新世界の新人類へ——「リスクは門の外からやって来る」

Predict.funのユーザーのウォレットから、約40万USDTが送金されました。

公式は、これは不正な送金だったと確認しています。

最も注目すべきなのは金額ではなく、その経路です。初期調査によると、攻撃は第三者がホストするAPIドキュメントサイトから行われ、ページに悪意のあるスクリプトが埋め込まれていたようです。

コントラクトが侵害されたのではなく、最も無害に見えるページが狙われました。

ひとつのドキュメントが、侵入口になったのです。

これこそが、今日のセキュリティ問題の実態です。

ユーザーはコントラクト監査に目を向けますが、攻撃者が狙うのはその周辺です。ドキュメントサイト、フロントエンド、サードパーティのサービス、依存ライブラリ。システムの最も弱い部分は、たいてい中核ではなく周縁にあります。

プラットフォームは補償を約束しました。責任ある対応です。

しかし、補償で解決できるのは損失であり、構造的な問題ではありません。

同じ日、ほかにも2つのニュースがありました。

要約によると、Keystoneのハードウェアウォレットのウェブサイトでデータ漏えいが発生し、在庫機器約1万8,800台が破棄されたとのことです（要確認）。イーサリアムのGlamsterdamアップグレードでは、ステーキング入金ルーターの脆弱性がメインネット移行前に修正され、資金の損失はありませんでした。

一方は事後の対応、もう一方は事前の阻止です。

違いを生んだのは運ではなく、問題が発見されたタイミングです。

一般の人にとっての問題は、「攻撃されるかどうか」ではなく、「攻撃されたときに脱落せずに済むかどうか」です。

普段使うウォレットに多額の資金を置かないこと。見知らぬページからの署名要求を疑うこと。アクセス許可は定期的に整理すべき負債だと考えること。

まず脱落を避け、そのうえで利益を考えましょう。

セキュリティは一度設定すれば終わりではなく、継続的なメンテナンスです。

以上は情報および見解の共有であり、投資助言ではありません。

中枢を幾重にも守りしも、
一枚の文書が道となる。
資金を失ってから穴を塞ぐな、
古き許可を常に清めてこそ安らぐ。

—— 明道