L'extension Fearless Wallet a exposé les clés privées des utilisateurs de Polkadot pendant 20 mois

La Fondation de la communauté Polkadot a mis en garde toute personne ayant utilisé l'extension de navigateur Fearless Wallet depuis février 2025, lui conseillant de considérer tous les comptes de l'extension comme compromis et de transférer immédiatement ses fonds.

Le 19 février 2025, du code a été ajouté pour envoyer les clés privées au serveur d'un attaquant, s'exécutant à des moments variés jusqu'au 10 octobre 2026.

Quatre versions ont envoyé les phrases de récupération à tonscanner.org

Le code était présent dans quatre versions : 3.0.1, 3.0.3, 3.0.4 et 3.0.5. Selon l'avis de sécurité publié le 21 octobre par la fondation, il était activé par un déverrouillage avec le bon mot de passe.

Une analyse technique liée dans l’avis indique que l’extension a récupéré la phrase de récupération de chaque compte ou son fichier de sauvegarde ainsi que le mot de passe du portefeuille. Elle les a chiffrés avec un mot de passe vide (qui peut être déchiffré par n’importe qui) et les a envoyés à tonscanner.org.

Une clé privée détient un contrôle total sur un compte. Même changer de mot de passe ou réinstaller l'extension ne sert à rien, car quiconque en possède une peut signer des transferts et vider le solde, a indiqué la fondation.

La version Firefox exécutait le même code et n'est plus répertoriée. Si quelqu'un l'a utilisée dans cette fenêtre, ces clés doivent également être considérées comme compromises.

Le code est absent des applications Android et iOS révisées. Mais toute clé privée qui se trouvait dans l'extension à un moment donné est compromise où qu'elle soit utilisée, précise l'avis.

Le code a été fusionné depuis la demande d’extraction GitHub request #1022 dans le cadre d’un changement majeur appelé « écosystème TON » apporté au code source public de l’extension. Les versions 3.0.3 à 3.0.5 utilisaient un fichier de configuration dans un dépôt public distinct comme interrupteur distant activé/désactivé.

L’interrupteur est enregistré comme activé dans le journal d’activité sur GitHub pour neuf périodes entre le 7 mars 2025 et le 10 octobre 2026. Au total, cela représente environ 571 jours.

Le code a été supprimé du code source du projet le 25 juin 2026, mais les copies installées des versions 3.0.3 à 3.0.5 le contiennent encore. Chaque fois que le portefeuille est déverrouillé, elles vérifient un interrupteur distant qui est actuellement désactivé mais pourrait être réactivé. La fondation a conseillé aux utilisateurs de déplacer leurs fonds puis de désinstaller l’extension après.

Huit utilisateurs signalent 17,286 DOT dans des transferts non autorisés

La fondation a indiqué que huit utilisateurs ont signalé des transactions non autorisées potentiellement liées à l’exploitation, s’élevant à 17 286 DOT. Son registre de cas précise que ces rapports ne prouvent rien quant à un vol.

Le premier cas du registre date du 30 septembre 2025, avec un post Reddit le 6 octobre 2025. Certains utilisateurs ont déclaré que les fonds ont été déplacés dès qu’ils ont déverrouillé le portefeuille, sans aucune action de leur part.

La version 3.0.5 était toujours présente dans le Chrome Web Store avec 6 000 utilisateurs le 21 octobre.

Fearless Wallet est une application tierce développée par une équipe indépendante. La fondation a précisé qu’il ne s’agit pas, et n’a jamais été, un portefeuille officiel Polkadot.

Son conseil consiste à utiliser une nouvelle paire de clés dans un portefeuille différent et bien entretenu. Il suggère Nova Wallet.

Les fonds doivent être transférés hors du vieux compte sur chaque chaîne où il a été utilisé, idéalement sans réactiver Fearless.

Les pièces mises en staking, les dépôts de pool de nomination et les pièces verrouillées pour la gouvernance ne peuvent pas être déplacées immédiatement. Les nominators Polkadot peuvent désengager leurs fonds en aussi peu que deux jours. L'annonce oriente les utilisateurs vers PAPI Rescue, développé par l'équipe polkadot-api, avant le processus de déblocage.

La fondation a précisé que personne, y compris l'équipe de PAPI Rescue, n'a besoin des clés privées d'un utilisateur. Elle a mis en garde contre le fait qu'aucune personne légitime ne prendra contact en premier pour proposer de récupérer les fonds.

Plus tôt ce mois-ci, le stablecoin dotUSD de Polkadot est devenu opérationnel.

Au moment de la rédaction, DOT était coté à 1,17 $ avec une hausse de 3 % au cours des sept derniers jours. Le token a perdu 62,7 % de sa valeur en un an.