AERO/Base + Security Monitor Report

観測日時: 2026年11月4日 21:00:10 JST

サマリー

GitBook の基盤認証情報が侵害され、顧客 API トークンや連携用シークレットが漏れた可能性がある。利用者には外部サービスの認証情報更新と MCP 接続の再認証が勧められている。
更新: Binance は約63.4億ドルの不正流出について、偽の求人面接と内部 AI ツールを経由したウォレット署名サービス侵害の経緯を公表した。
【未確認】既報の欧州組織の流出疑いについて、ZachXBT はフランスの Crédit Mutuel Arkéa を被害元と指摘した。銀行側の確認は今回の投稿にない。
米 CFTC が個別株式の永久先物を初めて承認し、取引所などが支持する団体は同日、承認を争って提訴した。
Coinbase の AERO・VELO 自動変換期間は本日まで。重大インシデント13件を継続監視する。

AERO / Base

Base、Denim と株式関連の発表を11月5日に示唆

@jessepollak は「木曜日の2つの大きなローンチ」として Denim と株式を挙げ、@base も引用した。Denim の11月5日メインネット導入は既報であり、今回の差分は株式関連のローンチを同日に示唆した点である。対象商品や開始条件は投稿に示されていない。

Sources: @jessepollak, @base

Crypto / DeFi Security Incidents

更新: GitBook、基盤認証情報への不正アクセスを公表

@WuBlockchain が紹介した GitBook の説明によると、11月2日に同社のインフラ認証情報の一部へ不正アクセスがあり、連携トークン、Git Sync シークレット、顧客 API トークン、GitBook Assistant への質問が漏れた可能性がある。同社は顧客 API トークンを取り消し、外部サービスの認証情報更新と GitBook MCP 接続の再認証を勧めている。サービスは一部再開したが、機能低下が残る。既報の trade.xyz 文書への不正な活動との関連も報じられた一方、GitBook はコンテンツ改ざんの証拠を見つけていないという。利用者は GitBook と連携する認証情報を点検し、trade.xyz の文書内リンクを開かないという既存の注意も継続する。

Sources: @WuBlockchain, @TheBlockCo

更新: Binance、攻撃経路と資産補充状況を公表

@WuBlockchain と @TheBlockCo によると、Binance の初期報告書は、改ざんされた Homebrew インストーラーと偽の求人面接用コードによる従業員端末の侵害、その後の内部 AI ツールと盗まれた認証情報を使ったウォレット署名サービスへの侵入を説明した。出金停止だけでは悪意あるオンチェーン承認を防げず、別途取り消しが必要だったという。影響額は約63.4億ドル、凍結・阻止は約28.5億ドル、10月31日時点で影響を受けたトークン資産の98%を補充したとの説明である。補充率は盗難資金の回収率とは異なる。調査は継続しており、利用者は資産・ネットワーク別の出金状況を公式経路で確認する。

Sources: @WuBlockchain, @TheBlockCo

【未確認】更新: 欧州組織の流出疑い、ZachXBT がフランスの銀行を指摘

既報の1億3,300万ドル超の疑わしい出金について、@WuBlockchain などが紹介した ZachXBT の分析は、被害元をフランスの銀行グループ Crédit Mutuel Arkéa と指摘した。銀行側による被害確認や確定損失額は今回の投稿にない。@Cointelegraph によると Kraken は関連資金が通過したとの報告を調査し、対象アカウントを制限した一方、自社システムと顧客口座の侵害を否定した。身元と損失額は分析上の主張として扱う。

Sources: @WuBlockchain, @Cointelegraph, @TheBlockCo

更新: Mercado Bitcoin、影響資産のうち約1,290万ドルをブロック

@TheBlockCo が伝えた同社の説明では、影響を受けた資産は約3,630万ドルで、そのうち約1,290万ドルをブロックした。前号の約3,800万ドル・約1,100万ドルという説明から数値が更新された。プラットフォームは調査のため一時停止し、セキュリティ確認後に段階的に復旧する予定という。全面再開は確認できず、利用者は公式の入出金案内を確認する。

Sources: @TheBlockCo

BitMart、少額の侵害を確認

@WuBlockchain と @TheBlockCo によると、BitMart の創業者は同社が侵害を受けたと認めた。金額は公表されていない。同社は Mercado Bitcoin の攻撃者と同一の可能性を初期調査で挙げたが、関連は確定していない。

Sources: @WuBlockchain, @TheBlockCo

CoreVault、フラッシュローンを使った価格操作で資金流出

@CertiKAlert と @DefimonAlerts は、BNB Chain 上の CoreVault で操作可能なスポット価格が償還額の計算に使われ、InsurancePool から資金が流出したと分析した。損失規模は約11.2万ドルと約18.1万ドルで報告が分かれている。対象の利用者は運営側の安全確認を待つ。

