脆弱性

The Hacker Newsによると、オランダ国家サイバーセキュリティセンター（NCSC）は、AppleのmacOSの画面共有コンポーネントにおいて最近修正された深刻な認証の脆弱性（CVE-2026-65400、CVSSスコア9.8）が実際に悪用されていると警告しています。攻撃者は有効な認証情報なしでインターネットに露出した（ポート5900）Macにアクセスし、モネロのマイニングプログラムを植え付けることができます。Appleは8月6日にmacOS Tahoe 26.6.1、Sequoia 15.7.9およびSonoma 14.8.9の緊急更新でこの脆弱性を修正し、状態管理を改善して認証の検証を強化しました。NCSCは、複数の攻撃において攻撃者がroot権限を取得し、マイニングソフトウェアを展開したことを確認しています。セキュリティ研究者@osxreverserは、同じコンポーネントにおける別の事前認証の脆弱性（こちらも26.6で修正）を明らかにし、ターゲットIPのみでパスワード認証をバイパスでき、ユーザー名なしで利用できることを示しました。Calif社によると、研究者はわずか4時間でAIを利用して2つの脆弱性の実用的な攻撃コードを開発したことが示されており、AIが脆弱性の発見から攻撃コードの開発までの時間を大幅に短縮していることがわかります。ユーザーには直ちにシステムを更新することをお勧めします。更新できない場合は、画面共有機能を無効にしてください。

SafePalは、その注文追跡プラグインにセキュリティの脆弱性が存在し、一部の顧客情報が未承認でアクセスされたことを示しています。今回の事件は約39,798名のユーザーに関与しており、影響を受けたユーザーは2025年3月2日から2026年4月11日までの間に注文を行った顧客です。漏洩した情報には名前、メールアドレス、配送先住所、電話番号、購入詳細が含まれますが、リカバリーフレーズ、秘密鍵、ウォレットパスワード、銀行カード情報、または政府発行の身分証明書番号は含まれていません。SafePalは、現在関連する脆弱性が修正され、影響を受けたユーザーに個別に通知されたと述べています。また、公式に確認ページが立ち上げられ、ユーザーは注文番号と配送国を通じて自分が影響を受けているかどうかを確認できます。

Galaxyの研究責任者によると、190人以上のColdcardの脆弱性攻撃の被害者と連絡を取り、まだ連絡を取っていない被害者には私信で連絡するようにお願いしており、追跡情報を提供し、関連機関への損失報告を支援しています。8月6日以来、新たな攻撃事件は確認されていませんが、これは新たな攻撃が発生しないことを意味するものではなく、警戒を続ける必要があります。

Bitcoin NewsはXプラットフォームで、最先端のAIを使用してほぼ全てのビットコインオープンソースエコシステムの脆弱性をスキャンした結果、Bitcoin Red Teamのメンバー@callebtcが「容易に発見できる脆弱性はすでに処理済み」と述べ、メンテナーが「大量」の深刻かつ高リスクの脆弱性を検証中であると報告しました。@callebtcは、主な発見には以下が含まれると述べています：数十年にわたるオープンソース技術の負債が、人間の研究者が到達できない速度と規模で脆弱性を発見するAIの能力と同時に露呈していること；Lightningは特に影響を受けやすく、その複雑さはその安全性が「平均よりも悪い」ことを意味していること；確認された安全が得られるまで、メンテナンスされていないビットコインプロジェクトは脆弱性が存在するものとして扱われるべきであること。数ヶ月前からAIの安全性と監査プロセスを構築しているプロジェクトは、今まで待っていたプロジェクトとは完全に異なる位置にあります。Bitcoin Red Teamはほぼ全てのビットコインオープンソースエコシステムの基礎スキャンを完了しました。容易に発見できる脆弱性はほぼ処理済みですが、AIの能力が向上するにつれて、外部のレッドチームテストは無期限に続く可能性があります。「大量」の深刻かつ高リスクの脆弱性が発見され報告されたにもかかわらず、@callebtcはこのプロセスが最終的にビットコインをより強力にするだろうと考えています。同様のAI安全審査は、ビットコインを超えた分野にもすぐに拡大されるでしょう。

