脆弱性事件

Zcashの創設者Zookoは、Zcashが今回のラウンドで800万ドル以上の遡及的な助成金を配布したと発表しました。その中には、今年のAI脆弱性危機の際にすべてのユーザーを守るために尽力した人々に数百万ドルが授与されました。今回の助成金のより重要な意義は、Zcashが再び自ら資金を調達し、自己統治システムの持続可能性と捕獲耐性を証明し、継続的に進化できることを示したことです。Zcashは今後毎年、同様の助成金を複数回実施し、メカニズムの改善を続けていく予定です。

ブロックチェーンセキュリティプラットフォーム Blockaid は、クロスチェーンプロトコル Symbiosis のビットコインブリッジに脆弱性が存在することを発見しました。攻撃者は新たに外部所有のアカウントを作成し、約 2^62 枚の syBTC を鋳造し、8 桁の小数で計算するとその価値は約 461 億ドルに相当します。そして、Ethereum の Uniswap V4 で約 4.39 枚の WBTC を売却し、約 33.6 万ドルを現金化しました。Symbiosis は、攻撃が 9 月 11 日の 4 時 28 分頃に発生したと述べており、チームは BTC ルーティングを一時停止しましたが、他のルーティングは引き続き運用されており、影響を受けていません。チームは約 15 枚のビットコインを回収し、チームが管理するマルチシグウォレットに保管しました。また、攻撃者に対して資金の 20% のホワイトハット報酬を提供し、締切は 9 月 13 日です。最近数週間の間に、Liquid Network、Nomic、Symbiosis の各社は、実際の資産に裏付けられていないトークンを鋳造して供給を拡大するというセキュリティ事件が発生しました。9 月 13 日時点で、Symbiosis は BridgeV2 の技術レビュー、最終的な損失額、または攻撃者が報酬を受け入れたかどうかについて公表していません。

Bitcoin News の監視によると、Liquid Federation は事件報告を発表し、攻撃者が Elements の範囲証明検証キャッシュの脆弱性を利用して、約 4000 枚の無備蓄 L-BTC を鋳造し、その後 SideSwap を通じて認可された退出アンカー経路を介して実際の BTC に交換したと述べています。Liquid の機関は関連する取引を有効と見なし、連邦準備金から約 4000 枚の BTC を解放しました。事件発生前、Liquid は約 4205 枚の BTC を保有しており、運営停止前の準備金は最低 197 枚の BTC にまで減少しました。自称ホワイトハットの攻撃者はその後 3400 枚の BTC を返還しましたが、約 598.5 枚の BTC は未返還のままです。秘密鍵は漏洩しておらず、退出アンカー機構自体は設計通りに機能しています。Liquid は現在もオフラインの状態にあり、Blockstream は Elements v23.3.4 の緊急バージョンをリリースする準備を進めており、1:1 のビットコイン準備の支援の下でネットワークを復旧させる作業を行っています。

公式の発表によると、The Sandboxは正式にSAND補償の申請を開始した。8月22日に発生したBaseとBNB Smart Chain（BSC）ネットワークのSANDクロスチェーン契約の脆弱性事件で影響を受けたユーザーは、事件発生前に影響を受けたネットワーク上のブリッジ版SANDを保有していた場合、1:1の比率でイーサリアムネットワーク上のSANDの全額補償を受けることができる。補償資格は事件発生前のオンチェーン残高のスナップショットに基づき、ユーザーの事件発生後の取引、送金、または保有行動とは無関係である。The Sandboxは、補償資格が契約がハッキングされる前に記録されたオンチェーン残高に基づいて決定されると述べており、Baseネットワークのスナップショットは2026年8月21日23:42:03 UTCのブロック50283188に対応し、BSCのスナップショットは2026年8月21日11:42:44 UTCのブロック117322025に対応している。中央集権型取引所を通じてBaseまたはBSCネットワークのSANDを保有しているユーザーは、何の行動も取る必要はなく、The Sandboxは関連取引所と調整して補償を処理している；個人ウォレットを通じて保有しているユーザーは自ら申請を行う必要がある。申請期間は9月8日から9月22日24:00（UTC+8）まで。申請は、事件のスナップショット時にSANDを保有していた元のウォレットから1回の取引を発起するだけで済み、トークンの承認やオフチェーンメッセージの署名、または任意のアドレスへの送金は不要である。

