夜、私はブラウザーのタブを一枚ずつ閉じ、空白のノートだけを残した。公開報道によると、10月29日、予測市場プラットフォームPolymarketの国際サイトで異常が発生した。サードパーティのパフォーマンス監視サービスDebugBearのスクリプトが悪意あるコードに差し替えられ、約52分間、攻撃者はユーザーのログイン済みセッションとページ本来の取引機能を利用して、ポジションと資金を移動させた。公開されている数字では、被害額は約270万ドル、影響を受けたウォレットは数百件にのぼる。プラットフォームはその後、取引を一時停止してスクリプトを削除し、影響を受けたユーザーに補償すると表明した。数字は調査の進展に伴って修正される可能性がある。私は確認できる時系列だけを書き留める。「フロントエンドのサプライチェーン」という言葉を、日々の行動に置き換えてみる。

私はセキュリティ研究者ではない。昼は原稿を直し、夜はときどき少額の両替や海外送金の手配をする。私が本当に手を止めたのは、「またいくら損したか」ではなく、その経路だった。秘密鍵が漏れたとは限らない。ハードウェアが盗まれたとも限らない。ユーザーは見知らぬリンクをクリックしてすらいないかもしれない。それでも、悪意あるコードが「公式ページ」だと思っていたセッション上で動き、取引は通常の注文のように見える。公開された検証報告には、スクリプトがローカルのログイン関連情報を読み取り、ページに備わっている注文機能を呼び出して注文を送信したと、はっきり書かれていた。一般のユーザーにとって、これは「コントラクトが攻撃された」よりもずっと不気味だ。信頼の連鎖が、第三者のスクリプトで断ち切られたのだから。

お茶がちょうど飲み頃まで冷めたころ、セキュリティ衛生についていくつか書き留めた。ひとつ目、ブラウザーに大きなホットウォレット残高を長時間置かない。よく使う分と長期保管分を分け、ホットウォレットにはその日に使う可能性のある額だけを入れる。ふたつ目、「返金・請求・補償」はプロジェクト側が確認済みの公式窓口だけを使い、見知らぬDMやミラーサイトにはアクセスしない。二次的なフィッシングは、かえって大々的に行われることもある。三つ目、承認済みの権限や接続済みアプリを定期的に確認し、不要な古い権限は速やかに取り消す。ドメインや拡張機能もよく確認する。四つ目、利用可能な二要素認証を有効にし、デバイスやメールアカウントも資産として管理する。万能薬ではないが、目に見えない信頼を、いくつかの確認手順に分けることはできる。

だからこそ、経路が複雑になりがちな分、手配内容がきちんと照合できるかを重視している。最近は、頻繁に行う両替や海外送金に関する説明を、世界向けのワンストップ資産運用プラットフォームであるBiyaPayで試している。資金の入口にはUSDTを使う習慣があり、同じ枠組みの中で複数通貨の両替や手数料の説明を確認できる。サプライチェーン攻撃を防げるとうたっているわけでも、誰かの安全性を保証するものでもない。私にとって役立つのは、経由する場所を一つ減らせることだ。両替履歴、手数料の範囲、資金の移動先が、できるだけ後から確認できる明細にまとまっていれば、週末の照合作業で無関係なスクリーンショットを探し回らずに済む。ツールが提供するのは、わかりやすい入口と確認可能な経路。セキュリティ習慣は、あくまで自分で身につけるものだ。

なぜ「絶対に安全」と書かないのか、と聞かれることがある。公表された事案がすでに示しているように、安全性とはスローガンではなく、継続的な取り組みだからだ。今回は、第三者のスクリプトが差し替えられたことが問題だった。ユーザー側にできるのは、ホットウォレットをさらす時間を短くし、公式窓口を確認し、長期保有資産と日常の操作を分けること。プラットフォーム側の調査や補償は、公表情報の別の欄にある。私が書くのは自分の欄だけ。まずは基本的なセキュリティ習慣を徹底し、そのうえで利便性を考えたい。

10月下旬から11月初めにかけて、刺激的な見出しには事欠かない。記憶にとどめておくべきなのは、「一見いつもどおりのページ」で、わずか52分のうちに多くの人の週末が一変したということだ。今後は、フロントエンドのサプライチェーン、権限管理、公式窓口の確認を、定期的に取り上げていきたい。感情を盛り込むより、経路をわかりやすく書くほうが、普通の人の月曜の夜には役立つ。

以上は、個人的な日常と公開情報についての随筆的な共有であり、投資助言や取引の指示を構成するものではありません。事案の詳細は、プロジェクト側の発表、信頼できる報道、オンチェーンの公開分析をご確認ください。数値は調査の進展に伴い更新される可能性があります。ご自身で調査（DYOR）し、状況に合わせて無理のない計画を立ててください。