web3safety

想像してみてください。あるトレーダーが、$BTC と$ETH を長期間安全に保管するため、新しいウォレットを作成しました。悪意のあるリンクを一度もクリックしていないのに、数か月後に目を覚ますと残高が空になっていました。

多くの投資家は、怪しいdAppやフィッシングサイトを避ければ、なけなしの貯蓄を守るには十分だと思っています。実際には、ウォレット作成時のたった一つの不注意な習慣が、最初の取引をする前に、気づかないうちにポートフォリオを消し去ってしまうことがあります。

このケースでひそかに起きていたのは、モバイル端末の同期設定が初期状態のままだったことです。ウォレットの初期設定中、ユーザーは時間を節約しようとリカバリーフレーズのスクリーンショットを撮り、あとで書き留めるつもりでした。ところが数秒後、その画像はバックグラウンドでクラウドに自動アップロードされました。

クラウドアカウントやサードパーティ製アプリの権限が侵害されると、自動化されたスクレイパーがOCRツールを使い、シードフレーズを狙って写真ライブラリ全体をスキャンします。実際の端末は机の上に手つかずのまま置かれている一方で、$SOL やその他のトークンは、数分以内にブロックチェーン上から消えてしまいます。

あなたの周りには、シードフレーズのスクリーンショットをクラウドの履歴に残したままにしている人が、どれくらいいると思いますか？

#CryptoSecurity #SelfCustody #Web3セキュリティ

アドレスポイズニング：取引履歴に潜む詐欺 🚨
資金を失うのに、リンクをクリックしたりシードフレーズを共有したりする必要はありません。間違ったアドレスをコピーするだけで十分です。
仕組み：
1️⃣ 詐欺師は、頻繁に取引するウォレットをブロックチェーン上で監視します。
2️⃣ あなたや連絡先のアドレスと最初と最後の文字が同じ、そっくりなアドレスを作ります。
3️⃣ 少額、または価値のない取引をあなたに送り、偽のアドレスが取引履歴に表示されるようにします。
4️⃣ 次に履歴からコピーするとき、偽のアドレスを選んでしまう可能性があり、資金を失います。ブロックチェーン上の送金は取り消せません。
身を守る方法：
✅ 取引履歴からアドレスをコピーしないでください。
✅ 最初と最後の文字だけでなく、アドレス全体を照合してください。
✅ 信頼できるアドレスはアドレス帳やホワイトリストに保存してください。
✅ 高額を送金する前に、少額のテスト送金をしてください。
✅ 予期しない価値ゼロの送金は無視し、絶対に操作しないでください。
暗号資産では、貼り付けを一度間違えただけで、すべてを失うことがあります。落ち着いて確認してから送金しましょう。🔐
送金する前に、どんな習慣を実践していますか？コメントで教えてください 👇
これは教育目的のみであり、金融アドバイスではありません。
#BinanceSquare #writetoearn #CryptoSecurity #Web3Safety

清算システムにおける安全性チェックの欠落が、1億9700万ドルの大惨事につながった。📉

2023年3月、Euler Financeという分散型貸付プロトコルが大規模なエクスプロイト（不正攻撃）を受けた。🚨

このプロトコルは最近、ポジションを健全に保つために、ユーザーが流動性プールに資金を寄付できる新機能を導入していた。💸

しかし開発者は、寄付された資金がプロトコル内部のレバレッジ・システムと相互作用する際に、重要なバリデーション（検証）チェックを含めるのを失念していた。⚠️

攻撃者はこの欠陥に気づき、意図的に不自然に悪い債務（バッドデット）ポジションを作り出せることを理解した。🧠

多額の借入資金を寄付し、すぐに自己清算をトリガーすることで、システムは残高を誤って計算し、攻撃者に裏付けのない信用を数百万ドル分付与してしまった。💥

数分のうちに、ハッカーはDai Staked Ethereum（ステーク済みDAI）とWrapped Bitcoin（ラップBTC）で2億9700万ドル超を流出させた。💰

プロトコルチームは直ちにオンチェーンでの交渉を開始し、暗号化メッセージをハッカーのウォレットに直接送った。💬

緊迫した公開コミュニケーションと、国際的な法執行機関の圧力が数週間続いた後、ハッカーは謝罪し、盗まれた資金のほぼすべてを返還した。🤝

これは、流動性コードにおけるほんのわずかな論理上の見落としでも、数億ドル規模の即時リスクにさらされ得ることを示している。🛡️

オンチェーンでの外交によってプロトコルが復旧できるなら、それはWeb3の強靭さか、それとも脆弱性を物語っているのだろうか。🤔

#CryptoSecurity #EulerFinance #DeFi #Web3Safety #FlashLoan .

