研究者

Bitcoin News の監視によると、@PraveenPerera が発表した新しい研究は、Coldcard の攻撃者がまず脆弱性のあるアドレスを特定し、その後、アドレスが保有するビットコインの数量に基づいてソートし、保有量が最も多いアドレスから順に分割して移転を行っていることを示しています。実際に使用された移転ソフトウェアはかなり粗雑でした。あるアドレスは 225 の可用な UTXO を持っており、攻撃者はちょうど最新の 200 個を抽出し、最も古い 25 個を残しました。その中には 0.16 BTC の価値を持つ UTXO が含まれています。これは、研究者が調査したあるブロックチェーン API がデフォルトで 200 件の記録を返す制限と完全に一致しており、攻撃者が次のページのデータを読み込むことができなかった可能性を示唆しています。このソフトウェアは、294 サトシの UTXO を消費することさえあり、報告によれば取引手数料が約 2040 サトシ増加し、消費額はその UTXO 自体の価値を明らかに上回っています。研究の著者は、これに基づいて、このツールの構築者がアカウント残高システムの理解に関してはビットコイン UTXO モデルの理解よりも優れている可能性があると考えています。攻撃者は被害者の完全なシードを取得したようですが、少なくとも 75 BTC は同じシードから派生した他のアドレスに残っています。現在最大の疑問は、153 の盗まれたアドレスの中にまだ 132.95 BTC が存在しており、研究者はこれらのアドレスの背後にあるシードを再現できていないため、攻撃者が未公開のプライベートデバイスデータや候補データを取得した可能性を排除できないことです。

Decrypt の報道によると、イスラエルのサイバーセキュリティ企業 ASecurity が発表した報告書によれば、ある研究者が公開されている AI モデルを使用し、24 時間以内に 20 件未満のプロンプトを通じて Zoom の注釈ツールに複数の脆弱性を発見し、利用可能な攻撃チェーンを構築したとのことです。この脆弱性は CVE-2026-53413、CVE-2026-53414、CVE-2026-53415 と番号付けされており、攻撃者は会議中に被害者の操作なしでリモートでコードを実行し、デバイスを制御し、データを盗み、マイクやカメラを起動することができます。この攻撃は Windows、macOS、Linux、Android および iOS 版の Zoom で有効であることが確認されており、ASecurity はそのレベルを「国家級」と称しています。従来、このような利用ツールを構築するには専門チームが数ヶ月の作業と巨額の予算を必要としました。ASecurity は 6 月 10 日に Zoom に最初の脆弱性を報告し、Zoom は 6 月 22 日から 7 月 20 日の間に修正を順次公開しましたが、エンドツーエンドの暗号化会議におけるサーバー側の防護は悪意のあるメッセージをフィルタリングできず、ユーザーは手動で更新する必要があります。Zoom のスポークスマンは問題が解決されたことを確認し、ユーザーに最新バージョンを維持するように勧めました。

Cointelegraph の報道によると、サイバーセキュリティ会社 BCA LTD の創設者 Mauro Eldritch と Telefónica Tech のネットワーク脅威インテリジェンスアナリスト Heiner García が共同で偽の暗号スタートアップ「Ballena Azul」を設立し、疑わしい北朝鮮の IT 労働者を制御された仮想デスクトップ環境で最大五週間働かせ、その行動を全て監視することに成功した。調査によると、関連する労働者が使用していた外部サーバーは、以前に InvisibleFerret、BeaverTail、OtterCookie などのマルウェアを配布していた北朝鮮のネットワーク作戦インフラと関連があることが示されている。また、労働者は ChatGPT を利用したプログラミングや Google Gemini による偽の身分証明書の作成に大きく依存していた。研究者は、北朝鮮の IT 労働者がアメリカの身分を偽造してリモートワークを得て、その報酬が最終的に平壌政権の大量破壊兵器プロジェクトに流れ込んでいると指摘しており、アメリカ財務省のデータによれば、このような計画は 2024 年に北朝鮮に約 8 億ドルの収入をもたらすとされている。

イーサリアム財団（Ethereum Foundation）は、プロトコルセキュリティリサーチャー（Protocol Security Researcher）の採用情報を発表しました。これはプロトコルセキュリティチームに所属し、実行層、コンセンサス層、ネットワーク層、仕様およびクライアント実装などの段階でセキュリティ脆弱性を特定する責任があります。仕事内容には、AIを活用したセキュリティ研究と自動化された脆弱性発掘、ハードフォークのレビュー、ファジングツールの構築、プロトコル変更の手動監査および脆弱性の開示調整などが含まれます。このチームは、候補者にイーサリアムプロトコルに関する深い経験を求めており、プロトコル開発に積極的に参加しているエンジニアや、実行層またはコンセンサス層の仕様に精通しているエンジニアを優先的に考慮します。一般的なプログラミング言語には、Go、Rust、Java、C#、Nim、およびPythonが含まれます。リモート勤務が可能で、ヨーロッパおよび世界中の候補者に開放されています。

