プライベートキー

Zilliqaは、Zilliqa Ledgerアプリに深刻な乱数生成の脆弱性が存在し、ネイティブな非EVM Zilliqa取引のSchnorr署名に影響を与えることを発表しました。攻撃者は公開されたチェーン上のデータを利用するだけで、偏りのある一時的な乱数から署名者の秘密鍵を復元することができます。Zilliqa Ledgerアプリを通じて約5件以上のネイティブ取引に署名し、放送したアカウントは、すでに漏洩したと見なされるべきです。関連する署名はチェーン上に永久に記録されているため、後続のアプリ更新でもリスクを排除することはできず、影響を受けた秘密鍵は無効にする必要があります。EVM取引およびzilliqa-js、gozilliqa-sdk、pyzilなどの開発ツールは影響を受けません。脆弱性は、アプリが乱数をコピーする際に誤った32バイトを選択し、8バイトのゼロパディングを保持し、8バイトのエントロピーを失ったことに起因し、各乱数が最大64ビットゼロに固定される結果となりました。攻撃者は、5件以上の影響を受けた署名を利用して、通常のハードウェアで数秒以内に秘密鍵を復元することができます。Zilliqaは7月19日に疑わしい積極的な利用活動を観察し、7月21日に根本原因を確認しました。Zilliqaはさらなる資金損失を防ぐためにネイティブ取引を一時停止し、Ledgerと修正版アプリの準備を進めています。しかし、修正版では既に露出した鍵を保護することはできず、影響を受けたユーザーは現在、自ら資産を移動するべきではなく、公式の調整処理案の発表を待つべきです。

公式の情報によると、ブロックチェーンセキュリティ機関のSlowMistは最近、OKX Walletに対する特別監査を行った安全評価報告書を発表しました。結果は、監査されたバージョンにおいて、アプリが外部サーバーに秘密鍵やリカバリーフレーズなどの敏感情報を送信する行為が見つからず、全体として敏感データの漏洩リスクが検出されなかったことを示しています。今回の評価は、OKX Walletに秘密鍵やリカバリーフレーズの外部送信の問題が存在するかどうかに重点を置いて行われ、その結果、関連する核心情報はすべてローカルで処理されていることが示されました。現在、秘密鍵とリカバリーフレーズの処理方法はウォレットのセキュリティの核心となっており、このような監査結果はユーザーにとってより直接的なセキュリティの参考を提供しています。

AI エージェント開発者 CoinFello は、AI エージェントが MetaMask に安全に接続し、ユーザーの秘密鍵にアクセスすることなくオンチェーン取引を実行できるオープンソーススキル OpenClaw を発表しました。このスキルは MetaMask スマートアカウントスイートに基づいて構築されており、ERC-4337 スマートアカウントと ERC-7710 委任メカニズムを採用しています。ユーザーは AI エージェントに特定のタスクを実行するために必要な最小限の権限を付与でき、既存の AI エージェントウォレットが一般的に直面しているプロンプトインジェクション攻撃のリスクを効果的に回避します。CoinFello の最高技術責任者 Brett Cleary は、「エージェントが意味のある形でオンチェーン経済に参加することを望むなら、秘密鍵を直接渡すよりも優れたセキュリティモデルが必要です。」と述べています。サポートされる機能には、ERC-20 トークンの交換、クロス EVM チェーンブリッジ、NFT インタラクション、ステーキング、貸付およびマルチステップ取引戦略が含まれ、すべて自然言語の指示でトリガーできます。このスキルは MIT ライセンスの下で公開されています。

オンチェーンアナリストのSpecterはXプラットフォームで、IoTeXでプライベートキーの漏洩事件が発生した可能性があり、そのトークンセーフの資産が攻撃者によって全て転送され、累計損失は約430万ドルに達したと発表しました。オンチェーンデータによると、攻撃者は複数のコントラクト資産を移転しました。これにはUSDC、USDT、IOTX、PAYG、WBTC、BUSDが含まれます。その後、盗まれた資産はETHに交換され、そのうち約45枚のETHがクロスチェーンブリッジを通じてビットコインネットワークに転送されました。この事件はまだ確認が進行中です。

