悪用

Decrypt の報道によると、Google は Chrome ブラウザの中でハッカーに利用された高危険度の脆弱性 CVE-2026-85046 を修正しました。この脆弱性は V8 エンジンに存在し、JavaScript と WebAssembly を実行するために使用されます。Google はこの脆弱性が実際に悪用されていることを確認しましたが、攻撃者の身元、ターゲット、または脆弱性の具体的な利用方法については明らかにしていません。パッチは Chrome 152.7977.82/83 バージョンに含まれており、今後数日または数週間以内に配信される予定です。この脆弱性はセキュリティ研究者 Salvatore Gulizia によって 8 月 4 日に報告され、Google は彼に 1,000 ドルの脆弱性報奨金を授与しました。今回の更新には合計 12 件のセキュリティ修正が含まれており、そのうち 9 件は高危険度、2 件は中危険度です。Google はこの脆弱性を暗号資産の盗難事件と関連付けていませんが、ブラウザのウォレット、取引所アカウント、取引拡張機能は以前に他の方法で攻撃のターゲットとなっていました。

Enjin の ERC-1155 "Crypto Items" は、各アイテムが専用のアイテムアダプターを通じて転送されることを許可します。攻撃者は悪意のある転送アダプターを登録し使用し、所有者の承認チェックをスキップして、脆弱なコントラクトが承認なしで transferFrom を通じて約 52 の無関係な保有者のウォレットから ENJ サポートのアイテムを引き出すことができます。その後、攻撃者は盗まれた各アイテムに対して melt() を呼び出し、プラットフォームの準備金から各アイテムがサポートする 500 枚の ENJ と引き換えます。

8月21日、OpenAIはCodexの使用量制限の違いについて応答し、コミュニティとコミュニケーションを取る前に関連ルールを勝手に変更することはないと述べました。公式調査によると、影響を受けたユーザーの多くはsub2apiを通じてサブスクリプションをAPIトラフィックに変換し、再配布して共有しているため、このような行為は詐欺防止システムにマークされることになります。OpenAIは、ChatGPTでサインインして公式またはOSSクライアント（例えば、Pi、OpenCode）でサブスクリプションを正常に使用する場合、全く問題ないと指摘しました。

オランダ国家サイバーセキュリティセンター (NCSC-NL) の確認によると、攻撃者は macOS の画面共有機能における深刻な認証の脆弱性 CVE-2026-65400 を利用して、インターネットにさらされた Mac デバイスに対して攻撃を仕掛けています。この脆弱性の CVSS スコアは 9.8 で、攻撃者は有効な認証情報なしで認証をバイパスし、システムの Root 権限を取得できます。NCSC-NL は、複数の積極的な利用報告を受け取ったと述べており、影響を受けたデバイスの 5900 ポートはインターネットから直接アクセス可能です。現在確認されているケースでは、攻撃者はすべて Root 権限を取得し、感染した Mac デバイス上にモネロ (XMR) マイニングプログラムを展開しています。Apple は最近、macOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9 を通じてこの脆弱性を修正しました。Security Affairs は、画面共有を有効にしていてシステムをまだ更新していないユーザーは、できるだけ早くアップグレードを完了するように警告しています。もし一時的に更新できない場合は、画面共有機能をオフにして、5900 ポートをインターネットにさらさないようにするべきです。

Bitcoin NewsはXプラットフォームで、BTCPay Serverが深刻な脆弱性が悪用されている可能性があり、資金の損失を引き起こす可能性があると述べています。ユーザーは直ちにBTCPay Server v2.4.2に更新するべきです；すぐに更新できないユーザーは、未承認のアクセスを防ぐために、更新がインストール可能になるまでBTCPay Serverを閉じるべきです。