中国人民公安大学の研究者たちは、違法な暗号通貨取引を約90%の全体的な精度で検出できるAIフレームワークを開発しました。この研究は中国語の査読付きジャーナル『情報雑誌』に掲載され、通信著者の孫静超博士（刑事捜査とサイバーセキュリティを専門とする）は、この研究が「違法な暗号通貨取引を検出するための正確で、拡張可能かつ説明可能な解決策を提供する」と指摘し、規制当局が違法な暗号通貨取引や経済犯罪を取り締まるために「革新的な技術的アプローチを提供する」と述べました。このAIフレームワークは、記憶モジュールと大規模言語モデルを利用し、暗号通貨の匿名性と越境特性を特定することに特化しており、マネーロンダリングなどの違法取引行為を追跡します。この研究の発表は、中国が暗号通貨に関連する金融犯罪の取り締まりを強化している時期に行われました。中国最高人民検察院は今年の3月に、2025年全体で検察機関が仮想通貨や地下銀行に関連するマネーロンダリング犯罪で3259人を起訴したと発表しました。暗号通貨の取引量が急速に増加する中、その匿名性と越境特性は違法な資金の流れを提供しています。今回、警察が自主開発したAI検出ツールは、規制技術手段が受動的な追跡から能動的なインテリジェント識別へと進化していることを示しています。

金十の報道によると、OpenAIは10万人の研究者に最先端モデルへのアクセスを無料で提供することを発表しました。

Ethereum Magicians フォーラムによると、開発者の Leo Glisic が正式に Privacy Guardians 2 を発表し、その設計方案をオープンソース化したと発表しました。このプロジェクトは、分散型プライバシー決済システムとして位置付けられ、中央集権型決済方案（例えば、Corpo Consortium が提供する OUSD）に存在する凍結可能、監視可能といった問題に対抗するために、オンチェーン決済の最大限のプライバシー保護を実現することを目指しています。現在の V1 バージョンは、プライベート決済メカニズム、保険メカニズム、ハニーポット設計、為替管理、流動性プールおよびメタデータ処理など、複数のモジュールを含んでいます。Glisic は、このバージョンがまだ初期段階にあり、暗号の安全性、インセンティブメカニズムの整合性、資本効率などの面で大きな最適化の余地があると述べ、コミュニティに共同で改善に参加するよう呼びかけています。ホワイトペーパーは glisic.xyz にて同時に公開されています。

Decrypt の報道によると、テルアビブ大学、イスラエル工科大学、Intuit の研究者たちは「対抗的幻覚侵入」と呼ばれる新しい攻撃手法を発見しました。この手法は、AI モデルの幻覚現象を利用して、AI エージェントを騙して悪意のあるコードをダウンロードさせ、ボットネットを構築する可能性があります。攻撃者は、AI モデルが生成する可能性のある虚偽のリソースリンクを予測し、事前に登録して悪意のある指令を埋め込みます。AI エージェントがそのリソースを取得すると、それを合法的なコンテンツとして認識し、実行します。テストの結果、コードリポジトリのクローンシナリオでは幻覚の発生率が 85%、スキルインストールシナリオでは 100% に達しました。Cursor、GitHub Copilot、Gemini CLI、OpenClaw などの AI コーディングアシスタントが影響を受けています。この攻撃は、従来のネットワーク攻撃における「誤植ドメイン」に似ていますが、ターゲットは人間の入力ミスではなく、AI モデルの誤りです。以前の研究では、悪意のあるウェブサイトが間接的なヒントを通じて AI エージェントをハイジャックすることができることが示されています。OpenClaw のユーザーは、AI エージェントに機密情報を漏洩させるように誘導する攻撃を 6,000 回以上受けたと報告しています。

L2BEAT 研究員 @sergeyshemyakov が X プラットフォームで投稿し、Tornado Cash は 6 月 25 日に疑わしい DAO 提案が現れた。この提案の対象契約は未検証であり、これは Tornado Cash DAO 提案の中では非常に異常であり、この提案は悪意のある提案として扱われるべきであることを示している。提案作成者のアドレスは 4 日前に Railgun を通じて資金を得た。提案が承認され実行されると、ガバナンス契約はその対象契約に対して delegatecall を呼び出すことになる。sergeyshemyakov は、Tornado Cash の資金プール自体は安全であるが、この提案は Tornado Cash DAO に対する攻撃を直接的に狙っている可能性があると述べており、この DAO は現在約 2300 万ドル相当の TORN トークンを保有している。

