Polymarketが約300万ドルの顧客損失を補償すると誓約したことで見た目は改善されるが、本当の問題は構造的なものだ。攻撃者はプラットフォームの中核システムには一切触れていない。彼らはサードパーティベンダーを侵害し、ブラウザで提供されるフロントエンドに悪意のあるスクリプトを注入することで、同社自身のウェブサイトをユーザーに対する武器に変えた。これは最も純粋な形の現代的サプライチェーン侵害である。境界防御は機能したが、依存関係が破綻したのだ。
グローバル企業の経営陣にとって、教訓は暗号資産分野をはるかに超えて広がる。今日、ほぼすべての消費者向けアプリケーションは数十のサードパーティスクリプト(分析ツール、タグマネージャー、チャットウィジェット、決済SDK、A/Bテストツール)を読み込んでいる。それぞれが潜在的な注入ポイントであり、ほとんどのセキュリティプログラムは依然としてそれらを、ユーザーのセッション内で実行される特権コードではなく、低リスクの便利ツールとして扱っている。British AirwaysやTicketmasterを襲ったMagecartキャンペーンは数年前にこれを証明した。同じ攻撃パターンが続いていることは、フロントエンドガバナンスがいかに変わっていないかを示している。
金融サービスおよびフィンテックセクターが最も危険にさらされている。なぜなら、利益が即座かつ不可逆的だからだ。盗まれた認証情報は検知されてリセットされる可能性があるが、署名トランザクションをリダイレクトしたりウォレットの承認を収集したりするスクリプトは、リアルタイムで盗難を実行する。分散型および自己管理型プラットフォームはリスクを複合化させる。チャージバックも、ロールバックできる中央台帳もなく、あるのは利益を損なう資金からの補償だけであり、それは運営者が損失を吸収することを攻撃者に示すシグナルとなる。
推奨される対策は具体的であり、すでに遅れている。Subresource IntegrityとContent Security Policyヘッダーを厳格に適用し、未承認のスクリプトが実行できないようにする。ランタイムDOMの改ざんを検知するクライアントサイド監視ツール(Feroot、Jscrambler、c/side)を採用する。サードパーティスクリプトのフットプリントを監査・最小化し、ベンダーと契約上の侵害通知SLAを結ぶ。ブラウザをプレゼンテーション層ではなく、本番インフラとして扱う。
より広範なトレンド。バックエンドの強化が進むにつれ、攻撃者はソフトエッジ(ベンダー、ブラウザ、CI/CDパイプライン)に移行している。取締役会は、フロントエンドのサプライチェーンインシデントが2026年までサイバーリスク報告の常設項目になると予想すべきであり、保険会社はそれに応じて価格を設定するだろう。