🎯 大規模な取引所の不正侵害を受けて、暗号のセキュリティが再び注目を集めています

大手暗号プラットフォームでの重大なセキュリティ事故により、取引所とウォレットのリスクが、再び市場の議論の中心になっています。

公表情報によると、顧客の出金が数億ドル規模で影響を受けた可能性があり、調査では、侵害された社内アクセスやインフラの脆弱性に焦点が当てられています。これは、暗号における基本的なルールを思い起こさせる出来事です。

市場リスクだけがリスクではありません。運用上のセキュリティも重要です。

利用者にとっては、アカウント保護を価格の変動と同じくらい真剣に扱うことを意味します。

強力で一意のパスワードを使用する

二要素認証（2FA）を有効にする

出金設定やデバイス設定を確認する

フィッシングのリンクやなりすましメッセージに注意する

資産がどこで、どのように保管されているかを理解する

これは基盤となるブロックチェーン技術を変えるものではありませんが、カストディ（保管）、プラットフォームの統制、そしてユーザーのセキュリティ習慣が依然として重要である理由を改めて示しています。

#CryptoSecurity #Web3Safety #Write2Earn

詳細な更新ニュースはフォローして下さい...

@TRS Alpha
@Marco cryptos
@NIRJHOR CRYPTO
@CRYPTO INQUIAD

今でも多くのトレーダーは、Web3のメッセージアプリを無害なチャットルームだと考えています。しかし、最近発生した秘密鍵流出の70％以上は、まさにこうしたチャンネル内で、未確認のボットに権限を与えたことが原因でした。

アルファグループで気軽に雑談しているだけのつもりが、気づけばウォレットの残高をわずか数秒ですべて抜き取られていた——そんな不意打ちを受けるのは簡単です。侵害されたTelegramやDiscordのWebhookによって、苦労して築いた資金を失う苦痛は、どんなトレーダーも味わいたくありません。

メッセージアプリに対する私たちの考え方が、完全に通用しなくなっていることについて話す必要があります。従来のWeb2の世界では、メッセージアプリは独立したコミュニケーションツールにすぎず、最悪の事態といえばスパムでした。しかし、$TONのようなオンチェーン資産を連携したり、$SOL ミニプログラムを介してエコシステムのdAppを利用したりすると、チャット画面は実質的に、ホットウォレットを操作するための実行レイヤーへと変わります。

チャットルーム内で自動化スクリプトに権限を与えたり、署名付きメッセージの確認画面をタップしたりすると、トランザクションに署名する機能を第三者のエンドポイントに直接さらすことになります。正規の署名リクエストを装える、過剰な権限を持つボットトークンを悪用できるなら、攻撃者は$ETH もはや複雑なスマートコントラクトを解読する必要すらありません。チャットアプリを個人的なメッセージのやり取りと同じ気軽さで扱うことは、今や資産をすべて失う最も手っ取り早い方法の一つです。

あなたは現在、コミュニケーションツールをメインのオンチェーン資産からどのように切り離していますか？

#CryptoSecurity #Web3Safety #OnChainAnalysis

なぜ誰もがスマートコントラクトの監査にこだわり続けているのに、真の攻撃経路はあなたのデスクトップのすぐそばにあるのでしょうか？

多くのトレーダーは、不審な取引を承認しなければ資金は安全だと考えています。ところが目を覚ますと、数秒でポートフォリオ全体が奪い取られていることに気づきます。

オンチェーンデータで追跡されたアドレス「0x7028…35887」を見てください。現在、204,648 $USDC を保有しており、さらに盗まれた$ETH やその他の資産が複数のチェーンに散らばっています。これはプロトコルの脆弱性でもブリッジの悪用でもありません。リモートアクセス型トロイの木馬が、被害者のマシンから稼働中でアンロックされたブラウザウォレットのセッションを乗っ取り、そのまま残高をすべて回収しました。