The Sandboxは8月22日に脆弱性事件の事後分析報告を発表しました。報告によると、攻撃者はBaseおよびBNBスマートチェーン（BSC）上のクロスチェーン設定に関連する契約の脆弱性を利用し、Ethereumの金庫から14,742,341.84枚のSANDを盗み出しました。これは最大供給量の約0.5%に相当し、経済的影響は約149.68万ドルと推定され、そのうち約98.7万ドルが攻撃者によって実際に奪われました。EthereumメインネットおよびPolygonネットワークは影響を受けていません。別途通知があるまで、BaseまたはBNBスマートチェーン上でSANDを購入または送信しないでください。BaseおよびBNBスマートチェーン上に展開されている契約は永久に無効化され、再開されることはありません。The Sandboxは、チームが攻撃者のウォレットアドレスをブロックチェーン分析会社TRM LabsおよびChainalysisに報告し、関連する取引所と直接コミュニケーションを取っていると述べています。The Sandboxは同時に補償プランを発表し、事件発生前にBaseまたはBSC上で合法的にクロスチェーンSANDを保有していたウォレットに対し、1:1の比率でEthereum SANDで補償を行います。補償資金はThe Sandboxの金庫から提供され、新しいトークンは発行されません。申請プロセスは今後2週間以内に開始され、2週間の間開放されます。

Galaxyの研究責任者の監視によると、Coldcardの脆弱性事件は8865のアドレスに関与し、合計で1789.28枚のBTCが失われ、盗難時の価値は1.147億ドル、現在の価値は1.388億ドルです。アドレス別に統計を取ると、単一アドレスの損失中央値は0.00152枚のBTC、平均値は0.20184枚のBTCです；アドレスの休眠期間の中央値は3.2年、平均値は3.6年です。221件の被害者報告の中で、損失の中央値は1.04272枚のBTC、平均値は3.57792枚のBTCです；休眠期間の中央値は3.25年、平均値は2.99年です。被害者が報告した損失は790.72枚のBTCで、総損失の44.2%を占めています。中程度の信頼度の損失を含め、関連する損失がまだ確認されていない場合、総損失は1824枚のBTCに達し、損失発生時の価格で計算すると価値は1.4億ドルになります。

The Blockによると、Coldcardの脆弱性によるウォレット移行の影響で、先週のビットコイン新アドレスの数が約26万から33万を超え、2026年のほとんどの期間の下降トレンドを逆転させました。7月30日以降、Coinkiteハードウェアウォレットのユーザーは4回の攻撃で少なくとも1,816 BTC（約1.16億ドル）を失いました。この脆弱性は2021年のファームウェアの欠陥に起因しており、助記詞を生成する際に安全性の低いソフトウェア乱数生成器を使用し、デバイス内蔵のハードウェアエントロピー源を使用しなかったため、攻撃者はオフラインで生成されたウォレットをブルートフォース攻撃で解読可能でした。Coinkiteは2021年3月から安全パッチのリリースまでにウォレットを生成したユーザーに新しいウォレットへの移行を推奨しています。この事件は自己管理の実施リスクを浮き彫りにし、ユーザーは自己管理と中央集権取引所やETFなどの管理ソリューションの利点と欠点を再評価しています。

Arkhamの監視によると、あるアドレスがZcashのプライバシープールOrchard Poolからプール内の総量の約1%に相当するZECを引き出した。現在、Orchard Poolは理論上約388万枚のZECを保持しており、現価格で計算すると約16.5億ドルの価値がある。

Dragonflyの管理パートナーであるHaseebは、最近修正されたZcashの脆弱性についての投稿で、市場にはこの事件に関する多くの誤解が存在すると述べています。彼は、脆弱性が修正される前に利用されたとしても、攻撃者はプライバシープール内のZECを偽造することでしか利益を得られず、これらのトークンが主流の取引所に入るためには、プライバシーアドレスから透明アドレスへの変換を完了する必要があると指摘しました。透明アドレス内のZECの供給量は公開検証可能であり、最大供給量を超える異常な転出は発見され、阻止されるため、透明なZECを保有する投資家や取引所のユーザーの大多数は影響を受けないでしょう。Haseebは、Zcashチームが今後のアップグレードで新しい「ターンスタイル」メカニズムと新しいプライバシープールを導入し、現在のプライバシープールにインフレ問題が存在しないことを検証する計画であると述べました。彼はまた、形式的に検証された暗号システムが設計レベルで実装エラーを減少させることができると述べました。Haseebは最後に、Dragonflyが現在もZECを保有しており、彼自身もZODLの投資家であることを明らかにしました。

Polygonの公式は、rsETHの脆弱性を積極的に監視していると発表しました：Polygon Chain、Agglayer、そしてKatanaやVaultbridgeを含む全エコシステムは今回の事件の影響を受けていません。Polygonはこれまでに2兆ドル以上の資金を安全に移転しており、今後も事態の進展を注意深く見守っていくとのことです。

SolanaFloor の最新データによると、Drift プロトコルの脆弱性事件の影響範囲が拡大しており、影響を受けたプロトコルは以前の 11 から 20 に増加し、新たに PiggyBank、Perena、Vectis、Valeo、Amp Pay、Loopscale、Prime Numbers Fi、Gauntlet、Exponent の 9 つのプロトコルが追加されました。具体的な損失については、Prime Numbers Fi の推定損失は 1000 万ドルを超え、Gauntlet は約 640 万ドル、Neutral Trade は約 367 万ドル、Elemental DeFi は約 290 万ドル、Reflect Money は約 195 万ドル、Vectis は約 169 万ドル、Ranger Finance は約 91.9 万ドル、Pyra は約 55.1 万ドル、PiggyBank は確認された損失が 10.6 万ドルで、チームが全額を補償します。各プロトコルは適切な措置を講じており、大多数は鋳造、償還、入出金または関連する金庫機能を一時停止しています。Prime Numbers Fi はまだ評価中で、具体的な行動は発表されていません。Vectis はまだ応答していませんが、Ranger Finance によってリスクエクスポージャーが確認されています。Gauntlet はさらなる供給を制限し、Drift と調整を行っています。

