Musesec

Web3 をご利用の方はご注意ください。

15分以内に200以上の攻撃ベクトルをつなぎ合わせて防御インフラに対抗できるAIは、あなたのスマートコントラクトの相互作用パスにも対処できます。

今年はすでに、Aria Protocol が盗まれて $12.3M、TesseraDAO が暴落して 99%——いずれも単発の取引攻撃でした。

そして今度は、その速度 × AI の自律性を想像してみてください。

#CyberSafety

攻撃は、短いライフサイクルを持つサンドボックス Agent の集団によって実行されます——数千の並列操作により、C2 チャネルが公開サービス間で移行されます。

HF は、それが何らかの Agent セキュリティ研究フレームワークに基づいて構築されたものだと考えています。

それを駆動しているのはどのモデルでしょうか？ いまだ不明です。

最も恐ろしいのは突破そのものではなく、その速さだ。

最初の15分間で、このエージェントは200種類以上の異なる攻撃ベクターを試みました。

人間のチームは追いつけません。ルールベースのシステムも更新が追いつきません。

これが新しいパラダイムです：機械のスピードによる攻撃 vs 人間のスピードによる防御。

#CyberSafety

攻撃プロセス：

攻撃者は悪意のあるデータセットを Hugging Face にアップロードしました。このデータセットは、2つのコード実行パス—リモートコードローダー + データセット設定内のテンプレート注入—をリンクしています。

次に：権限昇格 → 資格情報の収奪 → 複数の内部クラスターへの横方向移動。

Hugging Face が史上初の自律型 AI エージェントによる攻撃事例を公開。

誰もキーボードの前に座っていない。誰もコマンドを叩いていない。

AI エージェントが週末をかけて HF の基盤インフラを突破し、17,000 件以上の操作ログを残した。

すべてが変わった。🧵

#Web3 #安全

監査に合格した≠安全になった。

公開から72時間以内：Ariaが$12.3M分削除され、TesseraDAOのトークンが99%暴落し、BYTokenがフラッシュローンの組み合わせ攻撃を受けました。監査は第一歩であって、最後の一歩ではありません。

#Web3Security #defi #SmartContract

黒されたわけじゃないかもしれない、もしかすると内部の人間です。

財務担当はマルチシグ権限を持っており、窃盗を運用上の移管に偽装して、案件ごとに審査とコンプライアンスを通した形で許可して通しています。

3か月後にようやく帳尻が合わないことに気づく頃には、20万米ドルがミキサー（ミキシング装置）に送られており、取り戻すことはできません。

マルチシグはゴム印ではありません。信頼だけでは統制は代替できません。#Web3安全 #内部威胁

橋は壊れていないのに、鍵が盗まれた。

AFX Tradeの検証者プライベートキーが漏えいし、攻撃者は正当な署名を使ってシステムを自ら2400万ドル解放させた。合約に不具合はなく、署名もすべて通過し、200秒の異議申し立て期間は実質的に無意味だった。鍵管理は、オフチェーンにおける最大の盲点だ。

#Web3安全 #Arbitrum

取引所はハックされていないが、あなたのコインは言われた通りに消えた。

Gateユーザー170万ドルが盗まれた。顔認証、SMS、メール、谷密（Google Authenticator系の認証）すべての検証に合格したが、プラットフォームは「脆弱性はない」と言った。攻撃者はプラットフォームを侵入する必要はない。必要なのは「彼はあなた本人だ」と証明することだけ。

高額な資産はコールドウォレットに保管してください。

#Web3安全 #取引所安全

$2376万、15分で鍵1本で全部抜き取られる。

OstiumのOracle署名鍵が漏えいし、攻撃者は正当な署名を使って偽の価格を提出。10回の取引でループしながら建てては決済し、金庫は空にされました。これは契約の脆弱性ではありません——検証者はすべて通過し、信頼の“出どころ”そのものが破られたのです。

#Web3安全 #Ostium #DEFİ #Arbitrum

2.92億ドル、1回の取引で消えてしまった。

北朝鮮のLazarusがKelp DAOの検証ノード2つを改ざんし、残りのノードをDDoSで落とした結果、システムは制御された「内通者」だけを信頼せざるを得なくなった——偽造メッセージがそのまま通過し、116,500 rsETHが解放されて送金された。

コードの脆弱性でも、鍵漏洩でもない。問題は「手間を省く」ための設定選択：1/1のDVN単一ノード検証。LayerZeroは複数ノードへの変更を提案したが、誰も聞かなかった。

#Web3安全 #LayerZero #跨链桥安全 #Lazarus #DeFi安全

あなたのコア開発が退職しました。

彼はすべての契約コード、デプロイ権限、マルチシグの秘密鍵、サーバーのroot権限を持っています。

3か月後、オンチェーン上にまったく同じ競合が現れました。

コードはどうやって渡ったのか？防ぐことはできるのか？

👇 4枚の図で、退職シーンにおけるコード盗難の対策を徹底解説——最後まで見たら、すぐに自社の権限を確認したくなります。

DMで連絡ください。無料で退職シーンのセキュリティ診断を行います。

#Web3安全 #区块链安全 #智能合约 #网络安全 #デジタルアセットのセキュリティ