Trust Wallet は X プラットフォームでセキュリティ警告を発表し、ユーザーに対して決してリカバリーフレーズや秘密鍵を要求しないことを指摘しました。このような事例があれば、それは Trust Wallet のものではありません。疑問がある場合は、直ちに取引を中止し、公式チャネルを通じて Trust Wallet に連絡してください。以前、Trust Wallet はブラウザ拡張機能の 2.68 バージョンの脆弱性によりセキュリティ事件が発生し、盗まれた資産の総額は約 850 万ドルに達しました。

公式発表によると、Binance ウォレットは「安全自動署名」（Secure Auto Sign）サービスを開始しました：現在、助記詞 / 秘密鍵ウォレットが Binance ウォレット（ウェブ版）での取引をサポートしています。Binance ウォレットアプリまたはブラウザ拡張機能を使用してウォレットに接続し、ワンクリックで SAS を有効にすることで、注文の自動署名や指値注文の使用が可能になります。資産の移動やウォレットアドレスの変更は不要です。

赵長鵬 CZ は X プラットフォームで Onekey 創設者 Yishi の発言に応じて、彼の個人的なハードウェアウォレットのニーズは「プライベートキーはどんな状況でもデバイスから離れてはいけない」ということだと述べました。さらに、CZ はなぜ自らを「専門家ではない」と称するのかについても応え、専門家は漸進的な改善に優れ、何が不可能であるか、すべての潜在的な問題を教えてくれるが、革新的な新しいものを発明することはほとんどないと説明しました。

慢雾余弦は X プラットフォームで、ユーザー Babur が 2,700 万ドル相当の暗号資産を盗まれた事件について発表しました。分析によると、盗まれた資産は主に二つのアドレスに関連しています：Solana アドレス 91xu と Ethereum Safe マルチシグアドレス 0xD2 で、最大の二つの盗まれた資産の総価値は 1,800 万ドルを超えています。ハッカーのアドレスは 71fM（Solana）と 0x4f（Ethereum）で、一部の資金は Ethereum ネットワークにクロスチェーンされています。この事件は、コンピュータがマルウェアに感染したことが原因と疑われており、ユーザーが悪意のあるファイルをダブルクリックして実行した後に秘密鍵が漏洩した可能性があります。Safe マルチシグの二つの署名秘密鍵も感染したコンピュータに保存されている可能性があります。

慢雾の創業者である余弦はツイートで次のように述べています。「NoFxというオープンソースの自動取引システムを使用している友人たちは注意してください。私たちが開示したリスクが実際の盗難事件として現れました。一部のユーザーのウォレットの秘密鍵やCEX/DEXのAPIキーが漏洩しました。リスクを最小限に抑えるために、私たちは関連するセキュリティチームと連携し、影響を受けたユーザーに可能な限り通知を行った後に、この文を発表して詳細を開示します。」

ChainCatcher のメッセージ、暗号 KOL @chaowxyz が Lubian の 12 万枚の BTC がどのように盗まれたかを分析した投稿。簡単に言うと、ビットコインの秘密鍵は 256 ビットの 0 と 1 の組み合わせです。秘密鍵を生成するのは簡単で、コインを 256 回投げて、表と裏を記録します。表が 0、裏が 1 です。これが一つの秘密鍵です。もし二人が投げた結果が完全に同じであれば、彼らは同じ鍵を得ることになります。後の人は前の人の財布を直接開けることができます。しかし、この「運が良い」確率はほぼゼロです。なぜなら、2 の 256 乗という可能性は、宇宙の原子の総数よりも多いからです。重複する確率は極めて低いです。秘密鍵の安全性は運からではなく、数学から来ています。しかし、その背後には一つの前提があります：必ず真のランダムでなければなりません。では、12 万枚の BTC はどうやって失われたのでしょうか。問題は、LuBian マイニングプールが秘密鍵を生成するために使用した乱数生成器にあります------その公平にコインを投げるはずの機械が壊れてしまったのです。それはほぼ無限の可能性の中からランダムに選択するのではなく、まるで詰まった機械のように、常に非常に小さく、規則的な範囲内で番号を選んでいました。ハッカーはこの機械の故障のパターンを発見し、簡単に生成可能な秘密鍵をコピーし、対応する財布をすべて空にしました。

