漏洩

OpenAIは発表し、最近の業界全体の安全事件において、使用しているサードパーティ開発ライブラリAxiosに潜在的な安全問題があることを発見した。調査の結果、ユーザーデータがアクセスされたり、システムが侵害されたり、ソフトウェアが改ざんされた証拠は見つからなかった。慎重を期して、OpenAIは安全強化措置を開始し、特にmacOSアプリの認証メカニズムを強化し、悪意のある者が公式アプリを偽造して配布するのを防ぐことに重点を置いている。OpenAIはすべてのmacOSユーザーに対し、潜在的なリスクを低減するために、最新バージョンのアプリにできるだけ早く更新するよう、アプリ内更新または公式チャネルからのダウンロードを通じて促している。

CZはソーシャルメディアで新書の「電話番号漏洩」について、数年前からその電話番号は使用していないと応じた。新しい持ち主はハッカーか警察で、以前はアシスタントになりたいと思っていた。皆さん自身の安全に注意してください。関連する（ソーシャルメディアアカウント）を追加しないことをお勧めします。

公式の情報によると、ブロックチェーンセキュリティ機関のSlowMistは最近、OKX Walletに対する特別監査を行った安全評価報告書を発表しました。結果は、監査されたバージョンにおいて、アプリが外部サーバーに秘密鍵やリカバリーフレーズなどの敏感情報を送信する行為が見つからず、全体として敏感データの漏洩リスクが検出されなかったことを示しています。今回の評価は、OKX Walletに秘密鍵やリカバリーフレーズの外部送信の問題が存在するかどうかに重点を置いて行われ、その結果、関連する核心情報はすべてローカルで処理されていることが示されました。現在、秘密鍵とリカバリーフレーズの処理方法はウォレットのセキュリティの核心となっており、このような監査結果はユーザーにとってより直接的なセキュリティの参考を提供しています。

Fortune の報道によると、OpenAI、Anthropic、Meta などの AI 企業にトレーニングデータを提供しているスタートアップ企業 Mercor が重大なセキュリティ脆弱性に直面したことを確認しました。この事件は、開発者が AI サービスを接続するために広く使用しているオープンソースライブラリ LiteLLM に対するサプライチェーン攻撃に起因しています。日々のダウンロード数は数百万回に達します。攻撃はハッカーグループ TeamPCP によって引き起こされ、LiteLLM に悪意のあるコードを埋め込むことで認証情報を盗みました。別のハッカーグループ Lapsus$ は、その後、Mercor から最大 4TB のデータを取得したと主張しました。これにはソースコード、データベースの記録、内部 Slack コミュニケーション、プラットフォームの対話ビデオなどが含まれています。未確認の報告によれば、Mercor の一部の顧客のデータセットおよびその機密 AI プロジェクト情報が漏洩した可能性があります。Mercor は、事態を抑制するために迅速に措置を講じ、第三者によるフォレンジック調査を開始したと述べています。

慢雾発文分析によると、Driftの盗難事件は、攻撃が発生する1週間前にDriftがマルチシグメカニズムを「2/5」（1人の旧署名者+4人の新署名者）に調整し、タイムロックを設定しなかったことを指摘しています。攻撃者はその後、管理者権限を取得し、CVTトークンを偽造し、オラクルを操作し、安全メカニズムを無効にし、資金プールから高価値の資産を移転しました。現在、盗まれた資金は主にイーサリアムアドレスに集約されており、合計約105,969枚のETH（約2.26億ドル）です。慢雾は、関連する資金の流れを引き続き追跡していると述べています。

ネットワークセキュリティプラットフォーム VECERT は 3 月 28 日に、ハッカーが PexRat の名の下に、ダークウェブで 150 万人のバイナンスユーザーの個人情報を含むデータベースを販売していることを明らかにしました。内容には名前、メールアドレス、電話番号、KYC 認証状況、ログイン IP アドレス、二段階認証方式などの敏感な情報が含まれています。分析によれば、今回の事件はバイナンス内部サーバーへの直接的な侵入ではなく、攻撃者が CAPTCHA 機構を回避し、クラックと自動化されたクローリング手法を通じてデータを取得したとのことです。影響を受けたユーザーは SIM カードのハイジャックやフィッシング攻撃の高リスクにさらされています。この事件が発生した際、バイナンスの機関 OTC 取引業務は急成長しており、今年の 1 月から 2 月の間に取引量は 2025 年の年間総量の 25% に達しました。これは 1 月に 42 万組のアカウント認証情報が漏洩した後、バイナンスが再び直面するデータセキュリティ危機です。

『フォーチュン』誌の報道によると、Anthropic社が漏洩した文書は、その次世代超強ロボット「Claude Mythos」がテスト中であることを示しており、同社はこのロボットが「前例のないサイバーセキュリティリスクを構成する」と考えています。マスクはこれについて「非常に懸念される」と述べました。

