La extensión de Fearless Wallet filtró claves privadas de usuarios de Polkadot durante 20 meses

La Fundación de la Comunidad Polkadot advirtió a cualquier persona que haya utilizado la extensión del navegador Fearless Wallet desde febrero de 2025 que considere todas las cuentas en la extensión comprometidas y transfiera sus fondos inmediatamente.

El 19 de febrero de 2025, se añadió código que enviaba claves privadas al servidor de un atacante y se ejecutaba en momentos variables hasta el 10 de octubre de 2026.

Cuatro versiones enviaron frases de recuperación a tonscanner.org

El código estaba presente en cuatro versiones: 3.0.1, 3.0.3, 3.0.4 y 3.0.5. Según el aviso de seguridad de la fundación del 21 de octubre, se activaba mediante un desbloqueo con la contraseña correcta.

Un análisis técnico vinculado en el aviso indica que la extensión recopiló la frase de recuperación de cada cuenta o su archivo de respaldo, así como la contraseña de la billetera. Las cifró con una contraseña vacía (que cualquiera puede revertir) y las envió a tonscanner.org.

Una clave privada tiene control total sobre una cuenta. Incluso cambiar la contraseña o reinstalar la extensión no ayuda, ya que cualquiera que posea una puede firmar transferencias y vaciar el saldo, según indicó la fundación.

La versión para Firefox ejecutaba el mismo código y ya no está disponible. Además, si alguien la utilizó en esa ventana, esas claves también deben considerarse comprometidas.

El código está ausente en las aplicaciones revisadas para Android e iOS. Sin embargo, cualquier clave privada que estuviera en la extensión en algún momento se considera comprometida dondequiera que se utilice, según el aviso.

El código se fusionó desde la solicitud de extracción de GitHub #1022 como parte de un cambio considerable llamado «ecosistema TON» al código fuente público de la extensión. Las versiones 3.0.3 – 3.0.5 utilizaban un archivo de configuración en un repositorio público separado como interruptor remoto de activación/desactivación.

El interruptor se registró como activado en el registro de actividad de GitHub durante nueve períodos entre el 7 de marzo de 2025 y el 10 de octubre de 2026. En total, fueron aproximadamente 571 días.

El código fue eliminado del código fuente del proyecto el 25 de junio de 2026, pero las copias instaladas de las versiones 3.0.3 a 3.0.5 aún lo contienen. Cada vez que se desbloquea la billetera, verifica un interruptor remoto que está apagado por ahora, pero que podría volver a activarse. La fundación aconsejó a los usuarios que trasladaran sus fondos primero y desinstalaran la extensión después.

Ocho usuarios reportan 17,286 DOT en transferencias no autorizadas

La fundación indicó que ocho usuarios han reportado transacciones no autorizadas posiblemente vinculadas a la vulnerabilidad, por un total de 17.286 DOT. Su registro de casos indica que los informes no demuestran que se haya robado nada.

El primer caso del registro es del 30 de septiembre de 2025, con una publicación en Reddit el 6 de octubre de 2025. Algunos usuarios afirmaron que los fondos se movieron apenas desbloquearon la billetera, sin realizar ninguna acción por su parte.

La versión 3.0.5 seguía estando disponible en Chrome Web Store con 6.000 usuarios el 21 de octubre.

Fearless Wallet es una aplicación de terceros desarrollada por un equipo independiente. La fundación aclaró que no lo es, ni lo ha sido nunca, una billetera oficial de Polkadot.

Su consejo es generar un nuevo par de claves en una billetera diferente y bien mantenida. Sugiere Nova Wallet.

Los fondos deben transferirse fuera de la cuenta antigua en cada cadena en la que se utilizó, idealmente sin volver a abrir Fearless.

Las monedas stakeadas, los depósitos en pools de nominación y las monedas bloqueadas para gobernanza no se pueden mover inmediatamente. Los nominadores de Polkadot pueden desvincularse en tan solo uno o dos días. El anuncio dirige a los usuarios a PAPI Rescue, creado por el equipo de polkadot-api, antes del proceso de desstakeo.

La fundación indicó que nadie, incluido el equipo de PAPI Rescue, necesita las claves privadas de los usuarios. Advirtió que ninguna persona legítima contactará primero ofreciendo recuperar los fondos.

A principios de este mes, el stablecoin dotUSD de Polkadot salió a la luz.

Al momento de escribir este artículo, DOT cotiza a $1.17 con ganancias del 3% en los últimos siete días. El token perdió el 62,7 % de su valor en un año.