Bitcoin News は X プラットフォームで、Trezor が物流サービスプロバイダー ShipMonk のセキュリティ脆弱性により顧客データが漏洩したと述べています。過去 90 日間にアメリカ、イギリス、スウェーデン、コロンビア、ブラジル、イタリア、またはポルトガルで注文を受けた顧客が影響を受ける可能性があります。漏洩したデータには、氏名、配送先住所、電話番号、メールアドレス、注文番号が含まれます。Trezor はそのシステムが侵害されていないこと、デバイスは依然として安全であることを述べていますが、影響を受けた顧客に対して漏洩した情報を利用した巧妙に設計されたフィッシング攻撃に対する警戒を呼びかけています。

Harmonyの監視によると、Harmonyはロールバックプランを進めており、バリデーターや取引所と具体的な道筋について合意に達しました。ミントの脆弱性修正は有効化されており、攻撃者のウォレットリストが近日中に公開される予定です。以前、Harmonyネットワークで異常にミントされたONEトークンの数量は3兆枚を超え、6つの異常ブロックが関与しています。

Decrypt の報道によると、イスラエルのサイバーセキュリティ企業 ASecurity が発表した報告書によれば、ある研究者が公開されている AI モデルを使用し、24 時間以内に 20 件未満のプロンプトを通じて Zoom の注釈ツールに複数の脆弱性を発見し、利用可能な攻撃チェーンを構築したとのことです。この脆弱性は CVE-2026-53413、CVE-2026-53414、CVE-2026-53415 と番号付けされており、攻撃者は会議中に被害者の操作なしでリモートでコードを実行し、デバイスを制御し、データを盗み、マイクやカメラを起動することができます。この攻撃は Windows、macOS、Linux、Android および iOS 版の Zoom で有効であることが確認されており、ASecurity はそのレベルを「国家級」と称しています。従来、このような利用ツールを構築するには専門チームが数ヶ月の作業と巨額の予算を必要としました。ASecurity は 6 月 10 日に Zoom に最初の脆弱性を報告し、Zoom は 6 月 22 日から 7 月 20 日の間に修正を順次公開しましたが、エンドツーエンドの暗号化会議におけるサーバー側の防護は悪意のあるメッセージをフィルタリングできず、ユーザーは手動で更新する必要があります。Zoom のスポークスマンは問題が解決されたことを確認し、ユーザーに最新バージョンを維持するように勧めました。

ビットコインウォレット Electrum が 4.8.1 バージョンをリリースしました。公式は今回の更新に「重要なセキュリティ修正」が含まれていると述べ、ユーザーに早急なアップグレードを求めています。再現可能な開発者は、ダウンロードページにバイナリパッケージの独立した署名を提供しており、リリースパッケージとソースコードの整合性を検証するために使用されます。

Cointelegraph の報道によると、Ravencoin はコンセンサスの脆弱性により攻撃を受け、価格は 0.002754 米ドルの歴史的な最低値に下落し、24 時間の高値から約 22% の下落となりました。この脆弱性により、脆弱なノードが無効なブロックを受け入れてしまい、最初の既知の悪用行為はブロック高 4,487,776 に現れました。大多数のネットワーク計算力を制御するマイニングプール 2Miners と RavenMiner は、影響を受けたブランチを除外する競争チェーンを構築しています。このチェーンが主導権を握ると、ネットワークは約 3 日間のチェーン再編成が発生する可能性があり、ブロック 4,487,775 以降に確認された取引は取り消される可能性があります。Ravencoin は、チェーンが安定するまで取引所に対して入出金を一時停止することを推奨しており、Upbit と Bitget は RVN の送金を一時停止しました。

