LNbits ― 攻撃を受け、全サーバーの停止を呼びかけ
Bitcoin Lightningのウォレット・決済基盤LNbitsが11月8日、「一連の攻撃」を受けて全利用者にサーバーを直ちに止めるよう呼びかけ、運営するホスティングの全インスタンスも停止した。脆弱性の内容、影響する版、CVEは未公表で、2026年11月9日15時（日本時間）時点で修正版は出ていない。
← タグ一覧へ
タグ / インシデント種別
金銭被害・不正利用
すべての面から12件。公開日の新しい順。（不正取引・ポイント不正交換・不正発行・アカウント不正利用・特別損失 のタグが付いた記事を含みます）キーワードと組み合わせて探す →
Crédit Mutuel Arkéa ― 委託先経由で銀行自身の口座から不正送金
仏協同組合銀行グループのCrédit Mutuel Arkéaで、攻撃者が委託先のプラットフォームを経由して侵入し、銀行自身の口座から他行への送金を実行した。ZachXBTが指摘した約1億1800万ユーロ（1億3300万ドル）について銀行は「桁は正しい」とし、顧客の資産への影響はないと説明している。資金はステーブルコインを経てMoneroへ換えられたと報じられている。
BTCPay Server ― 古い版のサーバーでホットウォレットの資金が抜かれた
11月1日、BTCPay Server 2.4.1（2026年7月公開）以前を動かすサーバーで、ホットウォレットの BTC と LTC が抜かれた。攻撃者は8月の 2.4.2 で直した脆弱性を別の方法で悪用しており、BTCPay は該当サーバーの利用者に、資金を移したうえで新しいシードの新しいサーバーへ移るよう求めている。
Name.com ― DeFiサイトのドメインが乗っ取られ資金抜き取りページに
10月30日夜（米東部時間）から31日にかけて、レジストラ Name.com に登録された Flap、Kintsu、Pickle Finance、Origami など少なくとも12のDeFiサイトの向き先が書き換えられ、ウォレットの資金を抜き取る Step Drainer のページが表示された。Name.com は15ドメインを復旧したとしており、The Block は EVM チェーン上で約13万8,000ドルの被害を追跡した。侵入経路は公表されていない。
Northflank ― 侵害を受け顧客のAIキーが不正利用される
開発者向けクラウド基盤の Northflank は10月30日（UTC）、Wiz の警告を受けて侵害を公表し、顧客の環境変数はすべて復号されたものとして秘密情報を入れ替えるよう求めた。複数の顧客が AI の API キーの不正利用を報告している。侵入経路と影響範囲は未公表。Wiz は10月に同様の事案が AI 開発者向け基盤で少なくとも9件あったとまとめている。
Binance ― ホットウォレットから暗号資産が大量流出
10月29日（UTC）、Binance のウォレットから10のブロックチェーンで約63.6億ドル相当が約20分で引き出された。Binance は DevOps エンジニアのノートPC侵害から出金サービスのコンテナに入られたとみており、Ethereum では事前署名した EIP-7702 の委任50件でホットウォレットが乗っ取られた。TRM Labs と Chainalysis は北朝鮮の TraderTraitor によるものと評価し、約27億ドルが凍結された。
DHC ― オンラインショップで会員情報が書き換えられた
DHCは2026年10月30日、オンラインショップへの不正アクセスで5,096アカウントの会員情報が書き換えられたと公表した。書き換えられたお届け先は最大5,520件で、氏名・住所・電話番号・購入履歴・カード番号の下4桁が閲覧された可能性がある。不審な注文27件と不正な新規登録71件も見つかった。
Polymarket ― 外部の計測スクリプトが資金抜き取りコードに
10月29日（UTC）、Polymarket が読み込んでいた DebugBear の表示速度計測スクリプトが、Polymarket 専用の資金抜き取りコードに差し替えられた。ログイン中の利用者のセッションと Polymarket 自身の取引クライアント・中継サーバーを使って資金とポジションを移し、Polymarket は合計390万ドルを返金するとしている。DebugBear 側の侵害の原因は公表されていない。
バンダイロジパル ― 物流システムに不正アクセス、配送情報漏えいの可能性
バンダイナムコホールディングス、BANDAI SPIRITS、物流子会社のバンダイロジパルは2026年10月26日、ロジパルが管理する物流システムへの不正アクセス（10月21日発覚）を公表した。同社アカウントの不正利用による操作が確認され、BANDAI SPIRITSが配送を委託する「一番くじ ONLINE」の配送情報（氏名・住所・電話番号）に漏えいの可能性がある。件数は調査中で、カード情報は含まれない。ロジパルは安全が確認できるまで出荷システムを止めている。物流システムへの不正アクセスで「一番くじ ONLINE」の配送情報に漏えいの可能性、出荷システムを一時停止。
ギフティ ― システムの脆弱性を突かれeギフトを不正発行された
ギフティグループは2026年10月26日、連結子会社ギフティが運用するシステムの一部が10月25日に脆弱性を悪用した不正アクセスを受け、そのシステムを経由してeギフトが新たに不正発行されたと発表した。損失は約5.5億円の見込みで、2026年12月期第4四半期に特別損失を計上する。利用者が持つeギフトの不正使用や資産の毀損、個人情報の漏えいは確認されていない。原因の経路は特定・遮断し、当該システムは停止して今後も再開しない方針。
岩井コスモ証券 ― 委託先の設定不備で情報漏洩と不正な売買注文
岩井コスモ証券のインターネット取引システムを運用・保守するトレードワークスのシステムに10月14日、不正アクセスがあった。管理機能の設定不備が悪用され、顧客4,975名の氏名・メールアドレスなどが漏洩した。同じ日に売買管理システムへの攻撃もあり、7口座で顧客の意図しない売買注文が出され、うち5口座で約定した。取引は元に戻され、顧客の負担はないとしている。
GMOリサーチ＆AI「infoQ」 ― 会員情報流出とポイント不正交換
GMOリサーチ＆AIは、アンケートサイト「infoQ」が10月2日以降に不正アクセスを受け、第2報（10月14日）で外部に持ち出された個人情報を89万4,082件と確定したと公表した。第1報の最大94万8,498件から下方修正。項目は氏名・住所・生年月日・暗号化パスワードなど。611件・2,869,500円分のポイントが本人の意思によらずAmazonギフトコードに交換された。原因はサイトで使っていたソフトウェアの脆弱性の悪用。10月7日に全会員のパスワードを無効化。