Ledgerのハードウェアウォレット改ざん問題で欧州にも関連端末とみられる手がかりが浮上するなか、XRP Ledgerでは過去に18兆枚超のXRPを発行できた可能性があるコード脆弱性も明らかになった。前者はハードウェアのサプライチェーン、後者はブロックチェーンの基盤ソフトウェアに関わる問題だ。いずれも問題が広範囲に拡散した、または実際に悪用されたことを示す証拠は確認されていないが、デジタル資産の保管体制とプロトコルコードの検証に新たな論点を突きつけている。
欧州の家電量販店で改ざん疑いのLedger端末
XユーザーのJohannes氏は、2週間前に欧州の家電量販チェーンMediaMarktで購入したLedger端末の内部に、何らかの部品が不正に組み込まれている疑いがあるとして、端末の写真を公開した。写真に写った装置は比較的古いモデルに属するとみられ、アジアのCryptoBilis経由で流通した端末から見つかった部品と似ている。現時点で、この欧州の端末が資金流出につながった証拠はない。
Johannes氏は、端末が正常に動作しない状態にある可能性のほか、攻撃者が改ざん端末の利用台数が増えるのを待っている可能性にも言及した。アジアで発生したLedger端末問題の調査には、暗号資産取引所Mt. Goxの元最高経営責任者（CEO）であるMark Karpeles氏も関わっている。同氏は、問題の端末に付けられたアンテナの表示が「ユーラシア向けバージョン」を示していると説明した。攻撃者が、異なる携帯通信周波数帯を使う地域向けに複数種類の部品を用意していた可能性があるという。ただし、Ledgerは欧州の端末がこれまでの攻撃と同一事案に関係しているとは確認していない。
これまでにアジアの一部ユーザーが使用していたLedger端末にも改変が見つかっていた。端末はLedgerの正規販売代理店CryptoBilisから購入されたもので、同社は最近、経営権が移っている。改ざんによって攻撃者がウォレットのリカバリーフレーズを読み取り、資金を移動できる可能性がある一方、端末自体は正規品の認証を通過できるため、通常の真贋確認だけでは異常を見分けられない可能性がある。
LedgerはCryptoBilisに販売と出荷の停止を求め、過去90日以内に同代理店から端末を購入した顧客には、新しいLedger端末への資産移管を検討するよう呼びかけた。Ledgerは最新の更新情報で、影響を受けた端末の数は限定的だとしている。サイバーセキュリティ機関Yfarmxは、471のアドレスと約9340万ドルの損失が関係したと推定しているが、この金額はLedgerによって確認されていない。
CryptoBilisは、インドネシア、マレーシア、フィリピンでLedgerの正規販売代理店として登録されている。欧州の端末が最終的にアジアの事案と関連づけられれば、調査対象は単一地域の販売経路から、端末の流通、再販、地域別モデルを含むサプライチェーン全体へ広がることになる。
XRP Ledgerの脆弱性、18兆枚超の発行が理論上可能に
セキュリティ企業Veria Labsは、XRPのコードに存在したオーバーフロー脆弱性を発見し、25万ドルの報奨金を受け取った。この脆弱性は2015年からXRP Ledger関連コードに存在していたが、すでに修正されている。現時点で、実際に悪用されたことを示す証拠はない。
Veria Labs共同創業者のCayden Liao氏によると、XRP Ledgerを動かすソフトウェア「rippled」を人工知能（AI）エージェントで検査したところ、深刻度が比較的低い2つの脆弱性が見つかった。個別に見れば影響は限定的だったが、両方を組み合わせることで、研究者はより大規模な攻撃につながり得る手法を設計した。
Liao氏は、攻撃用のトランザクションによって理論上18兆枚を超えるXRPを生成できた可能性があると説明した。これは現在の総供給量の184倍に相当する。XRPの時価総額を約940億ドルとして計算すると、脆弱性が悪用された場合、ネットワーク上の資産価値全体に影響が及び得る規模になる。ただし、過去最大級の暗号資産攻撃を上回る理論上の規模であり、同じ数量のトークン発行や資金損失が実際に起きたことを意味しない。