ChainCatcher のメッセージ、オンチェーン探偵の ZachXBT が X プラットフォームで発表したところによると、アメリカ政府が押収を発表した約 12.7 万枚のビットコイン（約 140 億ドル）に対応するウォレットアドレスは、2 年前に安全研究報告（Milky Sad Report）で既に秘密鍵の脆弱性リスクが指摘されていた。ZachXBT は、これらのアドレスが現在アメリカ政府によって「接収され、その管理下にある」と主張されていることに注目している。ユーザーが「より安全なウォレットに移すのか」と尋ねた際、ZachXBT は「可能性は低い、むしろ誰かがアメリカ政府のために『ハッキング』して戻ってきたようだ」と応じた。この発言は、関連する BTC が通常の司法手段で取得されたものではない可能性を示唆している。

ChainCatcher のメッセージによると、CoinDesk が報じたところでは、復活した投資銀行ソロモンブラザーズが、「放棄された」と見なされるビットコインウォレットに OP_Return 通知を挿入するプロセスを完了し、保有者に資産を早急に請求するよう促しました。同社は、8 万 BTC を保有する「1 Feex」ウォレットなど、いくつかの著名なアドレスに通知を送信しました。ソロモンブラザーズは、匿名のクライアントが失われた秘密鍵を持つウォレットの保有者を支援するための特別基金を設立する計画であり、関連の詳細は今後数ヶ月以内に発表される予定です。通知はウォレットの保有者に 90 日の期限を与え、送金またはフォームの記入を通じてウォレットを請求することができます。一部のユーザーは通知に応じて資産を新しいアドレスに移転しました。

ChainCatcher のメッセージ、CryptoQuant の創設者 Ki Young Ju が投稿したところによると、ビットコインのプライベートキーの総数は約 1.1579×10⁷⁷ であり、観測可能な宇宙の原子の数とほぼ同等であり、その暗号的安全性の非常に高い複雑さを際立たせています。

ChainCatcher のメッセージによると、公式の発表で、バイナンスはバイナンスウォレットがプライベートキーのインポートをサポートするようになったと発表しましたが、アプリを 2.96.1 以上のバージョンに更新する必要があります。

ChainCatcher のメッセージによると、Cointelegraph が報じたところでは、Michael Saylor は彼の死後に彼のビットコインのプライベートキーが破棄されることを示唆し、彼のビットコインが決して売却されないことを保証すると述べ、これはすべてのビットコイン保有者への「比例貢献」であるとしています。

ChainCatcher のメッセージ、Alliance DAO の共同創設者 Qiao Wang がソーシャルプラットフォームで投稿し、簡潔で配慮の行き届いたプライベートメッセージを送ることでコールドスタートマーケティングを行うことが、最初の 100-1000 人のユーザーを獲得するための効果的な方法であると述べています。この方法は一見退屈で創造性に欠け、無視されるリスクがあるように思えますが、この戦略はほぼすべてのタイプの製品に適用でき、実際の効果をもたらすことができます。

ChainCatcher のメッセージによると、オンチェーンオプションプロトコル Moby が X で発表したところによれば、ユーザーの資産の安全を守るために、以下のアドレスに関連する有効な承認取引を撤回することを推奨しています：PositionManager: 0xB03E14Eeb1a4B2F95a7e1CBe400BAec3E78d2a1FSettleManager: 0xA62027C5edc68Abc52D3a3BbDd213Fa12457320BsRewardRouterV2: 0x64e1faFA9e9d5F1a7431B886F5Fbff4052c5925dmRewardRouterV2: 0x6881E756EA3322AEAadE0267C2a7FcF2A887ee9AMoby は、これらは予防措置であり、ウォレットの安全を確保するために、現在安定した安全な環境の回復と維持に努めていると述べています。以前、Beosin の監視によると、Moby は私鍵の漏洩の疑いがあり、ハッカーが契約を変更し、emergencyWithdrawERC20 関数を利用して 207 ETH、3.7 BTC、1,470,191 USDC を引き出し、合計約 250 万ドルを取得したとのことです。