェアには脆弱性が存在すると述べ、歴史的にビットコインは誤って「多くの」1,840 億 BTC を鋳造したことがあると指摘しました。しかし、これはブロックチェーン技術を放棄すべきだということではなく、形式的検証と証明可能な正確性を通じて安全性を強化すべきだとしています。Cypherpunkは、AI 技術の発展に伴い、脆弱性検出がより迅速かつ広範囲に行われるようになると強調しましたが、重要なのは悪意のある行為者よりも早く問題を発見できる人が誰であるかです。Zcashは、今後発表される更新を通じてこの能力を示すことができます。以前の報道によると、プライバシーコイン ZEC は無限増発を引き起こす可能性のあるセキュリティ脆弱性が発覚し、市場での売りが発生し、コイン価格は一時的に1日で50%以上下落しました。

StablR の公式が X プラットフォームで発表し、傘下のユーロステーブルコイン EURR と米ドルステーブルコイン USDR に影響を与えるセキュリティ脆弱性を特定したことを示し、現在その脆弱性を積極的に制御し、影響を軽減している。ユーザーとユーザー資金の安全を守ることが最優先事項であり、関連問題を確認次第、詳細と今後の対策をできるだけ早く発表する予定である。以前の報道によれば、StablR のステーブルコインは攻撃を受けてペッグが外れ、攻撃者は約 280 万ドルの利益を得た。