セキュリティ監査

公式発表によると、Blockstreamが開発したビットコインサイドチェーンLiquid Networkは、Elements v23.3.4の独立外部セキュリティ監査を開始し、Peg-out操作の回復に追加のセキュリティ検証を提供します。同時に、Liquid FederationはPAKリストの更新を調整しており、既存のキーエントリの置き換えを含み、すべてのPeg-outキーがコールドウォレットに安全に保管されることを確認しています。公式は、今後回復の進捗を発表すると述べています。

XRP Ledger の Batch V1.1 アップグレードは、起動アクティベーションプロセスまであと一票です。RippleX チームは最新のレビューで 11 のソフトウェアバグを修正しました。Batch 機能は、ユーザーが最大 8 件の関連取引を一度の操作に統合できるようにし、例えば二人がトークンを交換する際に、双方の送金が同時に完了することを保証し、一方が支払いを行い、もう一方が失敗する状況を回避します。火曜日のスナップショットでは、このアップグレードは 35 の信頼できるバリデーターのうち 27 の支持を得ており、割合は約 77% です。XRP Ledger の変更には 80% の支持率が必要であるため、現在、1 票のバリデーターの投票が成功か失敗かを決定することができます。さらに 1 票を得ることで、2 週間のアクティベーションカウントダウンが開始されます。支持率は 14 日間この閾値を維持する必要があり、その間、バリデーターは投票を変更できます。以前、研究者たちは元の Batch 提案に脆弱性があることを発見しました。攻撃者は特定の条件下で他人のアカウントを無許可で使用して取引を開始することができ、このバージョンはメインネットには導入されていませんでした。新しいバージョンは xrpld 3.3.0 と共に 8 月 6 日にリリースされ、最新のレビューでは署名、承認チェック、サーバーのクラッシュに関する 11 の問題が発見されました。その中で、セキュリティ会社 Common Prefix によって深刻な脆弱性として評価されたものがあり、攻撃者がユーザーの署名権限を再利用して予期しない取引を実行することを可能にする可能性があります。RippleX は、レビューには 4 名のシニアエンジニア、Halborn および Common Prefix の監査、公開セキュリティコンペティション、そして自動化テストが含まれていると述べ、Batch を使用する商業プロジェクトが契約済みまたは開発中であるとしています。

ブロックチェーンセキュリティ会社Hackenが発表した評価レポートによると、流通中の約半数のUSDT（Tronネットワーク上で約913億ドル）は2-of-3マルチシグ契約によって制御されており、その契約には内蔵された遅延、キャンセルプロセス、または信頼できる取り消しメカニズムがありません。攻撃者は2つの署名キーを突破するだけで、契約の所有権を変更したり、トークンを発行したり、アドレスを凍結したり、凍結された残高をクリアしたり、送金手数料を設定したりすることができ、ユーザーのウォレットに触れる必要はありません。Hackenはまた、TetherがEthereum、Avalanche、Celoの3つのチェーン上で同じ6つの署名キーを再利用していることを発見し、リスクがクロスチェーンで広がる可能性があると指摘しています。同時に、ステーブルコイン評価機関Bluechipは、Tetherの企業評価をDからCに引き上げました。その理由は、KPMGの監査により、2025年12月31日時点でTetherの準備金が負債を68億ドル上回っていることが示されたためです。これはBluechipがHackenの技術リスク分析を取り入れた拡張SMIDGEメソッド論を初めて採用したものです。しかし、HackenはUSDTのネットワークセキュリティスコアを3.3点（満点10点）と評価し、USDTのスマートコントラクトには自動準備金証明のチェックがなく、トークン発行の上限もないことを指摘しました。一度署名者が取引を承認すると、契約は銀行の準備金証明なしに任意の数量のトークンを発行することができます。Hackenは、CircleのUSDCに対する同等の評価はまだ完了していないと述べており、Bluechipが以前にUSDCに与えたB+評価は旧方法論に基づいているため、技術的な比較として直接使用することはできません。