Sources: @CertiKAlert, @DefimonAlerts

Crypto / DeFi / Ethereum Major News

CFTC、米国で個別株式の永久先物を承認。同日、業界団体が提訴

@TheBlockCo によると、米 CFTC は個別株式に連動する永久先物契約を初めて承認した。一方、Cboe や Citadel Securities などが支持する Capital Markets Alliance は、証券ベースのスワップとして SEC の管轄に属すると主張し、承認を争う訴訟を起こした。承認と訴訟の両方が進行しており、米国向け提供条件は今後の判断に左右される。

Sources: @TheBlockCo, @Cointelegraph

Morgan Stanley、DTCC の新サービスで米国株・国債をトークン化

@TheBlockCo によると、Morgan Stanley は DTCC の新サービスを使い、DTC が保管する米国株式と米国債のトークン化された表現を作成した。新サービスを利用する最初の銀行の一つという。一般利用者向けの取引開始を示す投稿ではない。

Sources: @TheBlockCo, @Cointelegraph

香港、暗号資産の税務情報報告を定める法案を可決

@WuBlockchain と @TheBlockCo によると、香港の立法会は OECD の暗号資産報告フレームワークを実施する法案を可決した。対象事業者は2027年から取引情報を収集し、香港は2028年から対象管轄区域との自動交換を始める予定という。

Sources: @WuBlockchain, @TheBlockCo

更新: OKXICE のトークン化株式に異議を示す企業が59社に

@TheBlockCo によると、異議を示す企業は前号の50社から59社に増えた。今回追加された企業には Apple、Home Depot、GE Vernova が含まれる。@Cointelegraph は SpaceX も異議を示す56社の一つと伝えており、投稿時点の集計差がある。異議を示した銘柄の取扱いに関する既報の条件を踏まえ、計画の進展を監視する。

Sources: @TheBlockCo, @Cointelegraph

Hyperliquid / tradexyz

特筆すべき差分なし。

Stablecoin Yield DeFi

Pendle と Centrifuge、Base 上の RWA 固定金利市場で協力

@pendle_fi と @base は、Centrifuge のトークン化資産について、固定利回りポジションと将来の利回り取引を Base 上で広げる協力を案内した。対象市場の開始日と条件は投稿に示されていない。すでに稼働中と紹介された Janus Henderson の deJAAA 市場は既存の取扱いである。

Sources: @pendle_fi, @base

PendleLoop、PT 以外の資産でもループ取引に対応

@pendle_fi は、既報の PendleLoop で PT 以外の ETH ステーキング資産、ステーブルコイン、RWA の利回りを使うループ取引に対応したと発表した。流動性100万ドル以上の対象では、投稿時点の表示が最大56.76% APY。レバレッジを使うため利回りは固定ではなく、対象の非 PT ループは12月31日まで手数料ゼロという。

Sources: @pendle_fi

AI News (Claude / ChatGPT / Codex)

Anthropic、AI 応答の生成元を暗号学的に検証する FlashProve を発表

@AnthropicAI は、特定の AI モデルが応答を生成したことをモデルの重みを公開せず検証する研究「FlashProve」を発表した。チャットの乗っ取り検知や安全性評価でのモデル同一性確認を用途として挙げる。研究発表であり、Claude の一般向け機能としての提供開始は投稿に示されていない。

Sources: @AnthropicAI

Claude、プラグインの自動接続と組織管理認証をベータ提供

@ClaudeDevs は、Claude を信頼できる発行元として受け入れる MCP サーバーのプラグインを、ログイン時に自動接続できるようになったと発表した。組織管理者が接続を設定する Enterprise Managed Authorization は Team・Enterprise のベータ版で、Amplitude、Atlassian、Figma、Linear、Notion などが対応するという。

Sources: @ClaudeDevs

ChatGPT Voice、Finances 内で音声の家計相談に対応

@ChatGPT は、Finances に接続した口座の支出や貯蓄について Voice で話せるようになったと発表した。@testingcatalog は Finances の提供対象を米国と説明している。