Summer.fiはLazy Summer Protocol USDC金庫攻撃事件分析報告を発表しました。攻撃者は単一の原子取引で2つのUSDC金庫のシェア価格を操作し、約604万ドルの預金者資金を引き出しました。攻撃の核心は金庫資産の純資産価値（NAV）の計算方法にあります。攻撃者は2025年11月の事件後に一時停止されたがまだ完全に削除されていないSilo Arkに、旧来の評価を保持しているトークンを寄付し、金庫の総資産が約9.5%虚増し、シェア価格が引き上げられ、その後高騰した価格で償還し、金庫の実際の流動性から資金を引き出しました。報告書は、この攻撃は契約コードの脆弱性によるものではなく、金庫のオフラインプロセスにおける段階の欠如によるものであると強調しています------そのArkの預金上限はゼロに設定されていましたが、依然として活発な資産集中においてNAVに計上されていました。攻撃者は3ヶ月前に複数のウォレットを通じて必要なトークンを計画的に蓄積し、一部の利益をTornado Cashを通じて移転しました。事件発生後、Guardian Multisigはすべてのオンチェーン金庫を一時停止し、預金上限をゼロに設定しました。Lazy Summer DAOは今後数日間で影響を受けたユーザーへの補償プランおよび金庫再起動計画について議論します。

Bitcoin Newsによると、Anthropicの共同創設者兼CEOであるDario Amodeiは、アメリカ合衆国議会で立法者に対し、オープンソースAIの発展が「非常に危険な道」に入っていると述べました。強力な能力を持つAIモデルがオープンソース形式で公開されると、開発者はモデルの使用状況に対する有効な監視能力を失い、悪用行為の監視、アクセス権の撤回、または安全防護メカニズムの動的更新ができなくなり、潜在的なリスクが増大します。Dario Amodeiは、閉じたモデル体系と比較して、完全にオープンなモデルは安全ガバナンスにおいて持続的な制御を実施することがより難しく、取り返しのつかない悪用の危険をもたらす可能性があると述べました。

Aztec Labsは、2021年に発売され、現在は廃止されたAztec Payments製品に関連する疑わしい利用事件を調査していると述べています。約200万ドルが関連する不変スマートコントラクトから転送されました。

河北高院は違法な資金集めの典型的なケースを発表しました。ある男性が「メタバース」の概念を使って投資プロジェクトを包装し、一般の人々に「逸尚联合社区」傘下の「Newmateworks」プラットフォームの仮想商品投資プロジェクトを宣伝し、群衆を投資に誘導しました。直接的に19名の投資家にプラットフォームに1,539.36万元を投入させ、そのうち110.14万元が返還され、まだ1,429.22万元が返還されていません。裁判所は、本件は「メタバース」などの新興技術概念を隠れ蓑として詐欺的なマーケティングを実施し、国家の金融管理法規に違反しており、金額が巨大であるため、行為は違法な公衆預金の吸収罪を構成すると判断し、陳某に対して懲役5年4ヶ月及び罰金を科しました。

Cointelegraph の報道によると、Anthropic は Claude Mythos モデルの最初の公開バージョン Fable 5 をリリースしました。内蔵の安全バリアがあるにもかかわらず、暗号ユーザーはそれが悪意のある目的に使用される可能性を懸念しています。このモデルは以前に「システム上重要なソフトウェア」で 1 万件以上の高リスクの脆弱性が発見されています。Anthropic は、Fable 5 が一般的な用途に対して安全に準備されており、バリアがサイバーセキュリティなどの話題を他のモデルにリダイレクトすると述べています。Moonrock Capital の創設者 Simon Dedic は、Fable 5 を利用してスマートコントラクトの脆弱性を見つけるコストとスキルの要件が「基本的にゼロに近づく」と警告しました。監査されていないプロトコルは標的となり、既知の脆弱性が繰り返し悪用されることになります。彼はユーザーに対して、ウォレットの権限を取り消し、資産をプロトコルから移動し、新しいハードウェアウォレットに転送することを提案しました。Curve の共同創設者 Michael Egorov は、脅威が誇張されていると考えており、スマートコントラクトのコード量は数千行に過ぎず、人間と従来の AI は十分に推論できると述べています。真のリスクは操作の安全性とサプライチェーン攻撃にあるとしています。

