BTCPay Serverのセキュリティ注意喚起
バイナンスが、出庫を徐々に始めてるのだが、普通に考えると内部的に安全性が担保されてるとか、更に攻撃されて資産が盗まれる事はないと判断してるのだろうな、と推測するのだけど、攻撃の詳細、原因、 現状の安全対策のアナウンスが出てこないな。
バイナンスのセキュリティインシデント・アップデート #3 が出たが、主に返金などの話で、どう攻撃されたのかについては記載なし
取引所から資金が流出した場合、ユーザーに資金が全額補填されれば問題はないのか？ バイナンスから盗まれたお金が、北朝鮮のミサイルに化けるかもしれない。だから今回の約1兆円（約63億ドル）の流出は、暗号資産を1円も持っていない人にも関係があります。 米FBIは、今回の事件を北朝鮮の犯行と断定しました。日米韓の政府は以前から、暗号資産の窃取が北朝鮮の核・ミサイル開発の資金源になっていると指摘しています。 バイナンスが全額補償すれば、利用者の資産は守れます。でも、補償のためにお金を出すのはバイナンスです。北朝鮮が盗んだお金は、それだけでは1円も減りません。 バイナンスの発表によると、10月30日時点で凍結できたのは流出額の約半分。一方、FBIは、犯人が盗んだ資産をイーサ（ETH）に交換する動きをすでに確認し、関連する取引を止めるよう事業者に求めています。 「利用者にいくら補償できたか」と同じくらい、「北朝鮮が使う前にいくら止められたか。そこから実際にいくら取り戻せたか」を追う必要があります。日本にとっては、安全保障の問題です。
バイナンスってFireblocksのポリシーエンジンみたいなものを実装してるのかな? 現状、なかったのかなって雰囲気ではあるが、証拠は何もない。
Googleのカストディサービス 個人的には、メチャクチャ追い風で嬉し過ぎる
Rustの暗号計算クレート crypto-bigint にて、タイミング攻撃（サイドチャネル攻撃）に繋がる脆弱性（RUSTSEC-2026-0387）が報告されています。 単に「アップデートすれば解決」という話にとどまらず、Alloyをはじめとする主要なWeb3/EVMスタックを採用しているプロダクトに直接影響が出ているため、状況の整理と注意喚起を兼ねて共有します。 1. 脆弱性の概要 対象クレート: crypto-bigint（巨大整数の固定サイズ演算ライブラリ） 問題点: 減算やモンゴメリー乗算などの内部処理において、コンパイラ最適化等の影響で条件分岐が発生し、処理時間に入力データ依存の差が生じる。 リスク: 攻撃者がミリ/マイクロ秒単位の実行時間を精密計測することで、秘密鍵などの機密情報を推測・復元されるおそれ（タイミング攻撃）。 2. なぜ今「すぐにアップグレードできない」のか？ crypto-bigint 自体には修正版（v0.7.6）がリリースされていますが、上流ライブラリの依存関係で足止めを喰らうケースが発生しています。 EVM/Ethereum周りで広く使われている alloy が、暗号クレートである k256 v0.13 に依存。 しかし、現状 k256 v0.13 側が crypto-bigint v0.7.6 への追従に対応していない（またはリリース待ち）。 そのため、プロジェクト側で cargo update を叩くだけでは解消できず、依存関係のロックによって古いバージョンが残り続ける構造になっています。 3. 今後の対応・チェック手順 影響の可視化:まずは cargo tree -i crypto-bigint や cargo audit を実行し、自分のプロジェクトでどの経路（alloy -> k256 等）から依存が入っているかを確認。 上流の追従待ちと監視:k256 および alloy 側でのバンプPR（パッチ適用リリース）を注視。 ワークアラウンドの検討:どうしても先行して対応が必要な場合、Cargo.toml の [patch.crates-io] を使って依存関係を強制的に差し替える等の検証を行う。 Rust/Web3エコシステム全体で修正が波及するまでに多少のタイムラグが生じる見込みです。該当スタックを運用されている方は、依存ツリーの挙動を追っておくことを強くおすすめします。 ▼RustSec アドバイザリー https://t.co/FJSYIOHwtH #Rust #RustLang #Web3 #Alloy #Ethereum #Security #暗号技術
AIにブロックチェーン関係の事を聞く人も多いと思うけど、僕の現時点での印象 ・広範囲の知識は半端ない ・リサーチのスピード半端ない ・今まで仕事をお願いしてきた人のアウトプットと比べても、大学院生レベルの知性はありそう ・議論相手としてはとてもいい とは言え ・プロレベルの知識はない ・ネットに書かれてない業界の知識とかは当然ない ・大学院生レベル以上の知性はない なので、質問をすると、毎回間違いや考慮してない点が発生するので、ツッコミを入れないといけない というのが、現時点でも私の感想です。 有料課金で最新モデルを使っての感想です。 僕のプロンプトとか使い方がイマイチなのかも知れないけど。
政治家が政治家に不利になるような政治決断をしにくいのではないかと推測してるけど、これを多くの人がやり始めれば、改正されるかも知れない。