攻撃

Bitcoin News の監視によると、Core Lightning は、攻撃者がまだ 26.06.7 およびそれ以前のバージョンのノードを狙っていると述べています。9 月 22 日にリリースされた 26.06.8 パッチは、資金を危険にさらす可能性のあるチャネルの閉鎖問題や、クラッシュやメモリ枯渇を引き起こす脆弱性を修正しました。このプロジェクトは、攻撃者が使用した脆弱性の名前をまだ公開しておらず、資金が盗まれたという報告もありません。まだアップグレードされていないノードの運営者が攻撃の標的となっています。

Arbitrumの安全委員会の報告によると、ますます複雑化するAI支援攻撃のリスクに対処するため、Arbitrumは北京時間10月2日23:30頃に緊急措置を講じ、Arbitrum OneおよびNovaネットワーク上での新しいStylus契約のアクティベーションを一時的に停止しました。この制限は、全く新しいアクティベーションを必要とするプログラムおよびアプリケーションの更新に主に焦点を当てており、すでにアクティベートされたStylusアプリは引き続き動作します。通常のSolidity契約のデプロイおよび実行には影響がありません。Arbitrumの公式は、この予防措置が非標準Stylusコンパイラツールチェーンに対するWebAssemblyプログラム攻撃の脅威に起因していると述べており、現在のところ資金が盗まれるリスクは確認されていませんが、主な懸念はオンチェーンのアクティビティおよびサービス拒否（DoS）攻撃にあります。開発者は、許可不要の保活更新メカニズムを通じて既存のプログラムのライフサイクルを延長することができますが、期限切れのプログラムや新しいバージョンのアプリをアクティベートすることはできません。

韓国の聯合ニュースによると、韓国の五大商業銀行が人工知能によって駆動されるハッカー攻撃の疑いを受けており、そのうちの三行で顧客情報が漏洩した。五大銀行が同時に攻撃を受けるのは、韓国の金融業界では初めてのことです。報道によると、BNK釜山銀行はハッカー攻撃により、11名の外部委託社員の個人情報が漏洩した。KB国民銀行では119名の顧客の情報がハッカー攻撃によって漏洩し、韓ア銀行も89名の顧客の情報が漏洩したと発表しています。

BybitのCEOベン・ジョウは、トルコのメディアFintechtimeのインタビューで、2025年のBybitが攻撃を受けた事件を振り返り、その問題の一つは第三者サービスプロバイダーを使用し、その第三者関連システムに過剰な資産を集中して保管していたことだと述べました。ジョウは、その後Bybitは安全ポリシーを全面的に見直し、ゼロトラストモデルに移行し、ウォレットを異なるアーキテクチャに分散させ、ローカルとグローバルのビジネスの隔離を強化して、一度の攻撃で大量の資産に影響を与えるリスクを低減したと述べました。彼はまた、Bybitが将来的にトルコのビジネスを暗号取引、支払い、グローバル送金、さらにはその他の投資商品を含むスーパーアプリに発展させることを望んでいると述べました。

FlashLoopAdapterの脆弱性により、2つのSafeマルチシグで約114 ETHの損失が発生した件について、Aaveの創設者Stani Kulechovは、脆弱性が発生した契約はAave v3契約ではなく、Aaveの上に構築された第三者の外部アダプタであり、Aave v3自体には影響がないと述べました。以前、SlowMistが明らかにしたところによると、FlashLoopAdapterにはアクセス制御の脆弱性が存在し、攻撃者はこの脆弱性を利用して権限チェックを回避し、このモジュールを有効にした2つのSafeマルチシグから資産を転送し、最終的に約114.09 ETHの損失を引き起こしました。

オープンソースのビットコインライトニングネットワークノードソフトウェアCore Lightningチームは、攻撃者がパッチをまだインストールしていないノードを標的にしているとの報告を受けて、緊急警告を発しました。そのため、古いバージョンを実行しているオペレーターに対して、すぐにアップグレードするよう促しています。チームは次のように述べています：「緊急セキュリティアップデート：使用しているバージョンが26.06.7またはそれ以前の場合は、できるだけ早く最新のリリースにアップグレードしてください。」それ以前に、Core Lightningは9月16日に、実験的機能に影響を与え、ユーザーの資金に波及する可能性のある問題を調査し始め、約6日後に26.06.8バージョンをリリースしました。このアップデートでは、いくつかの欠陥を修正するだけでなく、複数の責任ある報告者からのセキュリティ脆弱性に対するパッチも提供されており、リリースノートではBitcoin Red Teamおよび他の12名の個人と組織に感謝の意を表し、匿名の報告者にも敬意を表しています。変更ログによれば、今回の修正には、送信者ノードがクラッシュする可能性のある障害、RESTインターフェースのメモリを使い果たすリクエスト、および支払いチャネルを閉じる際にユーザーの資金が没収されるリスクを伴う脆弱性が含まれています。オペレーターに十分なアップグレードウィンドウを提供し、攻撃者が逆向きの研究と利用を行う機会を防ぐために、このバージョンでは一部のテスト内容が意図的に隠されています。今年の8月には、AIによって生成された一般的な脆弱性開示報告を大量にレビューした後、協調修正プロセスを開始し、2日後に26.06.7バージョンをリリースして確認された脆弱性を封じ込めました。

