Ethersphere ― リリース自動化を乗っ取られ、bee-jsなどに不正版
分散ストレージSwarmのEthersphereで、攻撃者がリリース用のボットと保守者のGitHubアカウントを使い、11月9日にnpmの @ethersphere/bee-js 13.3.0（約75分公開）と、署名・公証済みのSwarm Desktop 0.56.2（約8時間半公開）を正規のCIから出した。どちらもノードのウォレット鍵と平文のパスワードを盗み、バックドアを入れる。
← タグ一覧へ
タグ / 対象技術
暗号資産
すべての面から13件。公開日の新しい順。（ハードウェアウォレット・XRP Ledger のタグが付いた記事を含みます）キーワードと組み合わせて探す →
LNbits ― 攻撃を受け、全サーバーの停止を呼びかけ
Bitcoin Lightningのウォレット・決済基盤LNbitsが11月8日、「一連の攻撃」を受けて全利用者にサーバーを直ちに止めるよう呼びかけ、運営するホスティングの全インスタンスも停止した。脆弱性の内容、影響する版、CVEは未公表で、2026年11月9日15時（日本時間）時点で修正版は出ていない。
Crédit Mutuel Arkéa ― 委託先経由で銀行自身の口座から不正送金
仏協同組合銀行グループのCrédit Mutuel Arkéaで、攻撃者が委託先のプラットフォームを経由して侵入し、銀行自身の口座から他行への送金を実行した。ZachXBTが指摘した約1億1800万ユーロ（1億3300万ドル）について銀行は「桁は正しい」とし、顧客の資産への影響はないと説明している。資金はステーブルコインを経てMoneroへ換えられたと報じられている。
Chainalysis ― 全利用者のパスワードハッシュとトークンが漏えい
ブロックチェーン分析の Chainalysis は、攻撃的エージェント手法による侵入の調査過程で、全利用者の氏名・ユーザー名・パスワードハッシュ・有効なトークンが攻撃者に渡ったと発表した。調査データや帰属データの改ざんは確認されていない。KYT 等を一時停止し、信頼 IP の許可リストと資格情報の再設定で段階復旧を進めている。
BTCPay Server ― 古い版のサーバーでホットウォレットの資金が抜かれた
11月1日、BTCPay Server 2.4.1（2026年7月公開）以前を動かすサーバーで、ホットウォレットの BTC と LTC が抜かれた。攻撃者は8月の 2.4.2 で直した脆弱性を別の方法で悪用しており、BTCPay は該当サーバーの利用者に、資金を移したうえで新しいシードの新しいサーバーへ移るよう求めている。
Name.com ― DeFiサイトのドメインが乗っ取られ資金抜き取りページに
10月30日夜（米東部時間）から31日にかけて、レジストラ Name.com に登録された Flap、Kintsu、Pickle Finance、Origami など少なくとも12のDeFiサイトの向き先が書き換えられ、ウォレットの資金を抜き取る Step Drainer のページが表示された。Name.com は15ドメインを復旧したとしており、The Block は EVM チェーン上で約13万8,000ドルの被害を追跡した。侵入経路は公表されていない。
Binance ― ホットウォレットから暗号資産が大量流出
10月29日（UTC）、Binance のウォレットから10のブロックチェーンで約63.6億ドル相当が約20分で引き出された。Binance は DevOps エンジニアのノートPC侵害から出金サービスのコンテナに入られたとみており、Ethereum では事前署名した EIP-7702 の委任50件でホットウォレットが乗っ取られた。TRM Labs と Chainalysis は北朝鮮の TraderTraitor によるものと評価し、約27億ドルが凍結された。
Polymarket ― 外部の計測スクリプトが資金抜き取りコードに
10月29日（UTC）、Polymarket が読み込んでいた DebugBear の表示速度計測スクリプトが、Polymarket 専用の資金抜き取りコードに差し替えられた。ログイン中の利用者のセッションと Polymarket 自身の取引クライアント・中継サーバーを使って資金とポジションを移し、Polymarket は合計390万ドルを返金するとしている。DebugBear 側の侵害の原因は公表されていない。
Keystone ― 公式サイト侵害で端末の真正性確認鍵が流出
ハードウェアウォレットの Keystone は、公式サイトで使う外部のデータ監視ツールの脆弱性から権限昇格され、Shopify の購入者記録（氏名・連絡先・住所・注文情報が残る25,964件）と、本物の端末かを確かめる WebAuth 用の鍵が盗まれたと公表した。鍵は製造時に書き込まれ書き換えられないため、古い鍵を持つ在庫18,835台を廃棄し、公式サイトの出荷を止めている。
Ledger端末 ― 正規リセラー経由でハードウェアインプラント混入
Ledgerは東南アジアのリセラーCryptoBilis経由で購入した利用者の資金消失を調査し、影響を受けた1台に不正なハードウェアインプラントを確認した。自社インフラの侵害は否定。Bitqueryは6チェーン・315ウォレットから約9,320万ドルが引き出されたと報告するが、Ledgerは総額を公表していない。Ledger × CryptoBilis。正規リセラー経由の端末に不正なハードウェアインプラント、オンチェーンで約9,320万ドル規模の一斉引き出し。
P7 DarkSword ― 漏洩iOSエクスプロイトキットで暗号資産を窃取
iVerifyがP7 DarkSwordを解析。iOS 18.4〜18.7向けの商用キットが二次流通した変種で、端末上でキーチェーンをJSON化し、ウォレット窃取と15秒間隔の双方向C2を追加。期限切れ分析ドメインecomtrack.ioの再登録経由でも配信が確認された（Report URI）。漏洩したiOSエクスプロイトキットが進化、端末上でキーチェーンと暗号資産ウォレットを抜き双方向C2へ。
XRP Ledger ― 支払いエンジンの整数オーバーフローで大量鋳造が可能に
XRP Ledgerのサーバーソフトxrpld 3.4.0以前で、DEX注文帳を通る支払いの合計が符号付き64ビット整数で桁あふれし、守りの不変条件検査も同じ桁あふれで素通りするバグがあった。AIエージェントが9月21日に発見、9月25日の3.4.1で緊急修正。公開ネットワークでの悪用は確認されていない。XRP Ledgerの支払いエンジン整数オーバーフロー。AIが見つけた約10年の欠陥で、1トランザクションあたり約18兆XRPを鋳造できた。
Bitget ― セキュリティ製品を踏み台にウォレットから資金流出
守るはずのセキュリティ製品がウォレットへの踏み台になった。暗号資産取引所Bitgetのホットウォレット・ウォームウォレットから約3億8750万ドル相当が流出した。SlowMistとMandiantの中間調査によれば、攻撃者は第三者製のセキュリティ製品（アプライアンス）2台を侵害し、そこから本番のウォレットジョブサーバへ横展開した。