DragonflyのパートナーであるHaseebは、最近修正されたZcashの脆弱性についてツイートで明確にしました。彼は、この脆弱性が修正される前に利用された場合（確率は非常に低いですが）、プライバシープールが偽のZECを鋳造する形で現れると述べました。攻撃者は迅速に売却する必要がありますが、市場では主に透明なZECが取引されているため、解読されていないプライバシーZECを主流の取引所で直接売却することはできません。したがって、損失は主にプライバシーZECを保有しているユーザーが負担し、透明なZECの保有者や価格発見にはほとんど影響を与えません。Haseebは、Zcashチームが次回のアップグレードで新しいターンスタイルメカニズムと全く新しいプライバシープールを導入し、プライバシープールが膨張していないことを検証することを強調しました。彼はまた、形式的検証技術に期待を寄せており、これは全業界のソフトウェアセキュリティを向上させるための重要な道であり、特にプライバシー協定にとって重要であると考えています。

Transit Financeの発表によると、このプロジェクトは最近安全事件が発生しました。その原因は、TRONに早期に展開され、2022年に廃止された旧版スマートコントラクトに歴史的な脆弱性が存在し、それが利用されたため、少数のユーザーに影響を与えました。チームは、問題を発見した後、緊急に調査、隔離、修正を完了したと述べており、5月12日にさらに監査と是正を行いました。現在使用されているコントラクトのバージョンは影響を受けておらず、安全に4年以上稼働しており、引き続き安全監査と監視を受けています。Transitは、影響を受けたユーザーには全額賠償が行われると述べており、具体的なプランは公式チャネルを通じて発表されるとしています。また、ユーザーに対して公式のメッセージを偽装したものに注意し、秘密鍵やリカバリーフレーズを漏らさないように警告しています。

市場の情報によると、攻撃者は欠陥のある EIP-7702 アカウントを利用して、QNT 備蓄プールから 1,988.5 QNT（約 54.93 ETH）を盗みました。根本的な原因は、備蓄プールの管理者 EOA が EIP-7702 を通じてコードを BatchExecutor コントラクトに委託し、そのコントラクトが権限のない BatchCall コントラクトを承認された呼び出し元として設定したことです。BatchCall.batch() 関数には権限検証が設定されていないため、任意の外部呼び出し者が呼び出すことができ、最終的に備蓄プールの資産が枯渇する結果となりました。

去中心化予測市場プラットフォーム Polymarket がハッキングされた疑いがあり、脅威行為者 xorcat が有名なネット犯罪フォーラムに30万件以上のデータ記録と関連する脆弱性利用ツールキットを公開しました。攻撃者は、未公開のAPIエンドポイント、ページングバイパス、Polymarket GammaとCLOB APIのCORS設定ミスを通じてデータを抽出したとされています。漏洩した内容には、1万件のユーザーの完全な個人情報（名前、代理ウォレット、基本アドレスを含む）、4111件のコメント、1000件の通報記録（58のETHアドレスと管理者認証アドレス識別を含む）、48536件のGamma市場のメタデータ、25万件以上のアクティブCLOB市場の固定積算マーケットメイカーアドレス、そして9000件のフォロワーのソーシャルグラフデータが含まれています。ツールキットには、複数の脆弱性の概念実証コードが含まれており、CVE-2025-62718（Axios NO_PROXYバイパス、CVSS 9.9、サーバーサイドリクエストフォージェリを引き起こす可能性）、CVE-2024-51479（Next.jsミドルウェア認証バイパス、CVSS 7.5）、およびCORS設定ミスなどが含まれています。さらに、ツールキットには自動化された継続的プルスクリプトと完全なレッドチームレポートも添付されています。

Anthropic は Claude の一部の使用シーンで認証メカニズムを導入し、悪用を防止し、使用ポリシーを実行し、法的義務を履行しています。このプロセスは Persona によってサポートされており、ユーザーは政府発行の写真付き身分証明書を提出する必要があり、リアルタイムのセルフィー認証を行う場合もあります。Anthropic は、認証データは身分確認のみに使用され、モデルのトレーニングには使用されず、マーケティングや広告にも使用されないと述べています。認証に失敗した場合、ユーザーはプロセス内で何度も再試行することができ、またはフォームを提出して人工的な支援を求めることができます。アカウントは、使用ポリシー、サービス条項の繰り返し違反、サポートされていない地域からの登録、または18歳未満の使用などの場合に、禁止される可能性があります。

