ゆと

Polygonで、ブロック済みの攻撃者5アドレスのネイティブPOL残高をゼロにし、同額をPolymarketとBinanceの検証済み回収アドレスへ移すハードフォーク提案。 総供給量は変わらず、他のトークンや通常の取引履歴は改変しない限定的な状態変更になる。 アップグレードしないノードが存在するとチェーンは分岐。

New docs blog post! I finally became a full-time game developer! 🎉 And immediately discovered that making a game involves an awful lot of getting other people to make it with you. Recruitment, lighting, blockouts, and Disney World. Yes. 😓 thesymbolsyndicate.notion.si… #XYMCITY

🚨This is CONCERNING. 12 DeFi websites were hijacked and turned into wallet drainers in just ONE night. Blockaid found the sites "actively serving" Step Drainer, a kit that fakes normal-looking wallet pop-ups to trick visitors into approving transfers. Step Drainer is sold to scammers as a ready-made kit and works across more than 20 blockchains. Once a victim approves, it goes after their most valuable tokens first. Researchers have even seen its prompt show a fake "+500 USDT" so the approval looks like money coming in. Affected projects include Flap, Kintsu, StonkFun, Pickle Finance, Echelon, Origami Finance, FluxBeam, StakePoint, SupSwap, Longbow, Shprd Finance and APEX. About $138,000 has been traced so far, and that excludes losses on Solana and Aptos. All 12 domains were registered with Name(.)com, though how they were hijacked is still unconfirmed. Name(.)com's only public response so far has been asking users to fill out its abuse form, per The Block. Not every affected team has confirmed its site is clean yet.

あなたは、KASANEに期待しますか？ その投票がSymbolのテストネット上で出ました！ この投票はKASANE Walletの投票機能から投票ができ、投票結果はオンチェーン上に残ります。 もちろん、これは簡易投票なので複垢で投票が出来る事から完全に信用はできません。 けど、Symbol上で投票をやってみてはいかがでしょうか？ yutopian.github.io/KASANE-Wa…

今夜 21時から、第45回 #月刊NEMTUS 特別版 開催です！ ・ウォレット特集 ・AIアカウントを動かしてみる の2本立てです。 お楽しみに！ 会場：cluster.mu/w/55af169a-bf29-4… YouTubeライブ：youtube.com/live/iffdT9nvUfI

【重要　AIでコードを書いている人へ】 最近流行りのAIを使った開発ツールで、ヤバめの脆弱性が公開されました 内容はAIツールの「内蔵ブラウザ」からSSH鍵や.envを丸ごと抜く手口で、5製品中2つは未修正、1つは修正時期が未発表です Codex Claude Desktop VS Code Cursor GitHub Copilot この5つに入っている「内蔵ブラウザ」の話です ターミナルで使うClaude Code CLIやCodex CLIには内蔵ブラウザが無いので、この研究の対象には入っていません 10月29日にForever Securityという会社が「EMBRACE」という名前で公開した研究で、私も朝方に全部読んで、つたない内容ですが整理しました 何が問題なのか 普通のブラウザ（ChromeやEdge）には、長年かけて守ってきたルールが3つあります 1. ページはあなたのPCでコマンドを実行できない 2. ローカルで開いたファイルは、他のファイルを読めない 3. ページはアドレスバーを書き換えられない AI開発ツールはエージェント用に機能を足した結果、この3つを1つずつ破ってしまっていました どう影響するか 一番怖いのはファイルを抜き取るやつで、手順はこれだけです 普通の財務レポートに見せかけたプロジェクトを、AIに「READMEの通りにセットアップして」などと頼む するとAIがプロジェクトの中のHTMLへのリンクを出してくる それを1回クリックすると、内蔵ブラウザで開いたページが裏で動かすスクリプト（Web Worker）にはフォルダの制限が効かず、ディスク全体を読めてしまいます ※一例です 研究者の検証では、SSH鍵、.env、npmのトークン、hostsファイルが抜かれたそうです Codexに至ってはフォルダの制限そのものがありません Cursorは別の経路で、ページの中に隠したコマンドをAIが読んで実行してしまいます 実行前に確認は出ますが、何も考えずにEnterを押すと通ります しかもサンドボックスに止められると、AIが自分でサンドボックスを切って実行し直したそうです ただし、毎回成功するわけではないとのこと GitHub Copilotはアドレスバーの偽装で、github．com/login に見せかけられるというものでした これも結構エグいです さっきの3つ目のルール（アドレスバーを書き換えられない）を破っています 10月29日時点の状況 ・Cursorは10月1日に告知なしで既に修正済み ・GitHub Copilotは最新版（1.1.29以降）で修正済み ・Codexは7月末に報告されていて、OpenAIは10月29日に「認識していて対応中」とコメントしましたが、まだ直っていません ・VS CodeはMicrosoftが「Workspace Trustの範囲内」として無効扱いにして、修正の予定はなし ・Claude DesktopはAnthropicが一度却下した後、別の会社の報告を受理しましたが、修正の時期はまだ公表されていません 救いは、実際に悪用されたという報告が今のところ無いことです 検証はMacですが、仕組み上Windowsでも同じと考えておいた方がいいですね 他のAIツール（WindsurfやJetBrainsなど）は今回調べられていないですが、同じ作りなら同じ問題はあり得ます おまけ：Workspace Trustについての話 VS Codeでフォルダを開く時に出てくる「このフォルダを信頼しますか」の画面のことです Claude Desktopなら「フォルダへのアクセス許可」がこれにあたります MicrosoftとAnthropicは「信頼すると押した時点で、その中のファイルは信頼済み」という立場 ただ、AIツールを使うには結局「信頼する」を押すしかないので、守りになっていないという研究者の指摘に、私も分があると思います ここから対策です 1. ひとまず更新 Cursorは10月1日以降のバージョン GitHub Copilotは最新版 2. AIが出してきたリンクを無条件にクリックしない 特にCodexとVS Codeで、プロジェクト内のHTMLを内蔵ブラウザで開くのは今はやめておくのが無難 VS Codeに関しては内蔵ブラウザを普段使っていない人は、AIが出すリンクを踏まない限り開かないので、そこだけ気をつければ大丈夫です 3. 知らないリポジトリを「READMEの通りにセットアップして」と絶対に丸投げしない 中のHTMLを先に自分で見るしかありません 4. 内蔵ブラウザは普段使うブラウザの代わりにしない ページを見るならChromeやEdgeなどあなた自身で開く 5. 万一に備えて、.envのキーやトークンは使い回さず、漏れたらすぐ無効化できる状態にしておく SSH鍵にはパスフレーズ ※これは基本中の基本です AIが出したリンクだから安全ということは無いです ※すべてにおいて言える事ですがAIはあくまでもサポート的立ち位置です 内蔵ブラウザは「AIが操作する前提」で機能が足されている分、普段あなたが使うブラウザよりセキュリティが弱い場合があります そこだけは頭の真ん中に置いてAIを使ってください

／ 「報道ステーション」に出演予定です📷 ＼ 本日10月30日（金）21:54～放送のテレビ朝日系列「報道ステーション」に、ビットフライヤー代表の加納 裕三が出演予定です。 Binance におけるセキュリティ事案について、取材を受けました。 ぜひご覧ください。 ■放送概要 番組名：報道ステーション 放送局：テレビ朝日系列 放送日時：10月30日（金）21:54～23:10 ※出演時間は未定です。放送内容・時間は変更となる場合があります。 ▼番組公式サイト tv-asahi.co.jp/hst/