Veria Labsは9月22日に関係チームへ脆弱性を報告し、RippleXは3日後に修正を完了した。Liao氏は、単独では深刻度が低い2つの問題を連鎖させられたことが、脆弱性の発見が長期にわたって遅れた一因になった可能性があるとみている。悪用の痕跡が確認されていないため、市場ではコード上の潜在的な影響と、実際にチェーン上で発生した事象を区別する必要がある。
Vitalik氏、AIと暗号技術の影響を早期検証すべきと主張
イーサリアム共同創設者のVitalik Buterin氏は、研究者のJustin Drake氏が示した「バンカー・モード」の警告を支持した。Drake氏は、AIによる数学研究の進展が、量子コンピューターが既存の暗号体系に本格的な脅威を与える前に、現在のブロックチェーンで使われている暗号技術に圧力をかける可能性を懸念している。
Buterin氏は、利用者が直ちに資金を新しいウォレットへ移すことを推奨しているわけではないとしつつ、AIによる数学研究の加速が暗号技術にもたらし得るリスクは真剣に扱うべきだと述べた。Drake氏は、AIエージェントが楕円曲線暗号や格子暗号に関する新たな数学的構造を発見する可能性に備え、暗号資産業界は早めに準備すべきだとしている。
OpenAIは最近、人間がこれまで解決していなかった数学研究上の成果を数百件公表した。ただし、それらは現時点で暗号技術を対象としておらず、AIエージェントが既存のブロックチェーン暗号を解読できる段階に近づいたことを示す証拠もない。そのため、複数のプロジェクト関係者やアナリストは、こうした警告が短期的なリスクを大きく見せている可能性を指摘している。一方で支持者は、複雑な数学問題を解くAIの進歩速度を踏まえれば、現時点で攻撃事例がないことだけを根拠に長期的な安全性を評価すべきではないと主張している。
Samsung Wallet、米国でUSDC送金を提供へ
Samsungは10月最終週に、米国の条件を満たすGalaxyユーザーを対象に、Samsung WalletからUSDCを送金できる機能を提供する計画だ。対象は約8200万人に及ぶ見通し。ユーザーはUSDCを海外の対応暗号資産ウォレットへ送るほか、条件を満たす銀行口座へ移すこともできる。サービスは60カ国以上を対象とし、受取人は現地通貨で受け取れる仕組みになる。
利用には本人確認が必要となる。ステーブルコイン口座と決済インフラはBastionが提供し、CoinbaseはCoinbase Prime Vaultを通じて第二保管業者を務める。技術面ではSolanaとSuiが協力先として挙げられている。市場にとっては、既存のモバイル決済の入口にステーブルコイン送金が組み込まれる形だが、利用可能な国、銀行経路、口座の適格性は、サービス開始時の各地域の規則に左右される。
今週の暗号資産相場
週末時点で、ビットコインは前週比2.8％安の8万3435ドル、イーサリアムは6.5％安の2562ドル、XRPは7％安の1.40ドルとなった。暗号資産全体の時価総額は約2兆8200億ドルだった。
時価総額上位100銘柄のうち、今週の上昇率上位はStarkNetで91％高、Binance Lifeで25.4％高、Celestiaで20.8％高となった。StarkNetは、ポスト量子L1へ転換すると発表した後に上昇した。
一方、下落率が大きかった銘柄は、Venice Tokenの18.5％安、Skyの16.2％安、Uniswapの15.4％安だった。
Tom Lee氏、イーサリアムの最終到達水準を2.5万～5万ドルと予想
Bitmine会長のTom Lee氏は、金曜日に開かれたToken2049で、イーサリアムが年末までに5000ドルを超える可能性があると述べた。また、今回の市場サイクルが終わるまでに、1ETHあたり2万5000～5万ドルに達することは「十分あり得る」との見方を示した。これは同氏個人の市場見通しであり、確実な結果を示すものではない。