派盾の監視によると、10億枚のDOTトークンがイーサリアムチェーン上で異常に増発され、売却されました。チェーン上のデータによると、約1時間前、攻撃者は管理者権限を改ざんし、契約の制御権を悪意のあるアドレスに移転させ、その後10億枚のDOTを増発し、即座に売却しました。その結果、コインの価格は1.22ドルからほぼゼロに暴落しました。現在、この事件はまだ続いており、ポルカドットの公式はまだ反応を発表していません。今回の攻撃の対象はイーサリアム上のブリッジ資産であり、ポルカドットのネイティブチェーンではありません。

カナダのナナイモに住む住民は、昨年末にリモート株式取引の仕事を促進するSMSを受け取った後、暗号通貨ATMを通じて約5000カナダドル（約3600米ドル）を預け入れ、詐欺に遭いました。今年の初め、この被害者はオンラインでRCMPの公告を装った情報を見つけ、詐欺の被害者に通報を促していました。フォームを提出した後、自称弁護士の人物から電話があり、被害者に関連する2つの暗号通貨アカウントが見つかり、約6万ドルのいわゆる利益を取り戻す手助けができると伝えられました。ナナイモRCMPのメディア関係官ゲイリー・オブライエンは、RCMPは発見された暗号通貨アカウントについて個人に連絡することはなく、損失資金を取り戻すために民間企業と協力することもなく、詐欺調査のためにいかなる形の支払いを要求することもないと述べました。ブロックチェーンセキュリティ会社BlockSecの共同創設者兼CEOアンディ・ジョウは、このような手法は「偽の回収サービス詐欺」と呼ばれ、体系的な特徴を持っていると述べました。詐欺師は通常、元の詐欺で収集された被害者の情報を把握しており、組織的な詐欺団体は以前に送金された被害者のリストを流通させ、これらの人々を二次詐欺の標的にします。法執行機関のブランドを偽装することが効果的である理由は、「権威バイアス」の心理メカニズムを利用しているからです。カナダの警察は2022年から暗号通貨の調査トレーニングを開始しています。

据链上侦探 ZachXBT 指控，加密货币交易平台 Axiom Exchange 多名员工自 2025 年初起利用内部工具访问控制漏洞，查看用户敏感信息并追踪私人钱包活动，涉嫌进行内幕交易。ZachXBT 特别指出员工 Broox Bauer 是涉事人员之一。Axiom 由 Mist 与 Cal 于 2024 年创立，2025年冬季完成 Y Combinator 孵化，成为该领域盈利能力最强的公司之一，迄今已创收超 3.9 亿美元。 ZachXBT 称收到举报后受聘调查该平台的不当行为指控。

慢雾チームのセキュリティ研究者 23pds が研究者 Adam Chester の報告を転送し、Anthropic の Claude Code において特権昇格とコマンド実行の脆弱性が発見されたことを報告しました。攻撃者はユーザーの承認なしにコマンド実行を実現でき、脆弱性番号は CVE-2025-64755 で、関連する PoC は公開されています。この問題は、以前に Cursor ツールで公開された同様の脆弱性と類似していると指摘されています。23pds は、フィッシングハッカーが関連する脆弱性を利用して暗号ユーザーを攻撃していると述べています。

据 Decrypt の報道によると、オーストラリア連邦警察は、詐欺師がオーストラリアの国家サイバー犯罪報告システム ReportCyber を利用し、盗まれた個人情報を使って虚偽の報告を提出し、その後オーストラリア連邦警察の職員を装って被害者に電話をかけ、デジタル資産を盗むという警告を発しています。この詐欺は非常に巧妙で、犯罪者は合理的な方法で情報を確認し、緊急性を生み出すために迅速に行動します。彼らは不正にメールアドレスや電話番号などの情報を取得し、システムが第三者による報告を許可するルールを利用して信頼を得ようとします。被害者は「警察」からの電話を受け、暗号通貨のデータ漏洩事件に巻き込まれたと告げられ、公式のように見える参照番号を受け取り、詐欺師が提出した報告と一致するのを見て、ほぼ騙されそうになりました。その後、2人目の電話者がプラットフォームを装い、同じ番号を使って送金を誘導しましたが、幸いにも被害者はすぐに気づいて電話を切りました。警察は、類似の事件では詐欺師が番号を偽造することが多いと述べており、市民に警戒を呼びかけ、詐欺を見分け、自身の財産を守るよう注意を促しています。