The Blockによると、コーネル大学、カーネギーメロン大学、プリンストン大学、イェール大学、チューリッヒ工科大学などのトップ大学の研究者で構成されるIC3が発表した調査論文は、暗号通貨がAI分野の主要な課題を解決する上での役割が過大評価されていることを指摘しています。論文は三つの誤解を明らかにしています：AIエージェントにウォレットを与えても、それを本当に「自律的」にすることはできず、自動化取引を実現するだけである；ブロックチェーンはタイムスタンプの記録には適しているが、AI生成コンテンツと人間のコンテンツを効果的に区別することはできない；分散型は根本的にAIアルゴリズムの偏見問題を解決することはできない。IC3は、暗号がAIに対して一部のインフラサポートを提供できる一方で、信頼、支払い、コンテンツ検証などの面での実用性は限られていると考えています。

CoinDesk の報道によると、Anthropic Opus 4.8 AI モデルを利用して Zcash の深刻な脆弱性を発見したセキュリティエンジニアの Taylor Hornby は、Monero（XMR）を監査リストに追加し、今後さらに多くのプライバシーコインプロジェクトのセキュリティ審査を行う予定であると述べています。Hornby は、5 月 29 日に Zcash Orchard プライバシープールに重大な脆弱性が存在することを発見しました。この脆弱性は 2022 年 5 月以来発見されておらず、理論的には攻撃者が無限に偽の ZEC を発行でき、検出されない可能性があります。開発を担当する Shielded Labs は 6 月 1 日までに緊急修正を完了し、その後脆弱性の詳細を公開しました。この事件の影響で、ZEC は発表後 24 時間以内に一時 38% 下落し、市場は攻撃者がこの脆弱性を利用してプライバシープールから資金を盗んだ可能性を懸念しています。Hornby は、今年 4 月に非営利団体 Shielded Labs に委託され、攻撃者が発見する前にプロトコルの脆弱性を特定する責任を負っていました。脆弱性を利用して利益を得る条件が整っていたにもかかわらず、彼は開発チームに問題を報告することを選び、「このような裏切りは受け入れられない」と述べました。さらに、Hornby は Zcash コミュニティの資金援助を申請し、今後のセキュリティ研究を支援する計画です。

The Defiant の報道によると、イーサリアムの研究者トーマス・コラトジャー、ジャスティン・ドレイクらは6月1日にイーサリアム研究フォーラムで提案を発表し、イーサリアムが後量子暗号学に移行するための最初の具体的なプロトコルアップグレードとして、専用のXMSS公開鍵登録所を設立する計画を立てています。この登録所は、約100万人のバリデーターがBLS署名システムが完全に切り替わる前に量子安全なXMSS鍵を事前に登録できるようにし、重要な「プレヒート段階」として、後の切り替えがネットワークの安定性に与える影響を軽減します。この提案はイーサリアム財団のプロトコルチームのストローマップロードマップに含まれており、そのロードマップ上の最初のプロトコルフォークです。

Cointelegraphの報道によると、イーサリアム財団は最近、ETHを売却し、ステーキングを解除し、公開コミュニケーションが少ないことからコミュニティから批判を受けています。しかし、ブロックチェーン研究者で投資家のウィリアム・ムガイヤーは、外部が長年にわたり財団の位置付けを誤解していると擁護の意見を発表しました。ETH、イーサリアムネットワーク、そしてイーサリアム財団自体は三つの異なる側面です。ETHは資産であり、イーサリアムは共有計算基盤であり、財団はプロトコルの発展を推進する非営利組織です。その目標の一つは「創設者が徐々に重要でなくなるようにする」ことです。イーサリアム財団は現在、「減法の道」を進んでおり、プロトコルのアップグレードを推進し、基盤研究に資金を提供し、自身の中央集権的影響力を低下させることでネットワークを強化しています。