暗号財布プロジェクト SafePal は、安全事件の進展を発表し、フィッシングサイトや偽アカウントの追跡を継続していることを示し、専門の反フィッシングセキュリティ会社を導入する計画を立てており、悪意のある情報の削除処理を加速し、ユーザーの資産の安全を守ることを目指しています。SafePal は、現在4社の専門反フィッシングセキュリティ会社の中から最終選考を行っており、パートナーを選定後、偽サイトや詐欺アカウントなどの脅威への対応効率をさらに向上させると述べています。チームは、影響を受けたデータが販売または公開されているかどうかを、ダークウェブフォーラムや取引市場などのチャネルを通じて継続的に監視しています。関連データの漏洩の兆候が発見された場合、影響を受けたユーザーには最初にリスク警告が届きます。セキュリティ監査に関して、SafePal は、3社の成熟した独立したセキュリティ機関の中から最終選択を行っており、注文システムに対して包括的なセキュリティ審査を実施します。同時に、チームは、システムの初期段階で必要なデータの保存規模を減らすために、注文および物流プロセスを再評価しています。影響を受けたユーザーに対して、SafePal は公式サポートチャネルを通じて一対一の支援を提供し続け、詐欺防止ページを継続的に更新し、事件の進展、よくある質問、および詐欺事例の分析を提供すると述べています。SafePal は再度ユーザーに注意を促します：公式は決してユーザーに助記詞（Seed Phrase）を提供するよう要求しません。ユーザーは誰にも助記詞を漏らさず、未知のQRコードをスキャンしたり、疑わしいリンクをクリックしたりせず、公式チャネルを通じて情報の出所を確認するべきです。

ブロックチェーンセキュリティ監査プラットフォームの Sherlock は、本日 Sherlock Audit Engine のリリースを発表しました。このエンジンは、現在最も強力な AI セキュリティ手法を統合した協調レビュープロセスを提供し、AI ネイティブセキュリティ監査の新しい段階を開くことを目的としています。Sherlock は、チームが非公開環境で数ヶ月間このエンジンを構築し、高リスクコードに対してテストを行ってきたと述べています。Audit Engine は正式に稼働を開始し、スマートコントラクトなどのコードに対して協調型 AI セキュリティ監査を実施できます。

Zcashの創設者Zooko Wilcoxは、Zcashユーザーを保護するためにAnthropicに感謝の意を表明しました。Shielded Labsの要請に応じて、彼らはMythosを使用してZcashのセキュリティ監査を行い、その結果、Zcashプロトコル内に他の重大な脆弱性は見つかりませんでした。Shielded Labsおよび他のチームは引き続きセキュリティ強化作業を進めており、今後更新を発表する予定です。

Zcash コア開発者の Sean Bowe は、Ironwood アップグレードの進捗を更新する投稿を行い、過去 48 時間内に各組織のプロトコル開発者が 2 回の会議を開催し、Ironwood の複数の仕様および実装の詳細について合意に達したことを述べました。これには、Coinbase の取引における Orchard プールのバンドルを無効にすること、ハードウェアウォレットの移行認証データとしてのアンカーの使用、ZIP と仕様の処理順序などが含まれます。現在、Ironwood 回路と ZIP 2005 統合草案がレビュー中です。Valar Group はテストネットの構築を完了し、一部のウォレット側の変更を実施しました。一方、形式的検証作業は引き続き進行中で、開発チームは明日会議を開催し、最終的な検証戦略を決定する予定です。さらに、少なくとも 3 つの主要な監査機関が Orchard に対するセキュリティ監査を行っており、複数の AI 監査ツールも同時に使用されています。Sean Bowe は、現在全体の開発進捗は順調であると述べています。