多数のアクティブなトレーダーが、悪い取引へのサインを行うことなく、オープンウォレット内のすべてのトークンを失ったと報告しています。マルウェアの初期配布方法は未確認のままですが、現実は明確です。攻撃者があなたのOSを侵害した時点で、標準的なブラウザウォレットの防御では何の保護にもなりません。

アクティブなポートフォリオ管理において、ホットなブラウザウォレットはハードウェアレベルの確認なしではリスクが高くなってきているのでしょうか？

#CryptoSecurity #Web3Safety #OnChainAnalysis

単一の悪意ある許可（パーミッション）署名が、48時間以内に分散型ウォレットから235,747ドルを流出させた。単一のパスワードも解読せずに。

多くのトレーダーは次の相場サイクルを当てることに夢中になるが、あなたのポートフォリオにとって最大の脅威は、たいてい忙しい取引セッション中にうっかり行ってしまった未確認の承認（オプトイン）だ。私たちは控えめなリターンを得るために何年も積み上げてきたのに、見落とした1つの権限のせいで残高が消えていくのを見ることになる。

2017年以来、あらゆるエクスプロイトの“型”を追ってきたが、今回のパターンは見慣れている。攻撃者はもはやチェーンを破って侵入することはあまりせず、私たちの疲労を突くだけだ。最新のこの事件では、ドレイナーが流動性235,747ドルを組織的に吸い上げ、被害者が秘密鍵の漏えいに気づく前に$ETH および $BNB プールをまたいで資産を振り向けた。

2021年の強気相場のときにも、まったく同じドレイナーのコントラクトが、calldata（コールデータ）を確認せずに急いで取引したDeFiユーザーを一掃していた。市場は常に新しい機会を提示するが、コールドストレージの分離と定期的な許可（アローワンス）管理だけが、ベテラン口座が利益を得るのに十分な時間生き残る理由になる。

あなたは日々使うウォレットで、実際にどれくらいの頻度でスマートコントラクトの有効な許可を監査し、取り消しているだろうか？

#CryptoSecurity #Web3Safety #DeFi

新しいdAppsで奇妙な検証パズルを解くために、まだブラウザの警告を回避しているなら、今すぐやめてください。

巧妙なソーシャルエンジニアリングに引っかかるのが最速で、通常の取引を確認しているだけだと思っている間に、ウォレットが不正に抜き取られてしまいます。

この手口は、過去のサイクルで$ETH および $BTC 人の保有者に被害を与えた古いクリップボードハイジャックの流行と同じです。フィッシングサイトは現在、インタラクティブなパズルであるかのように見せかけて、翻訳ツールや安全性拡張機能を無効化するようユーザーを騙し、その後に悪意のある署名リクエストを提示します。

$SOL でトレーダーを油断させた偽のブリッジ脆弱性と同様に、これらのスクリプトは、日常的なセキュリティチェックを想定しているまさにそのタイミングで、認知疲労を突いてきます。拡張のガードレールが外れると、許可はたった一度の誤った承認だけで通ってしまいます。

最近、新しいプロトコルでこうした欺瞞的な検証プロンプトに遭遇しましたか？
#CryptoSecurity #Web3Safety #TradingRisks

先月のウォレット流出（ドレイン）事故の60％以上が、ルーチンのボット検証ポップアップに見えるものから始まっていました。

多くのトレーダーはセキュリティのプロンプトを何も考えずにそのままクリックしてしまい、数秒で残高を空にする悪意あるトランザクションに署名している可能性に気づいていません。

私たちはこのパターンをオンチェーン上で頻繁に確認しています。通常のセキュリティ画面がフィッシングのフロントエンドによってなりすまされるのです。正規の検証チェックはネットワークの健全性を保ち、$BNB and $ETH tradingプールをスパムボットから守りますが、悪意あるクローンは偽の検証チャレンジを使って、トークンの許可（アローワンス）を承認させようとしてきます。

自動スイーパーは、分散型アプリを操作する前に「自分が人間であることを証明しているだけだ」と思い込んでいるトレーダーを定期的に狙います。セキュリティチェックが標準的なブラウザのCAPTCHAではなく、ウォレット署名や接続を要求してきた場合は、即座に警戒サインです。