The Blockによると、Coldcardの脆弱性によるウォレット移行の影響で、先週のビットコイン新アドレスの数が約26万から33万を超え、2026年のほとんどの期間の下降トレンドを逆転させました。7月30日以降、Coinkiteハードウェアウォレットのユーザーは4回の攻撃で少なくとも1,816 BTC（約1.16億ドル）を失いました。この脆弱性は2021年のファームウェアの欠陥に起因しており、助記詞を生成する際に安全性の低いソフトウェア乱数生成器を使用し、デバイス内蔵のハードウェアエントロピー源を使用しなかったため、攻撃者はオフラインで生成されたウォレットをブルートフォース攻撃で解読可能でした。Coinkiteは2021年3月から安全パッチのリリースまでにウォレットを生成したユーザーに新しいウォレットへの移行を推奨しています。この事件は自己管理の実施リスクを浮き彫りにし、ユーザーは自己管理と中央集権取引所やETFなどの管理ソリューションの利点と欠点を再評価しています。

PoW ブロックチェーン Ravencoin は、ネットワークに重要なコンセンサスの脆弱性が発生し、悪用されたことをツイートしました。これにより、脆弱なノードが無効なブロックを受け入れることになりました。最初に確認された無効なブロックは、高さ 4,487,776 に出現しました。現在、過半数のハッシュレートを制御している 2Miners と RavenMiner は、高さ 4,487,776 から悪用されたブランチを除外するチェーンを掘削していると述べています。このチェーンが主導チェーンとなる場合、約 3 日間の深いチェーン再編成が発生する可能性があります。公式は、ネットワークが安定するまで CEX に RVN の入出金を一時停止することを推奨しています；高さ 4,487,775 以降に確認された取引はリスクがあると見なされるべきです。公式はまた、この通知は透明性とリスク意識を高めることを目的としており、いかなるロールバックや復元計画の支持を示すものではないと強調しています。

Oraichainは、昨日の事件がEVMクロスチェーン転送パスの脆弱性に起因し、無許可のORAIが鋳造されたことを示しています。8月9日04:00 UTCから、ネットワークは停止しており、ブリッジ契約、クロスチェーンパス、および公共インターフェースも制限されています。関連する脆弱性パスは特定され、対処されました。関連資金移動パスは制限されています。チームはパートナーおよび中央集権型取引所と協力して、資金のさらなる流出を制限し、影響を受けた資産を保護しています。現在、調査と帳簿の照合が進行中であり、チームは無許可で鋳造された残高を廃棄し、影響を受けたプロトコルの状態を照合および修正するためにORAIの標準供給量を回復する準備をしています。

The Blockによると、ビットコインのオープンソース決済処理システムBTCPay Serverの支持者は、資金を回収するための報奨金を設立することを約束しました：回収した資金の10%が報酬として支払われ、全額回収された場合の上限は3枚のBTCです。BTCPayは先週の金曜日に深刻な脆弱性が積極的に悪用されていることを明らかにし、ユーザーに早急なアップグレードを促しました。この脆弱性により、攻撃者はLND管理者の資格情報を取得し、接続されたライトニングウォレットを完全に制御することが可能になります。BTCPayは、オンチェーンウォレット（ホットウォレットを含む）は影響を受けないと述べており、総損失額や影響を受けたノードの数は公開していません。

OpenAIはネットワークセキュリティ防御プランDaybreakを拡張し、ネットワークセキュリティ分野専用のGPT-5.6-Cyberモデルを発表しました。これは、認可されたセキュリティ研究者や防御チームが脆弱性発見、脅威分析、セキュリティテスト能力を向上させることを目的としています。攻撃者がAIを利用してより迅速かつ大規模なネットワーク攻撃を仕掛ける中、防御側は先進的なAI能力を事前に取得する必要があります。今回のDaybreakは2種類のアクセス権を提供します：Daybreak Blueは大多数の防御チーム向けで、脆弱性発見、安全コードレビュー、マルウェア分析、インシデントレスポンス、パッチ検証に使用されるGPT-5.6 Solなどの汎用モデルを提供します。一方、Daybreak Redは高度なセキュリティ研究向けで、認可された脆弱性研究、脆弱性検証、セキュリティテストに使用されるGPT-5.6-Cyberを提供します。GPT-5.6-CyberはGPT-5.6 Solを基にトレーニングされ、ネットワークセキュリティタスクに最適化されており、ゼロデイ脆弱性の発見や脆弱性悪用チェーンの分析などが含まれます。実際の脆弱性研究に使用され、Chrome V8 JavaScriptエンジンを含むソフトウェアの高危険脆弱性が発見されています。さらに、OpenAIはGPT-5.6-Cyberがモバイルオペレーティングシステムの権限昇格脆弱性、データベースのリモートコード実行脆弱性、オペレーティングシステムカーネルの数百の権限昇格脆弱性など、さまざまな分野の高危険脆弱性の発見にも役立ったと述べています。OpenAIは同時に、Daybreak Redは承認された個人および組織にのみ開放され、アクセス権は認証、アカウントセキュリティ、監視、使用制限、法的声明などの手段によって制御されると強調しています。会社は、高度なネットワークセキュリティモデルの悪用リスクを低減するために、セキュリティ監視、権限管理、モデルセキュリティテストを強化し続けると述べています。

