Fearless-Wallet-Erweiterung leckte 20 Monate lang private Schlüssel von Polkadot-Nutzern

Die Polkadot Community Foundation warnt alle, die die Fearless Wallet-Browsererweiterung seit Februar 2025 genutzt haben, sämtliche Konten in der Erweiterung als kompromittiert zu betrachten und ihre Mittel umgehend zu verlagern.

Am 19. Februar 2025 wurde Code eingefügt, der private Schlüssel an den Server eines Angreifers sendete und bis zum 10. Oktober 2026 zu unterschiedlichen Zeitpunkten ausgeführt wurde.

Vier Builds gaben Wiederherungsphrasen an tonscanner.org weiter

Der Code befand sich in vier Builds: 3.0.1, 3.0.3, 3.0.4 und 3.0.5. Laut der Sicherheitsmitteilung der Stiftung vom 21. Oktober wurde er durch eine Entsperrung mit dem richtigen Passwort aktiviert.

Eine technische Analyse, die in der Mitteilung verlinkt ist, besagt, dass die Erweiterung den Wiederherstellungsphrase jedes Kontos oder dessen Sicherungsdatei sowie das Wallet-Passwort gesammelt hat. Diese wurden mit einem leeren Passwort verschlüsselt (was von jedem rückgängig gemacht werden kann) und an toscanner.org gesendet.

Ein privater Schlüssel hat vollständige Kontrolle über ein Konto. Selbst das Ändern des Passworts oder die Neuinstallation der Erweiterung hilft nicht, da jeder, der im Besitz eines solchen Schlüssels ist, Übertragungen signieren und das Guthaben leeren kann, so die Stiftung.

Die Firefox-Version führte denselben Code aus und wird nicht mehr aufgeführt. Falls jemand sie in diesem Fenster verwendet hat, sollten auch diese Schlüssel als kompromittiert betrachtet werden.

Der Code fehlt in den überprüften Android- und iOS-Apps. Aber jeder private Schlüssel, der jemals in der Erweiterung vorhanden war, ist überall dort kompromittiert, wo er verwendet wird, heißt es in der Mitteilung.

Der Code wurde aus GitHub-Pull-Anfrage #1022 als Teil einer umfangreichen Änderung namens „TON-Ökosystem“ in den öffentlichen Quellcode der Erweiterung übernommen. Die Versionen 3.0.3 – 3.0.5 verwendeten eine Konfigurationsdatei in einem separaten öffentlichen Repository als Remote-On/Off-Schalter.

Der Switch wurde im Activity-Log auf GitHub für neun Zeiträume zwischen dem 7. März 2025 und dem 10. Oktober 2026 als aktiv verzeichnet. Insgesamt waren das etwa 571 Tage.

Der Code wurde am 25. Juni 2026 aus der Quellcodebasis des Projekts entfernt, aber installierte Kopien der Versionen 3.0.3 bis 3.0.5 enthalten ihn weiterhin. Jedes Mal, wenn die Wallet entsperrt wird, prüfen sie einen Remote-Switch, der derzeit ausgeschaltet ist, aber wieder eingeschaltet werden könnte. Die Stiftung riet den Nutzern, ihre Mittel zuerst zu verschieben und die Erweiterung anschließend zu deinstallieren.

Acht Nutzer melden 17,286 DOT bei unbefugten Übertragungen

Die Stiftung gab an, dass acht Nutzer unbefugte Transaktionen gemeldet haben, die möglicherweise mit der Ausnutzung zusammenhängen, was insgesamt 17.286 DOT entspricht. Ihr Fallprotokoll besagt, dass die Meldungen keinen Beweis dafür liefern, dass etwas gestohlen wurde.

Der erste Eintrag im Protokoll stammt vom 30. September 2025, mit einem Reddit-Beitrag vom 6. Oktober 2025. Einige Nutzer gaben an, dass die Mittel sofort bewegt wurden, sobald sie die Wallet entsperrten, ohne dass sie selbst eine Aktion durchgeführt hatten.

Version 3.0.5 war am 21. Oktober noch im Chrome Web Store mit 6.000 Nutzern verfügbar.

Fearless Wallet ist eine Drittanbieter-App, die von einem unabhängigen Team entwickelt wurde. Die Stiftung erklärte, dass es sich nicht um und nie um eine offizielle Polkadot-Wallet handelte.

Der Rat lautet: Erstellen Sie ein neues Schlüsselpaar in einer anderen, gut gepflegten Wallet. Es wird Nova Wallet empfohlen.

Die Mittel müssen von dem alten Konto auf jeder Chain verschoben werden, auf der es verwendet wurde, idealerweise ohne Fearless erneut zu entsperren.

Gestakete Münzen, Einzahlungen in Nominierungspools und für Governance gesperrte Coins können nicht sofort bewegt werden. Polkadot-Nominateure können ihre Bindung innerhalb von ein bis zwei Tagen auflösen. Die Ankündigung verweist Nutzer vor dem Entstaken auf PAPI Rescue, entwickelt vom polkadot-api-Team.

Die Stiftung betonte, dass niemand – einschließlich des PAPI-Rescue-Teams – die privaten Schlüssel eines Benutzers benötigt. Es wurde gewarnt, dass keine legitime Person den ersten Kontakt aufnehmen wird, um die Wiederherstellung der Mittel anzubieten.

Anfang diesen Monats ging der Polkadot-dotUSD Stablecoin live.

Zum Zeitpunkt der Verfassung handelt DOT mit 1,17 US-Dollar und verzeichnete in den letzten sieben Tagen einen Anstieg von 3 %. Der Token hat im Laufe eines Jahres 62,7 % seines Wertes verloren.