MonadのKeone HonがOpSecガイドとAIセキュリティツールUltrafuzzを推進

Monadの共同創設者Keone Honは、暗号チームにセキュリティを最優先事項にするよう呼びかけ、運用セキュリティのガイダンスを共有し、攻撃者がより強力なAIにアクセスする中で財団のオープンソースツールUltrafuzzを推奨しています。

概要

• Honは開発者に対し、契約にUltrafuzzを実行し、運用セキュリティを強化するよう促しました。
• MonadのOpSecガイドは、フィッシング、資格情報管理、従業員デバイス、サードパーティアカウントの権限をカバーしています。
• Ultrafuzzは9月にオープンソース化され、Honの最新のチーム使用の呼びかけの前に公開されました。
• ガイドで引用されたコントロールハイジャックによる損失には、漏洩したキーやサプライチェーン攻撃、ソーシャルエンジニアリングが含まれています。

Monad財団のリソースは、ソフトウェアチームが展開するものと、それを管理するために使用されるアカウント、デバイス、署名の取り決めの両方をカバーしています。Honは、Crypto OpSec Bible、管理者アカウントに関するガイダンス、AIを用いた脆弱性発見の研究へのリンクを読者に示しました。

"AIによって強化された攻撃者の時代において、私たちの業界が前進する唯一の方法は、引き続き強化を続けることです。セキュリティはすべてのチームの最優先事項であるべきです。"

Monad財団はセキュリティに多大な投資を行い、コミュニティに以下のリソースを共有しています：

すべての人へ：

-- The Crypto... --- Keone Hon (@keoneHD) 2026年10月30日

"AIによって強化された攻撃者の時代において、私たちの業界が前進する唯一の方法は、引き続き強化を続けることです。セキュリティはすべてのチームの最優先事項であるべきです。"と彼は書いています。

MonadのOpSecガイドは日常のセキュリティの失敗をターゲットにしています

Omarによって書かれたCrypto OpSec Bibleは、未知のコード、フィッシング、露出した資格情報、貧弱なデバイス管理に関する繰り返しの妥協に対するフラストレーションから始まります。

このガイドは、ChainLightのLumosトラッカーを引用しており、2023年1月からガイドの報告カットオフまでの間に記録されたコントロールハイジャックからの損失は33.1億ドルで、スマートコントラクトの脆弱性からは9.83億ドルであるとしています。

そのコントロールハイジャックのカテゴリーには、ソーシャルエンジニアリング、プライベートキーの漏洩、不正アクセス、サプライチェーン攻撃、その他の従来のセキュリティの失敗が含まれています。この比較は、トラッカーが記録したインシデントをカバーし、歴史的なスナップショットとして提示されています。

Omarは、暗号組織が運用セキュリティに十分な注意を払っていないと主張しています。彼の推奨事項には、個人の活動を作業デバイスから分離すること、暗号活動のためにクリーンなコンピュータまたはブラウザを維持すること、署名する前に取引の詳細を確認することが含まれています。

重要なアカウントについては、ガイドは安全に保管されたバックアップを持つハードウェアセキュリティキー、ユニークなパスワード、認証コードをパスワードとは別に保管することを推奨しています。組織はエンドポイント保護を維持し、セキュリティインシデントを報告するための明確な連絡先を確立することが推奨されています。

Honは開発者に管理者アクセスの見直しを促す

スマートコントラクト開発者に対して、Honは管理者役割に外部所有アカウントに依存しないようにするガイダンスを強調し、管理機能を署名する際には専用のラップトップを使用することに注意を呼びかけました。

彼のリソースリストには、形式的な検証や大規模言語モデルを用いた脅威ハンティングに関する作業が含まれています。別の投稿では、彼は開発者に契約にUltrafuzzを実行するよう促し、Antonio Viggianoの経験を称賛し、フィードバックを招待しました。

"スマートコントラクト開発者の皆さん、契約にUltrafuzzを実行してください!! オープンソースで、誰でも利用可能です。"とHonは書いています。

このツールのオープンソース発表は9月10日に公開されました。Honの最新の投稿は、既存のリリースに再び注目を集め、財団の運用セキュリティリソースと共にあります。

UltrafuzzはAI調査と契約テストを組み合わせる

公開されたGitHubリポジトリを通じて利用可能なUltrafuzzは、専門のAIエージェントを調整して契約を調査し、ユーザーの行動をマッピングし、セキュリティプロパティを調査し、テスト戦略を実行し、レビューのための結果を準備します。

Monadは、エコシステムプロジェクトでの20回以上の実行がリリースの形成に役立ったと述べており、SolidityとVyperをサポートしています。

彼の技術的なウォークスルーで、Viggianoは、外部のセキュリティレビューの準備を手伝うチームのためにツールを開発したと説明しました。このプロジェクトはファズテストが不足しており、それを作成するためのAI支援ワークフローに取り組むことになりました。

彼の説明は、エージェントがプロトコルが保持すべき条件を特定し、特定のアクションやシーケンスがそれらを破るかどうかを調査する様子を描写しています。結果は組み合わされ、チェックされ、レポートに整理されます。

Monadは、ユーザーにUltrafuzzを使い捨ての隔離された仮想マシンで実行するよう指示しています。そのエージェントは制限のない権限で動作し、発表は開発者のワークステーションや貴重な資格情報を保持するマシンでの実行を警告しています。

最近の侵害がアカウントとソフトウェアの依存関係を暴露

以前のインシデントは、ガイドでカバーされているいくつかのアクセスポイントに関与していました。

10月26日、crypto.newsは、ウォレットメーカーのFoundationがCloudflare APIキーの侵害を受け、公式ドメインからのように見える詐欺メールを可能にしたと報じました。同社は資格情報を取り消し、Passportハードウェアと保管された資金は安全であると述べました。

7月のインシデントでは、Injectiveの開発者パッケージが侵害されました。セキュリティ会社Socketは、悪意のあるコードがウォレット生成機能を傍受し、プライベートキーとリカバリーフレーズを偽のテレメトリーを通じて送信したと述べています。InjectiveのCEOであるEric Chenは、影響を受けたリリースは廃止され、問題は修正されたと述べました。

別の7月の調査では、OkoBotのウォレット窃盗マルウェアが、正当なソフトウェアを装ったGitHubリポジトリを通じて配布されました。このキャンペーンは、偽のエラーメッセージと修理指示を使用して、犠牲者に悪意のあるコマンドを実行させるように仕向けました。そのモジュールには、詐欺的なウォレット回復画面、キーボード監視、クリップボード監視が含まれていました。