公式な情報によると、スマートコントラクト監査プラットフォーム Code4rena は徐々に運営を停止することを発表し、Web3 セキュリティ会社 Immunefi がその顧客とセキュリティ研究者を引き継ぐことになります。Code4rena はソーシャルメディアに投稿し、運営停止の決定を下したと述べ、すべての進行中のコンペティションと報酬活動は通常通り完了し、既存の協力関係は「適切に締めくくる」としています。Immunefi は Code4rena の報酬プロジェクト、報酬構造、研究者を自社プラットフォームに移行する手助けをすると述べています。Code4rena はその「競争的監査」モデルで知られ、独立した研究者が報酬を得るためにスマートコントラクトの脆弱性を見つける競争を行います。この運営停止は、ブロックチェーンセキュリティ会社 Zellic が 2024 年に Code4rena を買収してから 2 年も経っていません。以前、Code4rena は 2023 年に Paradigm から 600 万ドルを調達し、監査インセンティブとプラットフォームの拡張に使用しました。この閉鎖は、DeFi プロトコルとセキュリティ分野が困難な時期に直面している時期に行われます。DefiLlama のデータによると、4 月だけで 20 件以上の暗号脆弱性事件が発生し、月間記録を更新しました。モルガン・スタンレーのアナリストは、継続的な DeFi セキュリティ事件が主要な機関投資家の参入を制限していると考えています。同時に、DeFi の総ロック資産価値は 10 月の約 1600 億ドルから現在の約 830 億ドルに減少しています。

Paradigm の研究員 Dan Robinson は、PACT（検証可能なアドレス制御タイムスタンプ）と呼ばれる新しい提案を発表しました。これは、中本聡の初期アドレスを含む長期間眠っているビットコインを将来の量子コンピュータ攻撃から保護することを目的としています。このメカニズムは、ユーザーが資産を移動させたり、チェーン上の行動を公開したりすることなく、タイムスタンプを通じてアドレスに対する制御権を証明できることを可能にします。将来の量子攻撃が発生した場合、この証明に基づいて抗量子版のビットコインネットワークで資産を回復することができます。強制移転の提案（例えば BIP-361）と比較して、PACT は資産を積極的に移動させることによるプライバシーの露出問題を回避し、長期保有者により柔軟な前置き防護の道を提供します。

The Blockによると、イーサリアムの研究者たちは「Block-in-Blobs」提案（EIP-8142）を探求しており、ブロック実行負荷データをBlobにエンコードする計画を立てています。検証者はデータ可用性サンプリング（DAS）を通じてデータの存在を確認でき、完全なデータセットをダウンロードする必要がなく、帯域幅の圧力を軽減し、スケーラビリティを向上させることができます。zkEVMのシナリオにおいて、この提案はゼロ知識証明がデータ可用性を保証できないギャップを埋めることができ、実行GasとBlobデータ量を統一して単一の「データGas」体系にすることを目指しています。さらに、Biconomyはイーサリアム財団と共同でERC-8211を提案し、取引を単一の署名の下で順次実行する多段操作をサポートし、失敗した取引を減らし、DeFiのインタラクション体験を最適化します。

イーサリアム財団の研究員 Devansh Mehta は、EthCC 大会でバリデーター収入再分配プラン（VRR）を提案しました。このプランでは、バリデーターがコンセンサス層で信号を発信し、一定割合のステーキング収益を個人ウォレットに全額引き出すのではなく、指定されたスマートコントラクトにリダイレクトすることを自主的に決定できるようにします。受取先は、Gitcoin、Octant などの公共財ファイナンスプラットフォーム、安全監査機関、またはコアプロトコル研究チームなどです。このプランには、2つの実行層の変更が含まれています：バリデーターのリダイレクト割合の信号伝達、および指定されたコントラクトへの資金振り分けの論理実装です。

ビットコインのセキュリティ研究者であり、イーサリアム財団の研究者であるJustin Drakeが、量子コンピュータによるビットコインの解読期限について議論する投稿をしました。Justin Drakeは、Googleの量子AIホワイトペーパーの研究結果は保守的であると考えています。「2032年までに、量子コンピュータは少なくとも10%の確率で漏洩した公開鍵からsecp256k1 ECDSA秘密鍵を復元できるでしょう。2030年以前に暗号学的に意味のある量子コンピュータ（CRQC）が登場することは依然としてあまり可能性がないように感じますが、今こそ準備を始める時です。」Justin Drakeはまた、Groverアルゴリズムを使用して商業的に実行可能なビットコインのプルーフ・オブ・ワークが短期的には実現しないと述べています。「私たちが言っているのは数十年、さらには数世代後のことです。この観察は、議論の焦点をECDSAとSchnorrに置くのに役立つはずです。非公式のビットコインセキュリティ研究者として、私は依然としてセキュリティ予算の減少によりビットコインのプルーフ・オブ・ワークは失敗したと考えています。」