Lee氏は同時に、Bitmineがイーサリアムの総供給量の5％を保有する目標に近づいていることも明らかにした。同社の保有量は現在約600万ETHで、目標達成には約10万ETHの追加購入が必要だという。5％を保有上限とし、Bitmineはイーサリアム供給量の5％を超えて保有を増やすことはないとしている。
Coldcardの公式Xアカウントにフィッシングリンク
ビットコイン専用ハードウェアウォレットのColdcardは、日曜日に同社の公式Xアカウントへ無断でフィッシングリンクが投稿されたと明らかにした。同社によると、オフラインの二要素認証を利用していたにもかかわらず、問題の投稿は公式アカウント上に表示された。その後投稿は削除され、Coldcardは公式サイトがcoldcard.comのみであると利用者に注意を促した。
DefiLlamaのハッキング事案追跡データによると、7月にColdcardで発生した攻撃に関連する損失は推定1億1500万ドルに上る。今回のフィッシングリンクが掲載された具体的な原因や、その投稿によって利用者が資金を失ったかどうかについて、Coldcardは説明していない。
THORChain、約145万USDTが一時凍結されたと説明
THORChainの技術共同創設者Chad Barraford氏は、ステーブルコイン発行会社Tetherが、説明のないまま同ネットワークのUSDT保管アドレスをブラックリストに登録し、その数時間後に制限を解除したと主張した。
Barraford氏は金曜日、Tetherが4つのウォレットに分散していたTHORChainの資金、合計約145万USDTを凍結したと説明した。その約2時間後、Tetherが関連するすべてのアドレスを解除し、取引が再開されると述べた。Tetherが凍結理由を公表するか、この措置がより広範なコンプライアンス審査やリスク評価に関係するかについて、追加情報は示されていない。
Celsius創業者Mashinsky氏、関連業界からニューヨーク州で永久排除
ニューヨーク州司法長官Letitia James氏と、暗号資産融資会社Celsiusの元CEOであるAlex Mashinsky氏は和解に至った。合意により、Mashinsky氏は暗号資産、証券、コモディティ業界への参入を永久に禁じられ、条件付きで最大3500万ドルを支払う可能性がある。
ニューヨーク州が金曜日に公表した合意は、2023年に提起された民事訴訟に関するものだ。訴訟では、Celsiusが2022年に破綻する前、Mashinsky氏がプラットフォームの安全性について数十万人の投資家を誤解させたと指摘していた。Mashinsky氏は現在服役中で、連邦裁判所は詐欺罪により12年の禁錮刑を言い渡している。また、4800万ドル超の没収も命じられている。
フランスで7カ月間に暗号資産関連の暴力事件90件
フランスの捜査当局は、7カ月間に暗号資産に関連する誘拐、恐喝、脅迫、暴力を伴う強盗事件を90件記録した。事件数を受け、現地の暗号資産保有者が直面する身体的な安全リスクが注目されている。リスクはアカウントやウォレットの防御だけでなく、現実の資産保管にも広がっている。
一方、暗号資産の融資活動は7月以降55％増加した。業界が直面するリスクには、AIを利用した攻撃や、複数の相互接続されたプロトコルで障害が起きた場合の連鎖的な影響が含まれる。取引プラットフォーム、融資プロトコル、個人ユーザーの資金運用は、それぞれのセキュリティ対策、カストディ構造、流動性管理に左右される。
Real Vision創業者のRaoul Pal氏は、AI関連株の上昇が一服し、ドルが下落すれば、一部の資金が暗号資産に戻る可能性があると述べた。また、AIエージェントがイーサリアムやSolanaの利用を押し上げる可能性も指摘した。ただし、これらは市場に対する見方であり、足元の暗号資産市場はビットコイン、イーサリアム、XRPがそろって週間ベースで下落している状況にある。