ロシアのプーチン大統領は、カリーニングラードが直接攻撃を受けた場合、ロシア側は国家が所有するすべての武器の使用を検討すると述べました。プーチン氏は、ロシア外務省の最近の警告は西側への圧力行為に対する対応であると述べました。NATOは、ロシア側の「無責任な核発言」は受け入れられないとし、同盟国の領土を守り続けると応じました。

NEARの共同創設者Illia Polosukhinは、NEAR Intentsおよびnear.comが再びオンラインになったが、少数の影響を受けたネットワークの関連サービスは依然として制限されていると述べました。Illiaは、今回の約380万ドルの攻撃がOmniの充提インフラとNEAR Intentsのスマートコントラクトの相互作用における脆弱性を利用したもので、影響範囲はBSC上のUSDTに限られていると述べました。NEARのコアプロトコル、NEARトークンおよびその他のアプリケーションには影響がなく、損害を受けたユーザーには全額補償が行われる予定です。

派盾の監視によると、NEAR Intents の攻撃者は盗まれた資金を Kucoin に移し、BTC にブリッジしています。攻撃者のアドレスは、北朝鮮の LazarusGroup としてマークされたアドレス（0x098B7...E2f96）と相互作用しています。

NEAR Intentsは、安全通知を発表し、攻撃を受けたことを確認しました。初期調査によると、脆弱性はOmniの入出金インフラと契約の相互作用の欠陥に起因しており、現在契約の脆弱性修正が完了し、1時間以内にコアサービスを復旧する予定であり、損失を受けた資産に対して全額賠償を約束しています。NEAR Intentsは、BSC、Polygon、TONなどの複数のパブリックチェーンの入出金サービスが追加で約12時間停止することを示しています。関連する事件は報告され、オンチェーン追跡が開始されています。その後、オンチェーン探偵のZachXBTは、NEAR IntentsのBSCホットウォレットで複数の異常な資金流出が発生し、盗まれた資金がKuCoinに転送され、さらにビットコインネットワークにクロスチェーンで移動されたと述べました。現在、関与している金額は380万ドルを超えています。

Law360 の報道によると、Uranium Finance に関与する暗号資産の盗難事件がアメリカのマンハッタン連邦裁判所で審理を開始しました。検察は、メリーランド州のサイバーセキュリティコンサルタントであるジョナサン・スパレッタが 2021 年にこのプロトコルのスマートコントラクトの脆弱性を利用して攻撃を行ったと指摘しています。その中で、2 回目の攻撃では 26 の資金プールから約 5,330 万ドルが移動され、プロトコルの運営が停止しました。関連する主張は検察の指控であり、有罪判決ではありません。

CoinBureau は、チェーン上の調査者 ZachXBT の言葉を引用し、疑わしい北朝鮮関連の攻撃者が Zcash を通じて Bitget から盗まれた資金を隠蔽していると述べています。約 2700 枚の ZEC、価値約 380 万ドルの資金が Zcash の Ironwood に転送され始めました。これらの盗まれた ZEC は隠蔽プールに転送されており、取引の詳細は隠すことができます。Bitget に関与する多様な資産、総額約 3.88 億ドルのセキュリティ事件の中で、約 18900 枚の ZEC、価値約 2830 万ドルが盗まれました。以前、Bitget の CEO Gracy Chen は、盗まれた資金を取り戻すことに「あまり楽観的ではない」と述べていました。

フランスのメディア Midi Libre の記者 Fabien Arnaud の報道によると、フランスのモンペリエ近郊のサン＝ジャン＝ド＝ヴェダス（Saint-Jean-de-Védas）に住む住民が自宅で暗号通貨に関連する強盗脅迫に遭遇しました。事件発生後、警察は迅速に行動を取り、3人の容疑者を逮捕しました。報道によれば、被害者は今年の4月11日に暗号通貨に関して類似の暴力的な恐喝に遭ったことがあるとのことです。