Coinsbuyは安全事件が発生したことを確認し、プラットフォームのウォレットが無許可で引き出されたと発表しました。会社は顧客の損失を自社の準備金で補填し、10万ドルの報奨金を提供すると述べています。

Forbesの報道によると、Coldcardハードウェアウォレットの脆弱性事件による盗難規模は約1.3億ドルに達し、約2000枚のBTC、5200以上のアドレスが関与しており、私鍵を誰が保管すべきかについての業界内での議論が再燃しています。Bitcoin Magazineのデータによると、事件後数日間でアメリカの現物ビットコインETFには6.26億ドルの純流入があり、一部の見解では脆弱性がより多くの資金をETFに向かわせる可能性があるとされています。報道によれば、自分で管理することを支持する人々は揺らいでおらず、Casaの共同創設者Jameson Loppは最近の事件によって自分で管理することへの信頼を失うべきではないと述べています。管理機関もまた乱数生成器に依存しており、ビットコインの初期開発者Peter Toddは自分で管理することの履歴は第三者よりもはるかに良好であると述べています。別の見解では、両方の反射的選択肢には欠陥があるとされ、Onrampの共同創設者Michael Tangumaは、唯一の答えがCoinbaseまたはETFであるならば、それは深刻な問題であり、本来分散化されるべき資産を集中化することはその基盤を弱めると主張し、複数の規制機関が鍵を分担するマルチエージェンシーの管理ソリューションを提唱しています。

Bifrost の監視によると、ハッカーは流動性プールの脆弱性を利用して、vDOT 単一コインプールおよび vASTR/ASTR、vMANTA/MANTA プールから約 72 万ドル相当の資産を盗みました。関連資産はその後 HitBTC に預けられ、最終的にバイナンスに流入しました。Bifrost はバイナンスのセキュリティ部門に資金凍結申請を提出し、法執行機関に報告書とオンチェーン証拠パッケージを提出しました。これには取引追跡、ウォレットアドレス、タイムスタンプが含まれています。現在、Bifrost はすべての流動性マイニング報酬を停止し、全面的なセキュリティレビューを実施しています。

Cointelegraphの報道によると、BTCPayサーバーは、Lightning Network Daemon (LND) ソフトウェアを実行しているLightning Networkノードへの公共リモート接続を一時的に制限しました。これは、攻撃者が深刻な脆弱性を利用して認証情報を取得し、資金を移転したためです。BTCPayは、この制限により、Zeusなどの外部ウォレットがBTCPayサーバーのドメインを介して接続するのを防ぐことができると述べています。BTCPayは、Lightning支払いは引き続き行えるとし、安全だと判断した際にリモートアクセスオプションを復元する計画です。

Decrypt の報道によると、あるボランティアセキュリティチームが最先端の人工知能モデルを使用して 150 のビットコインコードリポジトリをスキャンし、十数の脆弱性を発見したと述べています。このチームは、ウォレット、暗号ライブラリ、インフラストラクチャ、その他のビットコインプロジェクトを対象とした複数の AI ベースのレビューシステムを構築しています。チームのメンバーは、現在平均して各自が毎時約 1 つの重大な脆弱性を発見できると述べており、過去 12 時間で複数のプロジェクトにセキュリティレポートを提出したが、具体的に影響を受けたプロジェクトはまだ公開されていないとしています。