Ночью я закрывал вкладки браузера одну за другой, пока не оставил только пустую страницу. В открытых публикациях сообщалось: двадцать девятого октября на международном сайте платформы прогнозных рынков Polymarket произошёл сбой — скрипт стороннего сервиса мониторинга производительности DebugBear подменили вредоносным кодом. Примерно за пятьдесят две минуты злоумышленники воспользовались уже авторизованными пользовательскими сессиями и встроенными в страницу торговыми функциями, чтобы вывести позиции и средства. В открытых источниках чаще всего фигурирует сумма около 2,7 миллиона долларов; затронуты были сотни кошельков. Впоследствии платформа приостановила торговлю, удалила скрипт и заявила, что компенсирует ущерб пострадавшим пользователям. Цифры могут измениться по итогам расследования, поэтому я записываю только хронологию, которую можно проверить: возвращаю «цепочку поставок фронтенда» из заголовков в повседневную жизнь.

Я не специалист по безопасности. Днём редактирую тексты, а по вечерам иногда занимаюсь небольшими обменами и трансграничными переводами. Меня остановил не вопрос «сколько мы потеряли на этот раз», а сам путь атаки: приватный ключ мог остаться в безопасности, аппаратный кошелёк — не быть украден, пользователь — даже не переходить по незнакомой ссылке. А вредоносный код выполнялся в сессии, открытой на странице, которую вы считали «официальной», и сделка выглядела как обычный ордер. В публичном разборе всё описано ясно: скрипт считывал локальные данные, связанные со входом в систему, а затем задействовал уже доступную странице функцию размещения ордера. Для обычного пользователя это тревожнее, чем «взломали смарт-контракт»: цепочка доверия оборвалась на стороннем скрипте.

Когда чай остыл до температуры, при которой его было как раз приятно пить, я записал несколько простых правил цифровой гигиены. Во-первых, не стоит надолго оставлять в браузере активные сессии с крупными суммами. Разделяйте средства для регулярного использования и долгосрочные накопления: в активном доступе держите только то, что может понадобиться сегодня. Во-вторых, вопросы «возврата средств, предъявления прав и компенсации» решайте только через официальные каналы проекта, подлинность которых подтверждена. Не переходите по ссылкам из незнакомых личных сообщений и с сайтов-клонов: повторные фишинговые атаки часто выглядят особенно убедительно. В-третьих, регулярно проверяйте разрешения и подключённые приложения, своевременно отзывайте старые разрешения, если это возможно, и внимательнее проверяйте домены и расширения. В-четвёртых, включите доступную двухфакторную аутентификацию и берегите устройства и электронную почту как активы. Это не панацея, а лишь несколько шагов, которые помогают проверять доверие, обычно остающееся незаметным.

Именно потому, что путь легко прерывается, мне особенно важно, чтобы всё сходилось при сверке. В последнее время я тестирую платформу BiyaPay — глобальную универсальную платформу для распределения активов — для частых обменов и операций, связанных с трансграничными переводами. Я привык использовать USDT как отправную точку для средств и в рамках одного сервиса просматривать обменные курсы для разных валют и информацию о комиссиях. Платформа не заявляет, что способна остановить атаки на цепочку поставок, и не гарантирует чью-либо безопасность. Для меня её польза в том, что требуется меньше переходов: по возможности история обменов, размер комиссий и движение средств остаются в журнале операций, который можно проверить. В выходные не приходится собирать всё по разрозненным скриншотам. Инструмент должен обеспечивать понятный вход и проверяемый маршрут, а привычки цифровой гигиены — моя ответственность.

Меня спрашивают, почему я не пишу «абсолютная безопасность». Потому что публичные инциденты уже показали: безопасность — это процесс, а не лозунг. На этот раз проблема возникла из-за подмены стороннего скрипта. Со своей стороны пользователи могут сократить время действия активных сессий, проверять официальные каналы и отделять долгосрочные активы от повседневных операций. Расследование со стороны платформы и компенсация — отдельная часть публичной информации. В своей части я пишу только о себе: сначала навожу порядок с цифровой гигиеной, а уже потом думаю об удобстве.

В конце октября и начале ноября хватало громких заголовков. Но важнее другое: на «странице, которая выглядит обычной» пятидесяти двух минут оказалось достаточно, чтобы испортить выходные многим людям. В дальнейшем я планирую регулярно писать о цепочке поставок фронтенда, управлении разрешениями и проверке официальных каналов. Для обычного человека ясное описание пути полезнее, чем нагнетание эмоций, особенно в понедельник вечером.

Выше — личные заметки о повседневной жизни и общедоступной информации. Это не инвестиционная рекомендация и не руководство к действию. За подробностями инцидента обращайтесь к объявлениям проекта, авторитетным публикациям и общедоступному анализу блокчейна; цифры могут меняться по мере расследования. Проводите собственное исследование (DYOR) и принимайте решения без спешки, учитывая свои обстоятельства.