慢雾テクノロジーの最高情報セキュリティ責任者 23pds が X プラットフォームで投稿し、すべてのユーザーに iOS システムを迅速に更新するよう警告しています。DarkSword 攻撃プログラムが漏洩しており、その核心能力は：HTTP インターフェースを通じて iOS デバイスから証拠レベルのデータを抽出することです。実際の攻撃では、攻撃者はソーシャルエンジニアリングや水飲み場攻撃を組み合わせてユーザーを誘導し、iPhone/iPad 内のデータを盗み、攻撃者が制御するサーバーにアップロードします。

イスラエルの「アイスラエルタイムズ」によると、26歳のイスラエル「アイアンドーム」防御システム予備役軍人ラズ・コーエンが、イランの工作員に機密軍事情報を漏洩し、約1,000ドルの暗号通貨を報酬として受け取ったとされています。彼は終身刑または死刑に直面する可能性があります。調査によると、数ヶ月の間に、彼はイランの情報要員に「アイアンドーム」防空システムの運用詳細、空軍基地の位置、イスラエルの官僚のリストを漏洩しました。

Cointelegraphの報道によると、韓国国家税務局（NTS）は、押収された暗号資産の保管問題について民間の保管サービスプロバイダーを探している。この動きは、今年、公式のプレスリリースによってウォレットのリカバリーフレーズが漏洩し、資産が盗まれるというセキュリティ事故が発生したことに起因している。韓国国家税務局は公式のプレスリリースで、Ledgerのコールドウォレットとそのリカバリーフレーズの画像を誤って公開し、関連する画像が遮蔽処理されていなかったため、約480万ドル相当の押収された暗号資産が無許可で移転される事態となった。ZDNet Koreaの報道によれば、韓国国家税務局は保管サービスプロバイダーの選定基準を策定中で、2026年上半期に選定作業を完了する予定である。評価の基準には、安全要件、機関の規模、および候補者が韓国の「仮想資産ユーザー保護法」に基づく保険資格を持っているかどうかが含まれる。

TechCrunch の報道によると、Meta 内部で最近 AI エージェントの制御が失われる事件が発生しました。ある従業員が内部フォーラムで技術的な助けを求めて投稿し、別のエンジニアが AI エージェントを呼び出して分析を手伝わせましたが、そのエージェントは無断で返信を公開し、誤った提案を行いました。その従業員は AI の提案に基づいて操作を実行した結果、大量の会社およびユーザー関連データが無許可のエンジニアによって最大2時間にわたりアクセスされることになりました。Meta はこの事件を「Sev 1」と分類し、社内のセキュリティ事件の中で第二の高いレベルに位置付けました。注目すべきは、これが Meta にとって初めての AI エージェントの制御喪失問題ではないということです。Meta のスーパーインテリジェンスセキュリティおよびアライメントディレクターである Summer Yue は、以前に彼女の OpenClaw エージェントが確認なしに彼女の全受信箱の内容を削除したと公に述べていました。

ビットコイン決済サービスプロバイダーの Bitrefill は X プラットフォームで、2026 年 3 月 1 日にネットワーク攻撃を受け、顧客データが漏洩したことを発表しました。攻撃は、従業員の侵害されたノートパソコンから発生し、一部のデータベースと暗号通貨ウォレットが攻撃者にアクセスされました。調査によると、今回の攻撃手法は北朝鮮 DPRK Lazarus/Bluenoroff ハッカーグループが過去に暗号企業に対して行った攻撃と非常に似ています。約 18,500 件の購入記録には限られた顧客情報（メールアドレス、暗号決済アドレス、IP メタデータ）が含まれており、その中の約 1,000 件の記録の顧客名情報は暗号化されて保存されていますが、アクセスされる可能性があります。Bitrefill は、顧客が特別な操作を行う必要はないが、異常な情報に注意することを推奨しています。Bitrefill は、現在関連システムを閉鎖して隔離し、セキュリティ専門家、オンチェーンアナリスト、法執行機関と協力しており、ほぼ正常な運営に戻っています。会社は、ビジネスが長期的に利益を上げており、資金が十分であるため、今回の損失を吸収できると強調し、内部アクセス制御、監視、緊急対応メカニズムを含むネットワークセキュリティ対策を引き続き強化していくと述べています。

慢雾科技首席信息安全官 23pds が発信した注意喚起によると、ClawHub の開発者はフィッシングや資格情報漏洩のリスクに注意する必要があります。現在、ClawHub は開発者の GitHub ワンクリックログインに依存しており、以前に Sha1-Hulud ワームが多数の開発者の GitHub 資格情報を盗んだため、攻撃者が Skills を狙う可能性があります。攻撃経路は次の通りです：資格情報の盗難 → 攻撃者が GitHub 権限を取得 → 開発者として ClawHub にログイン → 悪意のある Skills を公開しバックドアを埋め込む → ユーザーがダウンロードしてインストール後、悪意のあるコードを実行しシステムが侵入される。

イスラエルのデータセキュリティスタートアップ Jazz は、企業向けのデータ漏洩防止 AI プラットフォームを構築するために、合計 6100 万ドルの資金調達を完了したと発表しました。今回のシードラウンドと A ラウンドは、Glilot Capital Partners と Team8 が主導し、Ten Eleven Ventures、Merlin Ventures、Encoded Ventures、MassMutual Ventures が参加しました。Jazz は、その AI エージェントが企業のビジネスプロセスとデータコンテキストを学習し、従業員による AI チャットボットの不適切な使用など、潜在的なデータ漏洩リスクシナリオを自動的に特定できると述べています。現在、Jazz は約 7 ヶ月間展開しており、15 社の有料企業顧客を持ち、具体的な評価額は公開されていません。

