تسريب مفاتيح خاصة لمستخدمي Polkadot عبر امتداد Fearless Wallet لمدة 20 شهراً

حذرت مؤسسة مجتمع بولكادوت أي شخص استخدم ملحق متصفح Fearless Wallet منذ فبراير 2025 من اعتبار جميع الحسابات الموجودة في الملحق مخترقة ونقل أمواله على الفور.

في 19 فبراير 2025، تمت إضافة كود يرسل المفاتيح الخاصة إلى خادم المهاجم ويعمل في أوقات متفاوتة حتى 10 أكتوبر 2026.

أرسلت أربع إصدارات عبارات الاسترداد إلى tonscanner.org

كان الكود موجوداً في أربعة إصدارات: 3.0.1، و3.0.3، و3.0.4، و3.0.5. ووفقاً لإشعار الأمن الصادر عن المؤسسة في 21 أكتوبر، تم تفعيله عبر فتح القفل باستخدام كلمة المرور الصحيحة.

يقول التحليل التقني المرفق بالإشعار إن الامتداد جمع عبارة الاسترداد لكل حساب أو ملف النسخ الاحتياطي الخاص به وكلمة مرور المحفظة. ثم قام بتشفيرها بكلمة مرور فارغة (يمكن لأي شخص فك تشفيرها) وإرسالها إلى tonscanner.org.

يمتلك المفتاح الخاص سيطرة كاملة على الحساب. وحتى تغيير كلمة المرور أو إعادة تثبيت الملحق لا يفيد، إذ يمكن لأي شخص يملك مفتاحاً توقيع عمليات التحويل وتفريغ الرصيد، وفقاً لما ذكرته المؤسسة.

كان إصدار Firefox يشغل نفس الكود ولم يعد مدرجاً بعد الآن. وإذا استخدمه شخص ما في النافذة، فيجب اعتبار تلك المفاتيح مخترقة أيضاً.

الكود غائب من تطبيقات Android وiOS المراجعة. لكن أي مفتاح خاص كان موجوداً في الملحق في أي وقت يعتبر مخترقاً أينما يُستخدم، وفقاً للإشعار.

تم دمج الكود من طلب السحب على GitHub رقم 1022 كجزء من تغيير كبير عُرف باسم "نظام TON البيئي" في الشفرة المصدرية العامة للامتداد. استخدمت الإصدارات من 3.0.3 إلى 3.0.5 ملف تكوين في مستودع عام منفصل كمفتاح تشغيل/إيقاف عن بعد.

يُظهر سجل النشاط على GitHub أن المفتاح كان مسجلاً كـ "مفعّل" خلال تسعة فترات بين 7 مارس 2025 و10 أكتوبر 2026. وبالإجمال، استمر ذلك لمدة حوالي 571 يوماً.

تمت إزالة الكود من مصدر المشروع في 25 يونيو 2026، لكن النسخ المثبتة من الإصدارات 3.0.3 إلى 3.0.5 لا تزال تحمله. كل مرة يتم فيها فتح المحفظة، تتحقق من مفتاح عن بُعد يكون معطلاً حالياً لكنه قد يُفعَّل مجدداً. وقد نصحت المؤسسة المستخدمين بنقل أموالهم أولاً وإلغاء تثبيت الإضافة.

ثمانية مستخدمين يبلغون عن 17,286 DOT في عمليات تحويل غير مصرح بها

أشارت المؤسسة إلى أن ثمانية مستخدمين أبلغوا عن معاملات غير مصرح بها قد تكون مرتبطة بالاستغلال، بإجمالي 17,286 DOT. ويذكر سجل القضايا أن هذه البلاغات لا تثبت سرقة أي شيء.

أول حالة في السجل هي بتاريخ 30 سبتمبر 2025، مع منشور على رديت في 6 أكتوبر 2025. وذكر بعض المستخدم أن الأموال نُقلت بمجرد فتحهم للمحفظة دون أي إجراء منهم.

كانت الإصدار 3.0.5 لا يزال متاحاً في متجر Chrome Web Store مع 6,000 مستخدم في 21 أكتوبر.

Fearless Wallet هو تطبيق تابع لجهة خارجية طورته فريق مستقل. وأكدت المؤسسة أنه ليس، ولم يكن أبداً، محفظة رسمية لـ Polkadot.

تتمثل نصيحته في إنشاء زوج مفاتيح جديد في محفظة مختلفة ومُصانة جيدًا. ويوصي باستخدام Nova Wallet.

يجب نقل الأموال من الحساب القديم على كل سلسلة كانت مستخدمة عليها، ويفضل ذلك دون الحاجة إلى إعادة فتح Fearless مرة أخرى.

لا يمكن تحريك العملات المُراهن عليها، وودائع صناديق الترشيح، والعملات المقيدة للحوكمة فورًا. يمكن لمرشحي Polkadot فك الربط خلال يوم واحد أو يومين فقط. وتوجه الإعلانات المستخدمين إلى أداة PAPI Rescue التي طورها فريق polkadot-api، وذلك قبل عملية فك الرهان.

أوضحت المؤسسة أن أحدًا، بما في ذلك فريق PAPI Rescue، لا يحتاج إلى المفاتيح الخاصة للمستخدم. وحذرت من أن أي شخص شرعي لن يكون هو المبادر بالرسائل وعرض استعادة الأموال.

في وقت سابق من هذا الشهر، أصبح المستقر dotUSD الخاص بـ Polkadot متاحًا للعمل.

في وقت كتابة هذا التقرير، كان سعر DOT يتداول عند 1.17 دولار مع مكاسب بنسبة 3% خلال الأسبوع الماضي. وقد خسر العملة الرقمية 62.7% من قيمتها خلال عام واحد.