正当なプロトコルは、侵入的な権限要求ではなく、バックエンドでのレート制限やプルーフ・オブ・ワーク（計算量による検証）に依存しています。大量の資金を$BTC をコールドストレージに保管し、新しいやり取りには専用の「使い捨て（バーナー）」ウォレットを使い続けることが、最も安全な構成です。

検証プロンプトの承認前に、実際にコントラクトのデータを確認している人はどれくらいいるでしょうか？

#CryptoSecurity #Web3Safety #OnChainAnalysis

🔥 オープンディスカッション：
本当に、暗号の世界で「倫理的ハッカー」を守る法律が必要なのでしょうか？

私たちは皆、ブロックチェーンの安全性とユーザーの資産が、Web3産業の成長における最初の防衛線であることを知っています。

しかし、彼らの働きの性質が「誤解」されることで法律が時に追いかけてくる一方で、**倫理的ハッカー（White Hat Hackers）**は毎日、大規模な侵害に対する本当の盾であることを証明しています。
議論が広がる中：#CLARITYActToRewardWhiteHatHackers

そこで、バイナンス・コミュニティの皆さんに、以下の問いを投げかけます：

🛡️現在の規制は、セキュリティ研究者を後押しするのに十分だと思いますか？それとも彼らを縛っているのでしょうか？

💰プロジェクトやプラットフォームは、倫理的ハッカーにとって公正で魅力的なものとなるよう、金銭的な報酬のバランスをどう取ればよいのでしょうか？

⚖️近いうちに、「善意」をもって脆弱性を報告する人たちを守る、世界的な法的承認が見られるでしょうか？

このデリケートなテーマについて、皆さんのご意見と声をぜひ伺いたいです！

👇

#CLARITYActToRewardWhiteHatHackers #BinanceSquareFamily #Web3Safety #BlockchainSecurity
$NVDAB $MSFTB $TSMB

$AAPLB
$NVDAB
⚠️ セキュリティアラート：Adform サプライチェーン・スクリプト侵害

Web3のセキュリティは、ハードウェアウォレットだけにとどまりません。ブラウザ側の衛生（ヒュージーン）も重要です。

最近のインシデント報告では、Adformの広告スクリプトを狙ったサプライチェーンの悪用が指摘されました。そのスクリプトは一時的にクライアントサイトを改変し、コピー＆ペーストの操作時に宛先の暗号ウォレットアドレスを差し替えていました。

リスク：攻撃者は、影響を受けたスクリプトが動作しているサイトにおいて、主要なネットワーク形式（EthereumやTronのアドレスを含む）のクリップボードコピー機能を標的にしました。

アクション：取引を確定する前に、宛先アドレスを文字ごとに必ず再確認し、外部のdAppインターフェースを頻繁に利用する場合はブラウザのキャッシュを消去してください。

安全にお過ごしください！

#CryptoSecurityResponse #Web3Safety #AssetProtection #ScamAlert

あなたのGoogle検索が詐欺サイトに導いている

もうGoogle検索で分散型アプリを探すのはやめて。最近、偽のUniswap広告を使ったフィッシング攻撃があり、たった2週間で127万ドルを盗まれた💸

攻撃手法はシンプル：広告スペースを買う → 公式ページをコピー → お前がウォレットを署名するのを待つ → 資金が消える🪄

リカバリーフレーズを盗む必要も、悪意のあるソフトをインストールする必要もなく、お前が自分で金を他人に送ってしまった。

いくつかの命を守るアドバイス：
✅ 公式サイトをブックマークして、検索に頼らない
✅ ウォレットを接続する前にURLを一目見る
✅ 認可リクエストをもう一度確認してから署名する
✅ 定期的に不要なトークンの承認を取り消す

ハードウェアウォレットはプライベートキーを守るが、お前の判断力は守れない⚠️

#CryptoSecurity #Phishing #Uniswap #Web3Safety

#CryptoSecurity

ほとんどの「厳選された」ローンチパッドは、誰かがデッキを読んでロゴを気に入っただけの意味だ

@DAO Labs は、実際の厳選がどのように見えるかを発表した。ローンチパッドの「認証」バッジを信じてお金を失ったことがあるなら、ぜひ分解してみるべきだ

どのプロジェクトも彼らのソーシャルマイニングエコシステムに触れる前に、5つのチェックをクリアしなければならない
→ 実際の市場の準備に対する評価、膨れ上がったFDVではなく
→ VC、チーム、コミュニティ間のトークン配分、公平性の監査
→ TGEのアンロックが制限されており、初期のホルダーが初日からあなたにダンプできないように
→ チームに対するベスティングとクリフが施行されており、静かなショートカットはなし
→ 契約は継続的に監視されており、署名時だけではない

