リポジトリ

DeepSeek Harness の公式デスクトップ版が公式リポジトリのメインブランチに登場しました。このデスクトップ版は Electron に基づいており、既存の Harness Web UI を独立したアプリにしています。ユーザーは自分で Web サービスを起動する必要がありません。コードには macOS と Windows のインストーラーパッケージのビルド、署名、公証、自動更新、アップロードプロセスが含まれています。更新の配信先は download.deepseek.com です。最近のコミットはパッケージング、公証、起動の復元などの問題を修正しています。公式のリリース日についてはまだ発表されておらず、GitHub Release にはインストーラーパッケージもありません。

慢雾セキュリティチームは最近、「Qwen 3.8 27B ローカル量子モデル」を偽装した悪意のあるGitHubリポジトリを発見したと発表しました。このリポジトリは、モデルファイルが16GBを超えるべきだと主張していますが、実際にダウンロードされる内容は約487KBで、偽装ファイル、LuaJITインタプリタ、及び難読化されたLuaスクリプトが含まれています。慢雾は、Qwen公式プロジェクトが侵害されていないことを強調しています。慢雾の分析によると、この悪意のあるプログラムが実行されると、ホスト情報を収集し、スクリーンをキャプチャして攻撃者のC2サーバーに送信します。ハードコーディングされたサーバーが無効になると、Polygonチェーン上の契約からバックアップC2アドレスを読み取ります。攻撃者はチェーン上の取引を通じてインフラを切り替えることができます。その後のペイロードは、ブラウザのログイン情報、Cookie、履歴、メール、WinSCP、Steamの認証情報、及び暗号財布に関連するファイルや拡張データを盗むことができます。慢雾はまた、少なくとも23のGitHubリポジトリと29の類似の圧縮パッケージが同じLuaデリバリーチェーンを使用していることを発見しました。

The Block の報道によると、ニューヨークに上場している金融テクノロジー企業 Broadridge は、その分散型台帳リポジトリ（DLR）プラットフォームが7月に処理した取引額が8兆ドルを超え、日平均約3,650億ドルで、前年同期比28%の増加を記録したと発表しました。DLR は、企業が既存の取引および取引後の環境で分散型台帳技術を使用してリポジトリ取引を決済し、リアルタイムの資金調達とトークン化された担保の流動性を実現することを可能にします。さらに、Broadridge はオンチェーンの代理投票およびガバナンスサービス、ならびにデジタル資産インフラストラクチャの管理も提供しています。

Decrypt の報道によると、あるボランティアセキュリティチームが最先端の人工知能モデルを使用して 150 のビットコインコードリポジトリをスキャンし、十数の脆弱性を発見したと述べています。このチームは、ウォレット、暗号ライブラリ、インフラストラクチャ、その他のビットコインプロジェクトを対象とした複数の AI ベースのレビューシステムを構築しています。チームのメンバーは、現在平均して各自が毎時約 1 つの重大な脆弱性を発見できると述べており、過去 12 時間で複数のプロジェクトにセキュリティレポートを提出したが、具体的に影響を受けたプロジェクトはまだ公開されていないとしています。

Bitcoin News は X プラットフォームで、ボランティア組織 Bitcoin Red Team が 150 のコードリポジトリをスキャンし、十数の脆弱性を非公開で開示し、COLDCARD 脆弱性事件後にウォレット、暗号ライブラリ、インフラストラクチャの強化プロセスで重要な問題を発見したと述べています。この作業には約 2 万ドルの AI 計算コストがかかり、OpenSats が負担しています。研究者たちは複数の AI ツールを使用しており、多くの人々が Kimi K3 などのオープンソースモデルがセキュリティ研究の主要なツールになっていると述べています。一方、OpenAI や Anthropic などの最先端のクローズドソースモデルは、このような分析においてより多くの制限があると見なされています。このチームは、自身の AI セキュリティツールをオープンソース化し、プロジェクトが自らのコードリポジトリを継続的に監査できるようにする計画です。研究者たちは、ビットコインが AI 支援の脆弱性発見の波に直面する最初の業界である可能性があり、同様の作業がその後すべてのオープンソースソフトウェアに拡大する可能性があると警告しています。

