深刻な脆弱性

慢雾余弦は X プラットフォームで発表し、慢雾チームが2つの取引プラットフォームの深刻な脆弱性（資金の安全に直接影響する）を発見したことを示し、連絡が取れず、公開連絡にも反応がないと述べました。余弦は同時に、これら2つの取引プラットフォームの1つは24時間の取引量が370億ドル、もう1つは2.4億ドルであると述べました。慢雾チームのアカウントのツイートによると、彼らは昨日「ICRYPEX Global」という取引プラットフォームに積極的に連絡を取ったことが示されています。

慢雾は暗号取引所ICRYPEX Globalに安全通知を送信し、潜在的な重大な脆弱性を発見したと述べています。慢雾はICRYPEX Globalに対し、今すぐ連絡を取り、今後の手順を調整するように促しています。

慢雾セキュリティチームは最近、DeepSeek/Qwenに基づくオープンソースの自動化先物取引システムNOFX AIを分析し、複数の深刻な認証の脆弱性を発見しました。システムはデフォルト設定の下で「ゼロ認証」モードが存在し、管理者モードが直接有効になっているため、すべてのリクエストが検証なしで通過でき、攻撃者は/api/exchangesにアクセスして完全なAPIキーと秘密鍵を取得できます。「認証が必要」モードではJWTが追加されていますが、デフォルトのjwt_secretが依然として存在し、環境変数が設定されていない場合はデフォルトキーに戻ります。さらに、このモードでは敏感なフィールドが元のJSON形式で出力されるため、トークンが偽造または盗まれた場合、同様にキーが漏洩する可能性があります。慢雾は、現在までに千を超える公開デプロイメントインスタンスが脆弱な設定を使用していることを特定し、バイナンスおよびOKXのセキュリティチームと調整を行い、関連する証明書の交換を完了しました。チームはすべてのユーザーに対し、特にAsterまたはHyperliquid上でロボットを運用しているユーザーは設定を早急に確認するようにシステムをアップグレードするように警告しています。

ChainCatcher のメッセージによると、PeckShield の分析により、マルチチェーン流動性ステーキングプロトコル Meta Pool のステーキング契約に深刻な脆弱性が存在し、無料で mpETH を鋳造できることが判明しました。この特定の取引では、9700 枚以上の mpETH（2700 万ドル）が無料で鋳造されましたが、mpETH の流動性が低いため、利益は約 10 ETH に制限されます。

ChainCatcher のメッセージによると、Protos が報告したところでは、Blockstream の Jade ウォレットを含む ESP32 チップを使用したビットコインウォレットに現在深刻な脆弱性 (CVE-2025-27840) が発見されました。ネットワークセキュリティ研究会社 Crypto Deep Tech は、この脆弱性が秘密鍵の盗難を引き起こす可能性があると述べています。

ChainCatcher のメッセージ、SlowMist テクノロジーの最高情報セキュリティ責任者 23pds がツイートしました「KiloEx が攻撃された根源は、価格オラクルのアクセス制御に重大な脆弱性が存在することです。簡単に言うと、オラクルは信頼できる役割によって価格情報を更新されるべきですが、必要な権限制限が欠如しているため、攻撃者は検証メカニズムを回避し、任意に資産価格を改ざんし、契約ロジックを操作することができました。」

ChainCatcher のメッセージによると、Cointelegraph が報じたところでは、ブロックチェーン企業 Virtuals Protocol のスマートコントラクトが、セキュリティ研究者 Jinu（仮名）によるレビュー中に偶然に脆弱性が発見されました。Virtuals Protocol は迅速に修正措置を発表し、脆弱性報奨プログラムを再開しました。12 月 3 日、Jinu はコントラクトのレビュー中にこの問題を偶然発見し、すぐに Virtuals Protocol に報告しましたが、その後、同社には活発な脆弱性報奨プログラムがないことを知り、彼の発見は報酬の条件を満たさないことが分かりました。Jinu によれば、Virtuals Protocol チームはこの脆弱性を報告するための Discord グループも閉鎖しました。X プラットフォームの投稿で、Jinu は「この脆弱性は Virtuals エコシステムに影響を与える可能性があり、悪用されると、コントラクトが修正されるまで AgentTokens の生成を妨げることになります。」と述べました。この情報を X プラットフォームで公開した後、Virtuals Protocol は Jinu に連絡し、すぐに修正措置を発表しました。修正措置は迅速に発表されましたが、Virtuals Protocol は Jinu に脆弱性報奨を提供することをまだ発表していません。同社は研究者へのメッセージの中で、Jinu がこの問題を報告してくれたことに感謝し、以前のコミュニケーションの不備について謝罪しました。