慢雾傘下のチェーン上追跡プラットフォーム MistTrack の監視によると、暗号取引プラットフォーム Bitget のセキュリティ事件の攻撃者は、以前に盗まれた資金をクロスチェーン DEX プロトコル Chainflip に移動しようとしましたが、関連するブローカーによって直接入金を拒否されました。チェーン上の処理結果は、この資金がプロトコル側によって凍結されることなく、直接元のルートに返還されたことを示しています。攻撃者はこのチャネルを利用して移転を成功させることができませんでした。MistTrack は、盗まれた資金のその後のチェーン上の動向を引き続き追跡すると述べています。

加密資産管理会社 BlockTower Capital の創設者兼最高投資責任者 Ari Paul は X に投稿し、Coinbase が数年前に自社の 2500 万ドルの資金を「失った」と述べ、実際には相手が大規模かつ繰り返し発生するハッキング攻撃を隠蔽しており、現在も関連資金は返還されていないことを明らかにしました。Ari Paul は、彼のチームが少なくとも十数の他の影響を受けた機関を追跡しており、隠蔽された金額は 10 億ドルを超えていると述べました。彼は現在、いくつかの法的手続きが進行中であるため、これらの情報しか公開できないと述べています。

Bitget 大中華区責任者の謝家印は、最近のライブ配信でコミュニティの関心に直接応えました。彼は、Bitgetが設立されてから8年間、常にユーザー資産の安全を最優先事項としており、何度もネットワーク攻撃の試みに成功裏に耐え、長期的な安全運営記録を維持してきたことを振り返りました。今回の事件は、プラットフォームの8年間の発展の中で初めての安全危機です。完全な追跡調査の結果、今回の事件は第三者のセキュリティソフトウェアサプライチェーンに対する特別な攻撃に該当し、攻撃者は第三者製品の脆弱性を利用して内部ネットワークの認証情報を取得しましたが、秘密鍵は漏洩せず、コールドウォレットの資産には何の影響もありませんでした。現在、Bitgetはセキュリティ機関のMandiantおよびSlowMistと連携して独立した調査を行っており、第三者コンポーネントの監視と管理基準を全面的にアップグレードする予定です。我々は、今回の事件後の全面的な回復を推進するだけでなく、継続的な技術のイテレーションとシステムのアップグレードを通じて、業界のより安全で堅実かつ健康的な発展に貢献することを目指しています。

今日のコミュニティライブストリームで、BitgetのCEO Gracyは最近のセキュリティ事件とプラットフォームの財務状況について応答しました。彼女は率直に、これはBitget設立8年目にして初めてのセキュリティ事件であると述べました。完全な追跡を経て、ハッカーは第三者のセキュリティ製品の脆弱性を利用して内部ネットワークの権限証明書を盗み、ウォレットシステムに対して偽の引き出し命令を発行し、ウォレットを騙してリスク検証を回避した異常な送金を実行させました。Gracyは、この事件において秘密鍵は漏洩しておらず、コールドウォレットも影響を受けていないことを強調しました。具体的な技術的詳細は、正式に発表されるセキュリティレポートで詳しく開示される予定です。Gracyは、今回の事件で確認された損失は保護基金のカバー範囲内にあり、ユーザーの資金の安全は影響を受けないと指摘しました。プラットフォームの自己資金は14億ドルを超えており、その中には約4.64億ドルのユーザー保護基金が含まれています。プラットフォームは2022年に設立した保護基金の安全に関する約束を引き続き実行し、1週間以内に基金の規模を3億ドルの基準ラインまで継続的に補充する計画です。「保護基金は単なるスローガンではなく、極端なセキュリティ事件が発生した際にユーザーに実質的な保障を提供する重要なメカニズムです。」とGracyは述べました。突発的なセキュリティの課題に直面した際、プラットフォームの総合的な実力と責任を自発的に負う能力は、そのリスク対応能力と長期的な信頼性を測る重要な基準です。Bitgetは引き続きユーザーの利益を最優先する長期的な約束を実行していきます。

美股 BNB 暗号財庫会社 Nano Labs の会長孔剣平は、彼の X アカウントが以前フィッシング攻撃を受けたことを発表し、現在は無事に制御を取り戻したと述べました。孔剣平は、攻撃者が彼の普段使用するメールアドレスにフィッシングメールを送信し、彼の AI アシスタントがメール内の偽のリンクを X の公式認証ページと誤認識したため、彼が X に送信されたコードをフィッシングページに入力してしまい、最終的にアカウントが盗まれたと説明しました。その間、アカウントは一時的に数件の詐欺情報を投稿しました。孔剣平はユーザーに対し、非公式のリンクをクリックしないよう警告し、たとえ AI がリンクを信頼できると判断しても警戒を怠らないようにし、X のバインドされたメールアドレスを外部に知られにくいものに設定することを推奨しました。