PeckShieldによると、3月には20件の主要な暗号ハッキングおよび脆弱性事件が発生し、約5200万ドルの損失が出ました。これは2月の2650万ドルから約96%の増加です。その中で、Resolv Labsは攻撃を受け、2500万ドル以上のUSDTペッグのステーブルコインUSRTを失いました。攻撃者はそのUSR発行契約の脆弱性を利用して、約8000万枚の無担保ステーブルコインを追加で発行し、USRの価格は約80%暴落し、Morpho Blue、Euler、FluidなどのDeFiプロトコルにおいてシステミックな不良債権が形成されました。さらに、Xユーザーの"Sillytuna"は、約2400万ドルのAaveイーサリアムUSDC（aEthUSDC）が、誘拐と暴力の脅威を伴うオフライン攻撃で盗まれたと述べています。攻撃者はその後、ビットコイン、モネロ、及び複数のLayer 2ネットワークを通じて資金を分散して移転しました。

ChainCatcher のメッセージによると、Bedrock の公式情報が発表され、uniBTC のセキュリティ脆弱性に関する分析レポートが公開されました。主な内容は以下の通りです：コントラクトの脆弱性が確認され、解決されました；すべての資産は安全です；エアドロップ計画：すべての uniBTC 保有者は 100 ダイヤモンドのエアドロップを申請できます。今後の TGE コミュニティエアドロップは 0.5% 増加します；コントラクトの開始時間は公式の通知を待つ必要があります。

ChainCatcher のメッセージによると、MetaMask は X プラットフォームで投稿し、MetaMask Bridge ユーザーは Socket 脆弱性の影響を受けないと述べています。MetaMask は、クロスチェーンブリッジ契約を設計する際に独自のアーキテクチャを採用し、このような攻撃から防ぐことを目的としていると指摘しています。

ChainCatcher メッセージ、アメリカ証券取引委員会（SEC）議長のゲイリー・ゲンスラーは声明を発表し、現在、無許可の第三者がSECのシステム、データ、デバイス、またはその他のソーシャルメディアアカウントへのアクセス権を取得したという証拠はないと述べました。彼はアメリカ証券取引委員会がこのサイバーセキュリティ事件を真剣に受け止めており、現在、このセキュリティの脆弱性が暗号通貨機関、投資家、市場に与える影響を評価していると述べました。さらに、スタッフは追加の救済措置が必要かどうかを引き続き評価します。

ChainCatcher のメッセージ、イーサリアムプログラミング言語 Vyper が先週の脆弱性事件に関する事後分析レポートを発表しました。レポートによると、7 月 30 日に Vyper コンパイラの潜在的な脆弱性により、複数の Curve 流動性プールが悪用されました。この脆弱性は、正しく実装されていない再入防止策であり、影響を受けた Vyper のバージョンには v0.2.15、v0.2.16 および v0.3.0 が含まれます。Vyper は、この脆弱性が v0.3.1 バージョンで修正され、テストされたと述べており、v0.3.1 以降のバージョンは安全であるとしています。しかし、その時点では、脆弱なバージョンのコンパイラを使用しているプロトコルに影響を与えることに気づいておらず、下流のプロトコルに対しても迅速に通知されていませんでした。

ChainCatcher のメッセージによると、Curve Finance は、以前の流動性プールの脆弱性攻撃事件がそのネイティブステーブルコイン crvUSD の価格に大きな影響を与えなかったとツイートしました。crvUSD も為替レートのペッグが外れる問題は発生していません。Curve Finance は、最近の数日間の事件は、ある意味で以前のシリコンバレー銀行と USDC の状況に似ていると述べ、crvUSD の価格は 0.35% 下落し、現在のペッグレートはわずか 0.1% の低下にとどまっているとしています。

ChainCatcher のメッセージによると、DeFi プロトコル MetronomeDAO は、Curve プールの脆弱性事件で利用された資金の大部分を無事に回収したとツイートし、残りの資金回収に向けて引き続き努力することを発表しました。プロジェクトチームは次のステップとして、回復計画を急いで確定する必要があります。現在、新しい msETH/WETH プールが設立され、初期流動性が注入されており、今後 10 日間でさらに増加する予定です。回復計画には、LP がこの新しいプールでどのように地位を確保するかが含まれます。この新しい msETH/WETH プールの展開時に、プロジェクトチームは Metronome メインネットの運用を回復できたことを確認しました。ユーザーは再び自分の Metronome Synth とスマートマイニングを管理できるようになります。