ChainCatcher のメッセージによると、Cointelegraph が報じたところでは、ビットコインサイドチェーン Sequentia の共同創設者 Andreas Kohl は、サルバドルの古いノートパソコンを使用して、69% の Dogecoin ネットワークノードを破壊したと主張しています。Blockchair のデータによると、脆弱性が悪用される前に、Dogecoin には 647 のアクティブノードがありました。現在、Dogecoin には 315 のアクティブノードしかありません。12 月 4 日、"Department Of DOGE Efficiency "という名前の X アカウントが Dogecoin ネットワーク上の脆弱性を公開しました。彼らはこの脆弱性が Dogecoin チェーンの完全な崩壊を引き起こす可能性があると考えています。このアカウントによると、"DogeReaper "脆弱性は、誰でもリモートで任意の Dogecoin ノードを破壊できることを許可します。DogeReaper を使用すると、誰でもノードのアドレスを書き込むことができ、ノードがセグメンテーションフォルトによって死ぬ原因となります。計算中に、プログラムがメモリ内の許可されていない部分にアクセスしようとすると、セグメンテーションフォルトが発生します。このような場合、オペレーティングシステムは安全上の理由からプログラムを停止し、プログラムがクラッシュします。

ChainCatcher のメッセージによると、Cointelegraph が報じたところによれば、ある Web3 セキュリティ研究者が Cosmos ネットワークのドキュメントを読み、Evmos ブロックチェーンおよびその上に構築されたすべての分散型アプリケーション（DApp）が停止する可能性のある深刻な脆弱性を発見し、150,000 ドルの報酬を得たとのことです。10 月 28 日に公開されたブログ記事で、セキュリティ研究者「jayjonah.eth」は、Cosmos ドキュメントで遭遇した「モジュールアカウント」の概念について次のように説明しています。「これらのアドレス（モジュールアカウント）が受け取る資金が状態機械の期待されるルールを超えると、不変性が破壊され、ネットワークが停止する可能性があります。」Cosmos ドキュメントに基づいて Evmos ブロックチェーンのクラッシュテストを行ったセキュリティ研究者は、テスト環境でモジュールアカウントに資金を送信してこの理論を検証し、「この時点で、ブロックはもはや生成されず、ブロックチェーンは完全に停止しました。これにより、Evmos ブロックチェーンおよびその上に構築されたすべての DApp が破壊されます。」と報告しました。彼は、Evmos チームが情報公開の前にこの脆弱性を修正したことを明らかにしました。

ChainCatcher のメッセージによると、EXVUL 技術チームは最近、複数の Chrome 拡張機能ウォレットに深刻な脆弱性が存在することを発表しました。多くの Google 拡張機能ウォレットが indexedDB を使用して暗号鍵データを保存していることがわかりましたが、この保存方法には暗号文置換攻撃のリスクがあります。攻撃者は被害者のウォレットキーを置き換えることで、被害者のウォレットを解読し、ユーザーの鍵やリカバリーフレーズを盗むことができます。現在、この脆弱性が確認されているウォレットには、Coinbase Wallet、Crypto.com、Sui Wallet、MyEtherWallet などが含まれています。EXVUL 技術チームは、関連するウォレットチームと連絡を取り、修正案について議論していると述べています。