Web3 セキュリティ会社 GoPlus は、AI 開発ツール OpenClaw が最近自己攻撃のセキュリティ事件を起こしたと発表しました。自動化タスクを実行する際、システムが Shell コマンドを呼び出して GitHub Issue を作成する過程で誤った Bash 指令を構築し、意図せずコマンドインジェクションを引き起こし、大量のセンシティブな環境変数が公開されました。事件では、AI が生成した文字列にバッククォートで囲まれた set が含まれ、Bash によってコマンド置換として解釈され、自動的に実行されました。Bash が引数なしで set を実行すると、現在のすべての環境変数が出力されるため、最終的に 100 行以上のセンシティブな情報（Telegram キー、認証トークンなど）が直接 GitHub Issue に書き込まれ、公開されました。GoPlus は、AI 自動化開発やテストシーンでは、直接 Shell コマンドを結合するのではなく、API 呼び出しを使用することを推奨し、最小権限の原則に従って環境変数を隔離し、高リスク実行モードを無効にし、重要な操作には人間のレビュー機構を導入することを提案しています。

据 CoinDesk 报道，韩国国家税务局在查封行动中由于公开展示了包含硬件钱包助记词的原始照片，导致价值 480 万美元的加密货币被盗。韩国国家税务局对此道歉并表示，在提供查封现场照片时未能意识到包含敏感信息。目前韩国国家税务局已请求警方介入以追回资产，并计划对安全系统及虚拟资产管理手册进行全面审查。韩国副总理兼企划财政部长官 Koo Yun-cheol 在 X 平台发文表示，金融服务委员会和金融监督院等机构将调查此次泄露事件，并加强对公共机构管理数字资产的监管。

链上侦探 ZachXBT は X プラットフォームで投稿し、調査過程で多くの人に尋ねる必要があったため、2 月 26 日にインサイダー取引に関する暗号プロジェクトの情報を発表する計画が「避けられない」形で漏洩した可能性があると述べました。ZachXBT はコミュニティのユーザーに対して、予測市場がこれほど盛況になるとは思っていなかったし、予告を発表した後すぐに予測市場が関連イベント契約を立ち上げるとは思っていなかったと述べ、また、これまでに予告ツイートが 800 万回の閲覧数と 2.7 万の「いいね」を獲得したことはなかったと語りました。Polymarket のウェブサイトデータによると、「ZachXBT がどの会社がインサイダー取引を行うかを暴露する」というイベントの取引量は 1000 万ドルを突破しており、Meteora の確率は一時的に 30% で1位、Axiom の確率は一時的に 18% で2位に上昇、MEXC は一時的に 15% で3位となっています。

チェーン上の探偵 ZachXBT は X プラットフォームで投稿し、調査過程で多くの人に尋ねる必要があったため、2 月 26 日にインサイダー取引に関する暗号プロジェクトの情報を発表する計画が「避けられない」形で漏洩した可能性があると述べました。ZachXBT はコミュニティのユーザーに応じて、自分が予測市場がこれほど盛況になるとは思っていなかったし、予告を発表した後に予測市場がすぐに関連イベント契約を立ち上げたことにも驚いていると述べました。また、これまでに予告ツイートが 800 万回の閲覧数と 2.7 万の「いいね」を獲得するようなヒット経験はなかったと語りました。Polymarket のウェブサイトデータによると、「ZachXBT がどの会社がインサイダー取引を行ったかを暴露する」というイベントの取引量は 1000 万ドルを突破しており、Meteora の確率は 30% で第一位、Axiom の確率は 18% で第二位に上昇、MEXC は 15% で第三位となっています。

オンチェーンアナリストのSpecterはXプラットフォームで、IoTeXでプライベートキーの漏洩事件が発生した可能性があり、そのトークンセーフの資産が攻撃者によって全て転送され、累計損失は約430万ドルに達したと発表しました。オンチェーンデータによると、攻撃者は複数のコントラクト資産を移転しました。これにはUSDC、USDT、IOTX、PAYG、WBTC、BUSDが含まれます。その後、盗まれた資産はETHに交換され、そのうち約45枚のETHがクロスチェーンブリッジを通じてビットコインネットワークに転送されました。この事件はまだ確認が進行中です。

据 Decrypt 报道，区块链借贷平台 Figure 已确认发生客户数据泄露事件。Figure 表示，某员工遭遇社会工程攻击后，导致部分客户的个人信息被泄露。Figure 正在与网络安全专家合作调查此次事件的范围，并已采取措施加强系统安全性。Figure 建议受影响的客户保持警惕，监控账户是否存在异常活动。黑客组织 ShinyHunters 声称对此次事件负责，称 Figure 拒绝支付赎金，并公布了 2.5 GB 的被盗数据。