🚨 セキュリティアラート | リーダー利用者が8600万ドルを超えるウォレット盗難を報告 💸 10月9日、東南アジアの複数のリーダー硬件ウォレット利用者が、リーダーの販売代理店であるCryptoBilisを通じて購入したデバイスに関連する不正な資産振替を報告しました。 オンチェーンでの公開調査によると、Bitcoin、Ethereum、TRONを含む複数のネットワークで、8600万ドル以上が盗まれた可能性があります。 リーダーは現在調査を継続中であり、CryptoBilisに対してリーダー機器の販売および出荷を一時停止するよう要請しました。被害者の正確な人数および総損失額は、まだ公式に確認されていません。 🔍 主なセキュリティ調査結果 オンチェーン分析により、複数のブロックチェーンにまたがる協調的な資産振替が特定されました。複数のTRONウォレットがほぼ同時にトークン承認を送信し、その後すぐに引き出しが行われました。 このパターンは、攻撃者が複数のウォレットの署名制御権を獲得した可能性を示唆しています。 初期の侵入経路はまだ不明です。可能性のある攻撃経路としては、配送または配達中のデバイス改ざんや、回復用フレーズの漏洩が挙げられますが、現在のところリーダーのファームウェアまたはハードウェアセキュリティ機構に脆弱性が存在するという確実な証拠はありません。 ⚠️ セキュリティ推奨事項 リーダーは、過去90日以内にCryptoBilisを通じてデバイスを購入したユーザーに対して、以下の対策を取るよう勧告しています。 未使用のデバイス：今後の通知があるまで初期化または使用しないでください。 既に初期化済みのデバイス：信頼できるデバイス上で新しい回復用フレーズを生成し、できるだけ早く資産を新しいウォレットに移転することを検討してください。 回復用フレーズのセキュリティ：新しいデバイス上で元の回復用フレーズを復元したり、誰かと共有したりしないでください。 ✍️ BitsLab セキュリティリマインダー： ハードウェアウォレットのセキュリティは、秘密鍵の生成からデバイスの配送、日常的な使用に至るまで、ライフサイクル全体に依存しています。 回復用フレーズが漏洩した可能性がある場合、ハードウェアウォレットを交換したり、ウォレットアプリを再インストールしてもリスクは排除されません。資産は、新たに生成された回復用フレーズで保護されたウォレットに移転する必要があります。 調査は継続中です。攻撃経路および総損失額はまだ確認されていません。 #SecurityAlert #Web3Security #Ledger
💸 リクイッドネットワークからの約3億2000万ドルの異常なペグアウトは、キー compromis の事象ではなかった可能性があります。 9月6日、リクイッド連合ウォレットから約4,000 BTCが引き出されました。しかし、リクイッドとSideSwapによると、ペグアウト承認キー（PAK）は侵害されておらず、他の署名キーも盗まれていません。 🔋 この事象をさらに興味深くしているのは、引き出しが通常のペグアウトフローを経て、少なくとも15人の機能者中の11人がBitcoinトランザクションに署名したことです。 🛡️ これは、「攻撃者がキーを盗み、引き出しに署名した」という失敗ではなく、本来有効とされるべきでない状態が有効と誤って認識され、その後のコンポーネントが通常のルールに従って承認と署名を完了した可能性を示唆しています。 🖲️ SideSwapは現在、この問題がElementsのバグに起因していると見ています。自らをホワイトハットと称する彼らは、OP_RETURNメッセージを通じてBlockstreamと連絡を取り、すべてのノードに修正が展開された後、「ほとんどの」BTCを返却すると述べています。 キーポイント：すべての署名者が同じ欠陥のある状態を検証している場合、たとえ完全に安全なキーであっても、誤った結果を生む可能性があります。 #Bitcoin #LiquidNetwork #Web3Security
🚨 セキュリティアラート：AIエージェントバックエンドRCE 🔍 根本原因：攻撃者が制御する外部コンテンツが小売AIエージェントのワークフローに導入され、間接的なプロンプトインジェクション→プロンプト/ツール開示→バックエンドRCEという攻撃チェーンが可能になりました。 📌 対象：米国トップ3小売業者のAIショッピングアシスタント 📌 攻撃面：パブリックモバイルインターフェース 📌 研究者：Netanel Rubin、Dan Avraham、Rein Security 📌 公開：Black Hat USA 2026 影響：特権アクセスは不要でした。この攻撃は、一般の買い物客が使用するのと同じインターフェースからトリガー可能でした。 AIエージェントのセキュリティは、モデル操作を超えて進化しています。プロンプトインジェクションは、今や本物のバックエンド侵害への道筋となり得ます。
🛑BitsLabは、デジタル資産のためのAI駆動型セキュリティインフラを構築しています。 Web3チーム、プロトコル、企業向けに、スマートコントラクト監査、ペネトレーションテスト、形式的検証、AIによるリスク検出を提供します。✅ ここでご期待いただける内容： 🟠セキュリティアラート 🟢攻撃の詳細分析 🟣監査の洞察 🟡セキュリティ手法 エコシステム：@MoveBit_ | @scalebit_ | @tonbit_ 🛡️ウェブサイト：https://t.co/M56qRPzIf2 取り上げてほしいWeb3セキュリティのトピックがありますか？コメントでお知らせください。🙌
Balancer V2は、すべてのプールにわたるすべてのトークンを保持するための1つの契約をデプロイしました。 これは単一障害点に見えるかもしれません。 しかし、これがクロスプールアービトラージがトークンをゼロ移動させる理由であり、フラッシュローンがプロトコル全体の流動性にアクセスできる理由でもあります。 Vaultに関するスレッド 🧵👇 https://t.co/Vj4Dn7mmbQ
🔬 BitsLab Researchより新情報 Balancer V2は、すべてのプールにわたるすべてのトークンを保持するための1つのコントラクトをデプロイしました。 これは単一障害点に見えるかもしれませんが、実はそれが理由です： → プール間アービトラージではトークンが移動しない → フラッシュローンはプロトコル全体の流動性にアクセス可能 → 2トークンのスワップがたった1回のSSTOREで完了 私たちは数週間かけて、Vaultコントラクトを1行ずつ丁寧に解析しました。3部構成のBalancer V2ディープダイブの第1部が公開されました。ガス最適化のすべてのテクニック、すべてのセキュリティチェック、そして誰も言及しないトレードオフ（2023年8月のBoostedプールの出来事はアーキテクチャ上の不運ではなく意図的な設計でした）を網羅しています。 DeFiプロトコルの構築中、監査中、または投資を考えている方には、15分の価値があります。 📖 第1部を読む ↓ https://t.co/4ZHF2BoLUO 第2部（プールの数式）と第3部（実際の脆弱性の事後分析）を近日公開予定です。