慢雾 SlowMist は安全警報を発表し、協調的な悪意のある npm サプライチェーン攻撃を監視しました。攻撃者は偽の取引ボットリポジトリと DeFi テーマの npm パッケージを利用して JavaScript 情報窃取器を投下し、ターゲットは npm ユーザー、DeFi 開発者および取引ボットユーザーです。今回の攻撃には 30 の悪意のある npm パッケージが関与しており、その中の [email protected] が donoaccestag/forex-mt5-trading-bot リポジトリにロック依存関係として現れています。このリポジトリは約 2300 の高度に同質化されたバルク生成フォークを呈示しており、大部分は poly-stocks アカウントに集中しています。信号は異常に明確です。攻撃者が窃取できる敏感データの範囲は非常に広く、暗号ウォレットライブラリ、ブラウザの Cookie と保存されたパスワード、ブラウジング履歴、開発者の資格情報、Shell の履歴、パスワードマネージャーライブラリ、秘密鍵、助記詞およびソースコードに露出した API トークンが含まれます。慢雾は開発者に対し、影響を受けた npm パッケージを直ちに削除し、package.json と package-lock.json および CI ログに 30 の悪意のあるパッケージのいずれかが含まれていないか監査することを推奨します。また、npm install を実行したシステムは侵害されている可能性があると見なし、すべての露出したウォレット、秘密鍵、npm トークン、クラウド資格情報、SSH キーおよび API トークンをローテーションし、クリーンなイメージから影響を受けた環境を再構築することを推奨します。

慢雾の最高情報セキュリティ責任者23pdsが発表したところによると、研究者が「Cordyceps」と呼ばれるCI/CDの高リスクを暴露しました。Microsoft、Google、Apache、Cloudflareなどの主要企業のオープンソースリポジトリがすべて実際に被害を受けています。攻撃者は企業アカウントやシステム権限を必要とせず、無料のGitHubアカウントを登録するだけで、悪意のあるPRを提出し、コメントを残すことで承認を偽造し、サーバーキーを盗み、悪意のあるコードをプッシュし、企業のコードリポジトリを完全に掌握することができます。

慢雾 SlowMist は安全警報を発表し、@redhat-cloud-services に関連するソフトウェアパッケージをターゲットとした活発な npm サプライチェーン攻撃を検出しました。現在、31以上のパッケージが影響を受けていることが確認されており、週のダウンロード数は約 116,000 回、300 以上の GitHub リポジトリに盗まれた認証情報が存在します。この攻撃手法は以前の "Shai-Hulud" npm 攻撃と非常に類似しており、認証情報の窃取、悪意のあるリポジトリの作成、自動化された秘密の漏洩が含まれます。現在も新たな疑わしいリポジトリが継続的に出現しており、攻撃が続いていることを示しています。開発者は引き続き感染しています。潜在的な危害には、GitHub/npm トークンの盗難、AWS/GCP/Azure クラウド認証情報の漏洩、SSH キーと Kubernetes 秘密の収集、ローカル環境およびウォレットデータの漏洩、悪意のあるリポジトリの作成および持続的な操作、さらにはトークンが取り消された後に破壊的な行動を引き起こす可能性があります。影響を受けた @redhat-cloud-services パッケージのバージョンを直ちに削除またはダウングレードし、CI/CD ワークフローと依存関係のインストールを全面的に監査し、すべての GitHub、npm、クラウドサービス、SSH およびウォレット関連のキーをローテーションし、ログを保持し、クリーンなイメージから露出した開発者マシンまたは Runner を再構築し、常に高い警戒を維持することをお勧めします。

安全会社 Socket Security は、TrapDoor と呼ばれる暗号通貨窃盗活動が npm、PyPI、Crates.io などのソフトウェアパッケージリポジトリで積極的なサプライチェーン攻撃を開始していることを明らかにしました。現在、34 の悪意のあるパッケージと 384 のバージョンおよびコンポーネントが発見されており、攻撃者は各エコシステムに新しいバージョンを継続的にプッシュしています。TrapDoor は主に暗号通貨、DeFi、AI、セキュリティ分野の開発者をターゲットにしており、ウォレット、SSH キー、クラウド認証情報、GitHub トークン、ブラウザデータ、環境変数、API キーを盗みます。Socket が検出した悪意のあるバージョンの中央値検出時間は 5 分 27 秒で、最も早い検出はリリース後 58 秒で発生しました。

Forbes の報道によると、Hyperliquid のネイティブトークン HYPE は 62 ドルを超える歴史的高値に達しました。市場は一般的に、最初の米国現物 ETF の上場による機関資金の流入に起因していると見ていますが、分析によれば、実際に価格を動かしているのはプロトコルに組み込まれた継続的な買い戻しメカニズムです。

GoPlusの監視によると、ハッカーグループTeamPCPはGitHub内部の約4000のプライベートリポジトリからソースコードを入手したと主張し、地下フォーラムで5万ドルで販売するとしており、サンプルの検証もサポートしています。誰も購入しなければ、今後このデータが無料で公開される可能性があります。以前の報道によれば、GitHubの公式は今回の「内部リポジトリへの未承認アクセス」問題を調査中であり、GitHubの従業員のデバイスに悪意のあるVS Code/AI Codingプラグインがインストールされている疑いがあります。