最後のポイントは、ほとんどのローンチパッドがスキップする部分だ。TGEでのチェックは、誰も6ヶ月後に見ていなければ無意味だ

このフレームワークを運用した結果
NEM/Symbol: 創世時に350mから6.7bの時価総額
MultiversX: ユニコーンステータス、100xで上昇中
Avalanche Genesisテストネット: 実際のバリデーターから500xのATH ROI、ボットではない
RWA ILO: クリーンな100%アンロックで13xのATH

しかし、あなたの安全のために実際に重要な部分はここだ
Autonomysは、自らのアンロック契約を破ったため1/10のスコアを得て、TGEの2週間後までトークンを保持した
DAO Labsはそれをキャッチし、埋めるのではなく違反を公開した

勝利だけを示すフレームワークはマーケティングだ
自らの悪い選択や契約違反を公開するフレームワークは、実際のデューデリジェンスだ

次回、ローンチパッドが完璧なトラックレコードを手渡してきたら、彼らが何を言っていないのかを尋ねてみてください

完全なケーススタディ: https://dao-labs.com/posts/4-successes-1-failure-lessons-from-evaluating-web3-projects

#SocialMining #DAOLabs #Web3Safety

ほとんどのウォレットドレーナーやフィッシング詐欺は、スマートコントラクトを破壊しません。代わりに、アクティブなブラウザセッショントークンを乗っ取るだけです。気づかないうちに、コンプロマイズされたブラウザ状態によって手に入れたポートフォリオを一晩で失うのは、暗号資産の中で最悪の感情のひとつです。

ログインセッションを維持するために欠かせないこれらのクッキーは、フォーム送信やプライバシー設定といった基本的なサイト機能を壊さずに無効化することはできません。これらのシステムトークンは直接あなたの個人情報を保存しているわけではありませんが、攻撃者がそれらを抽出すれば、アクティブなセッションを再現して取引リクエストを傍受し、主要パスワードを必要とせずに$BNB または$ETH の残高を引き出すことができます。

安全のために、ブラウザレベルでこれらの必須クッキーをブロックすると、主要な取引インターフェースや注文の実行は単に動かなくなります。$BTC の保有資産を守るには、必要なセッショントールを壊すのではなく、日常のWeb閲覧環境と取引環境を分ける必要があります。

アクティブなブラウザセッションと取引キャッシュはどのくらいの頻度でクリアしていますか？

#CryptoSecurity #Web3Safety #Binance

ハッカーが複数のフラッシュローンを連鎖させて、1億3000万ドル規模の数学的エクスプロイトを実行した。

2021年10月、分散型貸付プロトコル「Cream Finance（クリーム・ファイナンス）」が、同年に3度目となる資金流出を被った。
攻撃者は、異なるプラットフォームにまたがって複数のフラッシュローンを用いることで、DeFi史上でも最も数学的に複雑な攻撃の一つを実行した。

資金を直接盗む代わりに、ハッカーは巨額の借入を行い、利息が付くトークンとして生成された資産を調達し、その後、プロトコル内でそれらのトークンの内部評価を操作した。

担保の価値を不自然に引き上げることで、攻撃者は借入可能額の再計算を天文学的な水準にまで押し上げた。
その偽の借入上限を使って、Cream Financeにある利用可能な流動性のほぼすべてを引き出し、プロトコルは1億3000万ドルの不良債権を抱えることになった。

一連の作業は、数秒で終了した単一のイーサリアム取引ブロック内で完了した。

これは、複数の複雑なプロトコルが接続されると、予期しない相互作用が深刻なシステミック（体制的）な脆弱性を生み出し得ることを示した。
個々のスマートコントラクトが数学的に正しく設計されていても、それらを組み合わせたロジックが止められないセキュリティ上の欠陥を生むことはあり得るのだ。

#CreamFinance #FlashLoanExploit #Web3Safety 。