ビットコイン TAP プロトコルエコシステムプロジェクト BIT (@dmt_bit_) が新しいロードマップを発表し、「ビットコインセキュリティバジェットレイヤー」のストーリーに焦点を当て、トークンのブロックごとの発行が直接ビットコインマイナーに流れるようにし、マイナーへの補助金の新しい供給源とすることを発表しました。BIT チームは、TAP プロトコルが現在 $NAT のみがマイナー補助金メカニズムを享受しており、このメカニズムがプロトコルのソースコードにハードコーディングされていることを明らかにしました（dmt-nat トークンのみに有効）他の DMT プロジェクトは使用できません。TAP プロトコルは現在まで第三者のセキュリティ監査を公開していません。BIT は TAP にコードアップグレード提案を提出し、このメカニズムをすべての DMT トークンが使用できるように開放することを希望しましたが、TAP の公式に拒否されました。ロードマップによれば、BIT は次に TAP フォークに基づいて新しいプロトコルを自主開発する予定です------任意の DMT トークンのデプロイメント側は、単一のインスクリプションを通じてトークンの発行ルールとマイナーへの配布方法（マイニングプールの重み付けによる配布、独立マイナーの賞金累積、混合配布など）をカスタマイズでき、もはやプロジェクトのハードコーディングされた特権を設定しません。新しいプロトコルのメインネットは、第三者のセキュリティ監査を完了する前に立ち上げられます。$BIT は新しいプロトコルのネイティブトークンとして機能し、プロトコルエコシステムの発展は引き続き $BIT に力を与えます。

Aave Labs は Aave V4 のセキュリティフレームワークを発表し、「セキュリティ優先」の開発モデルを提案しました。これは、アーキテクチャ設計段階でセキュリティ検証を組み込むものであり、単にローンチ前に最終監査を行うのではありません。このセキュリティプランは約1年間続き、累計で約345日間のセキュリティレビューを完了しました。資金は Aave DAO によって承認された150万ドルのセキュリティ予算から提供されています。V4 のセキュリティプロセスは、形式的検証、人工監査、不変性テスト、ファジング（fuzzing）、および公開セキュリティコンペティションなどの多層監査方法を組み合わせています。今後のプロトコル開発では、開発初期に形式的検証を導入し、多層セキュリティ監査方法を実施し、継続的な検証メカニズム、長期的なバグバウンティプログラム、AIを活用したスマートコントラクトのセキュリティスキャンなど、5つの長期的なセキュリティ対策を引き続き採用していく予定です。

公式の発表によると、Aave LabsはAave V4のセキュリティプログラムに関する完全な透明性レポートを公開しました。このレポートには、方法、プロセス、結果などが含まれており、Trail of Bits、Blackthorn、Certoraなどの複数のセキュリティ機関が共同で支持しています。手動監査、形式的検証、不変テスト、ファジング、公開セキュリティコンペティションを通じて、約345日間のセキュリティレビューが行われました。このプログラムは、DAOによって承認された150万ドルの専用セキュリティ予算によって支えられています。Aave Labsは、Aave V4セキュリティプログラムから5つのコアコミットメントを継続することを発表しました：初期開発段階に形式的検証を組み込み、アーキテクチャ設計が安全な方法論に基づいていることを確認する；手動レビュー、形式的検証、不変テスト、AI支援チェック、ファジング、公開セキュリティコンペティションを含む層状のセキュリティアプローチを採用し、より多くの潜在的な脆弱性をカバーする；継続的なセキュリティカバレッジを維持し、形式的検証フレームワークと不変テストスイートはプロトコルの反復に伴って継続的に実行される；長期的な脆弱性報奨金プログラムを設立し、より広範なセキュリティコミュニティを利用して継続的な監視を提供する；そして、AIスキャン能力を最適化し、既存のテスト経験に基づいて将来のバージョンのスマートセキュリティ検出レベルを向上させる。

全球をリードするフルスタックWeb3セキュリティ会社ExVulは、高性能金融ブロックチェーンPharosと長期的な戦略的パートナーシップを結び、125万ドルのセキュリティ監査グラントを共同設立し、Pharosエコシステム内の初期スタートアップチームの発展を支援します。このグラントは、Pharosインキュベーターの初期プロジェクトを対象としており、コアスマートコントラクトおよび重要なシステムモジュールの完全なセキュリティ監査サービスを提供し、資金と継続的なセキュリティアドバイザーのサポートも行います。PharosとExVulの協力は、その専門能力に対する高い信頼を十分に示しており、両者のエコシステムの長期的な構築における緊密な結びつきをも表しています。この協力を通じて、ExVulはPharosの初期プロジェクトに持続可能で安全、かつコンプライアンスのあるインフラを構築し、エコシステムの長期的な発展の基盤を固めます。