ChainCatcher のメッセージによると、The Block の報告で、Avalanche に基づくソーシャルプロトコル Stars Arena に深刻な脆弱性が存在し、誰でもこのプロジェクトのスマートコントラクトから Avax トークンを盗むことができるとのことです。このセキュリティの脆弱性は、スマートコントラクトにロックされている100万ドル以上の価値を脅かしています。アナリストの lilitch.eth は、getPrice() 関数に欠陥があるため、ハッカーがコントラクトを呼び出し、資金を自分のウォレットに移動させることができると最初に指摘しました。このコントラクトは枯渇する可能性があります。同時に、The Block Research はこの脆弱性を確認することができました。この脆弱性が存在するにもかかわらず、現在のネットワーク上の高額な取引手数料は悪意のあるハッカーに対して抑止力となっています。なぜなら、彼らは資金を枯渇させるためにコントラクトを何度も呼び出す必要があるからです。したがって、プロトコルから資金を引き出そうとする試みは、現時点では利益を上げることができないようです。Stars Arena は 9 月にローンチされ、Friend.Tech に触発されたソーシャルプロトコルです。ローンチからわずか2週間で、Stars Arena の TVL は 100 万ドルを突破し、Avalanche ネットワーク上のオンチェーン取引が大幅に増加しました。

ChainCatcher のメッセージ、最近、ブロックチェーンセキュリティ会社 Beosin が Move VM の深刻な脆弱性を発見しました。Beosin のセキュリティ研究チームは、Move 仮想マシンにおいて制限のない再帰呼び出しの深さによって引き起こされるスタックオーバーフローの脆弱性を発見しました。この脆弱性は、ネットワーク全体の停止（total network shutdown）を引き起こす可能性があり、新しいバリデータノードがネットワークに参加できなくなり、さらにはハードフォーク（hard fork）を引き起こす可能性もあります。Sui mainnet_v1.2.1、Aptos mainnet_v1.4.3 の以前のバージョンはこの脆弱性の影響を受けています。現在、この脆弱性は公式に修正されています。Sui mainnet_v1.2.1、Aptos mainnet_v1.4.3、Move-language は 2023 年 6 月 10 日以降のバージョンでこの脆弱性を修正しました。

ChainCatcher のメッセージによると、SlowMist セキュリティチームの情報により、ETH チェーン上の Numbers Protocol （NUM）トークンプロジェクトが攻撃を受け、攻撃者は約 13,836 米ドルの利益を得たとのことです。SlowMist セキュリティチームは以下のように速報を共有しました：攻撃者は悪意のある anyToken トークンを作成し、攻撃契約（0xa68cce）を設定しました。この悪意のあるトークン契約の基底トークンは NUM トークンアドレスを指しています；次に、Multichain クロスチェーンブリッジの Router 契約の anySwapOutUnderlyingWithPermit 関数を呼び出しました。この関数の機能は anyToken を入力し、基底トークンの permit 関数を呼び出して署名承認を行い、その後、承認されたユーザーの基底トークンを指定されたアドレスに交換することです。しかし、NUM トークンには permit 関数がなく、コールバック機能があるため、攻撃者が偽の署名を入力しても正常に戻り、取引が失敗しない結果、被害者のアドレスの NUM トークンが最終的に指定された攻撃契約に転送されることになりました；その後、攻撃者は得た NUM トークンを Uniswap で USDC に交換し、さらに ETH に換えて利益を得ました；今回の攻撃の主な原因は、NUM トークンに permit 関数がなく、コールバック機能があるため、偽の署名を入力してクロスチェーンブリッジを欺くことができ、ユーザーの資産が予期せぬ形で転出されることになったためです。(出典リンク)

チェーンキャッチャーのメッセージによると、分散型取引所アグリゲーターの1inchが安全性に関する開示報告を発表し、Profanityというツールを使用して生成された特定のイーサリアムアドレスに深刻な脆弱性が存在することを主張しています。この脆弱性により、ハッカーが過去数年間にわたりProfanityユーザーのウォレットから数千万ドルを密かに盗むことができた可能性があります。1inchは、Profanityのアドレス生成方法が安全でないと考えており、公共アドレスにリンクされたキーをブルートフォース攻撃で計算できると警告しています。Profanityを使用してアドレスを生成したユーザーには、新しいウォレットに資産を移動することを推奨しています。Profanityは2017年に導入され、イーサリアムユーザーが「仮名アドレス」を生成することを可能にするツールであり、これは識別可能な名前や数字を含むカスタムウォレットです。（The Block）