Sources: @ChatGPT, @testingcatalog

JPYC（日本円ステーブルコイン）

特筆すべき差分なし。

今後の予定・期限

期日	件名	内容	必要な対応
2026-11-02〜2026-11-04	Coinbase の AERO・VELO 自動変換出典	米国時間の日付。期間中は AERO・VELO の入出金停止、VELO の取引は 11月2日に停止。AERO は 1:1、VELO は約 0.044 AERO で変換。移行後に旧 AERO を Coinbase へ送ると回収不能の恐れ	自動変換を望まない場合は 11月2日より前に自分のウォレットへ出金する
2026-12-31	Relay の Vaults からの出金期限出典	新規預け入れ停止と同年12月31日までの出金猶予を報道。一次情報と対象サービスの詳細は今回の JSON では未確認	Vault 利用者は Relay の公式案内で対象と出金手順を確認する
2026-12-31	CryptoBilis 購入 OneKey 端末の無料交換申請期限出典	2026年3月1日から10月12日に CryptoBilis から購入した OneKey 端末が対象。未使用・使用済みのどちらも申請可	OneKey 公式サポートへ購入証明を添えて申請する。使用中なら交換を待たず、新しいシードのウォレットへ資産を移す
未定	旧 Aerodrome・Velodrome の ALM（旧表示「Autopilot」）の終了出典	Aero ローンチに向け自動の範囲調整が止まる。11月1日に稼働した新しい Autopilot（sAERO の自動配分）とは別物	ALM に預けている LP はすぐ引き出して自分で管理する（公式の移行ガイドの案内）

継続監視中インシデント

初出	件名	規模	状況	推奨対応
2026-10-29	zkLink Nova の Arbitrator 契約悪用	約78万～81万ドルの流出との分析 / 攻撃継続を運営側が報告	新展開なし	公式の安全確認まで関連ブリッジ操作を控える
2026-10-29	Bithumb の顧客情報流出	顧客6,444人分の記録が流出 / 844人分が直接露出	新展開なし	Bithumb を装う連絡を避け、公式通知を確認する
2026-10-30	Binance の複数チェーンにわたる不正流出	影響額約63億ドルとの Binance 推定 / 約30億ドルを凍結	初期報告書で従業員端末から署名サービスへの侵入経路を説明。約28.5億ドルを凍結・阻止、対象トークン資産の98%を補充と説明	対象資産・ネットワークの出金状況を公式経路で確認し、不審な連絡を避ける
2026-10-30	CryptoBilis 購入 Trezor 端末の改ざん報告	Safe 5 の1台にインプラントとの報告 / 資金損失報告なし	新展開なし	対象店で2026年3月以降に購入し設定済みなら、新しいシードのウォレットへ資産を移す
2026-10-30	Polymarket の第三者ベンダー侵害	攻撃者と疑われるウォレットに約265万ドルとの報道 / 確定損失額未確認	新展開なし	被害を受けた利用者は公式経路で返金条件を確認する
2026-10-30	悪意ある Claude Code 拡張機能の報告	最大5,000人に影響の可能性 / 確認済み被害未詳	新展開なし	Cursor 公式案内で対象を確認し、該当する場合は指示に従う
2026-10-31	Flap・Kintsu などのフロントエンド攻撃	対象ドメイン15件との説明 / 約13.8万ドルを追跡したとの報道	新展開なし	該当時間帯の署名・承認を点検し、Kintsu の勧告対象なら承認を取り消し資金を移す
2026-11-02	BTCPay Server のホットウォレット不正流出報告	被害額・影響範囲未確認	新展開なし	公式案内に従い停止し、ホットウォレットと認証情報を点検する
2026-11-02	Solana Seeker の偽 SKR Claim アプリ	掲載約1時間 / シード入力者数・被害額未確認	新展開なし	シードを入力した場合は新しいシードのウォレットへ資産を移す
2026-11-03	Mercado Bitcoin のサイバー攻撃	関係資産約3,800万ドル / 約1,100万ドルをブロックと説明	影響資産約3,630万ドルのうち約1,290万ドルをブロックと更新。調査中はプラットフォームを一時停止	利用者は公式の入出金案内を確認する
2026-11-03	trade.xyz の GitBook 文書への不正な活動	利用者への影響・被害額未確認	GitBook が基盤認証情報の侵害と顧客 API トークン取り消しを公表。文書改ざんの証拠は確認されず	文書内リンクを開かず、接続・署名履歴を点検する
2026-11-03	欧州の身元未公表組織からの大口流出疑い	1億3,300万ドル超の疑わしい出金との分析 / 確定損失額未確認	ZachXBT が Crédit Mutuel Arkéa を被害元と指摘。銀行側の確認は未確認	組織の公式発表を待ち、身元や被害を断定した情報を避ける
2026-11-04	GitBook の基盤認証情報侵害	顧客 API トークン・連携用シークレットが漏れた可能性 / 被害範囲未確定	顧客 API トークンを取り消し、外部認証情報の更新と MCP 再認証を勧告	GitBook と連携する外部認証情報を更新し、MCP 接続を再認証する

Watchlist Maintenance

変更なし。