据 Cointelegraph 报道，Bitcoin Core 通过了其首次第三方安全审计，审计结果证实，保障比特币网络安全的这款软件已高度成熟，未发现任何严重漏洞。此次审计由法国安全公司 Quarkslab 开展，受开放源代码技术改进基金（OSTIF）委托，代表 Bitcoin Core 开发资助组织 Brink 实施。在 5 月至 9 月为期 104 天的审计期间，审查人员对项目中最敏感的组件进行了评估，尤其关注 P2P 层和区块验证逻辑。报告指出，尽管 Bitcoin Core 的代码库规模庞大，包含超过 20 万行 C++ 代码和 1200 多个已部署的测试用例，但审计人员评估认为其"最为成熟且经过充分测试"。团队未发现任何高严重性或中严重性漏洞，仅发现两个低严重性问题，以及一系列主要与模糊测试工具和测试覆盖率相关的改进建议。这些发现均未对共识机制、抗拒绝服务能力或交易验证产生任何影响。

ChainCatcher のメッセージ、GMGN は X プラットフォームで投稿し、最近のプラットフォームがハッキングされ、ユーザーの資金が失われたという虚偽の噂に対して、チームは直ちに全面的なセキュリティ監査を開始し、プラットフォームに安全上の問題がないことを確認し、ユーザーの資金は完全に安全であると述べました。GMGN は常にユーザーの安全を最優先に考えており、疑問がある場合は公式カスタマーサポートチャネルを通じて相談できると述べています。

ChainCatcher のメッセージ、UXLINK は UXLINK トークン契約の移行に関する最新の進展を発表しました：現在、UXLINK トークンには無許可の増発行為が存在しており、これは UXLINK ホワイトペーパーの内容に反し、コミュニティの合意を損なっています。計画されているトークン交換について、主要な CEX パートナーとコミュニケーションを取り、彼らは全力でサポートする意向を示しています。新しいスマートコントラクトが安全監査のために提出されました。この新しい契約は固定トークン供給量を設定し、追加のトークンが増発されないことを保証します。同時に、通常はクロスチェーンソリューションに使用され、コミュニティの利益を保護することを目的とした増発-焼却機能が廃止されました。また、韓国デジタル資産取引所協会 DAXA からの問い合わせに応じており、安全専門家パートナーと共同で包括的な事件報告書を作成する予定です。以前、UXLINK はマルチシグウォレットがセキュリティの脆弱性に遭遇し、資金が不正に移転されたと述べていました。

ChainCatcher のメッセージによると、The Block が報じたところでは、イーサリアム財団が Fusaka アップグレードのセキュリティ監査コンペティションを開始し、賞金は最大 200 万ドルです。この4週間の監査は Sherlock プラットフォームが主催し、Gnosis と Lido が共催しています。目的は、ローンチ前に潜在的な脆弱性を発見することです。Fusaka アップグレードには約 12 の EIP が含まれており、主にセキュリティ、スループット、効率の向上に焦点を当てています。その中で「ノードデータの可用性サンプリング」は、分散ノード間のデータチェックを行い、Rollups の容量を拡大します。コンペティションには報酬倍増メカニズムが設けられており、第一週は 2 倍、第二週は 1.5 倍です。このアップグレードは 2025 年第4四半期にメインネットにデプロイされる予定ですが、財団の執行責任者 Tomasz Stańczak は、調整が不十分な場合、スケジュールが遅れる可能性があると述べています。

ChainCatcher のメッセージによると、The Block の報道では、Arbitrum 財団がネットワーク上のブロックチェーンプロジェクトのセキュリティ監査プログラム「Arbitrum Audit Program」に対して、1400 万ドル相当の ARB トークンを補助する計画を立てているとのことです。ArbitrumDAO の提案が承認されると、このプログラムは 12 ヶ月以内に 3000 万の ARB トークンを配布する予定です。