GitHubが公開した内部コードリポジトリの未承認アクセス事件について、赵长鹏は次のように警告しました："コードにAPIキーが含まれている場合、プライベートリポジトリにあっても、直ちに再確認し、交換するべきです。"

GitHub の公式発表によると、内部コードリポジトリへの不正アクセス事件を調査中です。GitHub は、現在のところ、GitHub プラットフォーム外に保存されている顧客の企業、組織、またはコードリポジトリのデータが影響を受けているという証拠はないと述べていますが、さらなる異常活動が発生しないようにインフラを継続的に監視しています。GitHub は、今後ユーザーデータやサービスに影響があることが確認された場合、既存の事件対応および通知チャネルを通じて顧客に通知すると述べています。

オープンソースデータ可視化ツールGrafanaはXプラットフォームで発表し、最近、無許可の攻撃者がGrafana Labs GitHub環境にアクセスできるトークンを取得し、それを利用してコードリポジトリをダウンロードしたことを発見したと述べています。調査の結果、この事件は顧客データや個人情報の漏洩には関与しておらず、顧客システムやビジネス運営に影響があったことも確認されていません。事件発生後、直ちに証拠分析が開始され、認証情報の漏洩源を特定したと考えられています。また、環境の防護を強化するために追加のセキュリティ対策が講じられました。さらに、Grafanaは攻撃者がコードリポジトリの公開を阻止するために身代金を要求しようとしたことを明らかにしましたが、会社は最終的に身代金の支払いを拒否し、調査が終了した後にさらなる事件の振り返り情報を公開することを決定しました。

Sky Protocol は X プラットフォームで発表し、先週 190 万 USDS を投じて 2952 万 SKY を買い戻したと述べました。この計画が始まって以来、累計買い戻し額は 1.04 億 USDS を超えています。

慢雾科技首席情報セキュリティ責任者 23pds はソーシャルメディアで次のように発表しました。「慢雾の分析によれば、Trust Wallet に関連する開発者のデバイスまたはコードリポジトリが攻撃者に制御されている可能性があると考えられます。関連する人物のデバイスを早急にネットワークから切断し、調査してください。」以前の情報によれば、Trust Wallet のハッカーは600万ドル以上の暗号資産を盗んでいます。

ChainCatcher のメッセージ、ai16z の創設者 Shaw が X プラットフォームで投稿し、Eliza v2 は現在プライベートリポジトリで開発中であり、一部のユーザーがアクセス権を得ています。詳細が整い次第、メインリポジトリに統合され、すべてのクライアントとプラグインの移行が始まります。大量のテストとコミュニティからのフィードバックが必要なため、現在のブランチは約 2 か月後に置き換えられる予定です。v1 バージョンが主に個人によって開発されたのに対し、v2 コアバージョンは内部および外部のチームによって共同開発されています。

ChainCatcher メッセージ、ビットコイン拡張ソリューション Fractal Bitcoin の創設者 Lorenzo は X に投稿し、StarkWare エコシステムの責任者が以前に Fractal Bitcoin に安全上の問題があるかもしれないというツイートに対して次のように述べました：「これらの脆弱性を発見してくれてありがとう。Docker リポジトリ（bitcoin.conf ファイルを含む）は、内部の迅速なテスト目的のみに使用されます。先月の最後のテストネット期間中に削除されるべきでした。私たちは fractald-docker ディレクトリから bitcoin.conf ファイルを削除しました。この Docker 設定を使用して迅速なテストを行いたい場合は、自分で設定ファイルを生成してください。最新のリリースバージョンは v0.2.1 であり、変更はありません。」以前のメッセージ、StarkWare エコシステムの責任者は X プラットフォームで Fractal Bitcoin に安全上の問題があるかもしれないと述べました。

ChainCatcher のメッセージ、イーサリアム L2 ネットワーク Linea がツイートし、チームが第一段階のすべてのコードリポジトリのオープンソース化を完了し、ユーザーがコードを閲覧、フォーク、修正する自由を持つことを保証した。この段階のもう一つの進捗は「zkEVM アルゴリズムにおける 100% EVM カバレッジの実現」です。公式はすべての EVM 演算コードとプリコンパイルの計算証明を生成し、すべてのユースケースに対して信頼を必要としない実行を解放します。さらに、計算の仕様は公開され、監査され、脆弱性報奨金が開放され、システムの安全性と信頼性を向上させます。

ChainCatcher のメッセージによると、Spot On Chain の監視により、進行中の第 24 回の焼却活動の一環として、OKX の買い戻しおよび焼却ウォレットが過去 2 時間で 573 万枚の OKB（2.59 億ドル）を受け取ったことが確認されました。2019 年 5 月 15 日以降、OKX チームは合計 9792 万枚の OKB（現在の価値は 44.2 億ドル）を買い戻し、3 か月ごとに焼却しています。