L'estensione Fearless Wallet ha trapelato le chiavi private degli utenti Polkadot per 20 mesi

La Fondazione della Comunità Polkadot ha avvisato chiunque abbia utilizzato l'estensione del browser Fearless Wallet da febbraio 2025 di considerare tutti gli account nell'estensione compromessi e di trasferire immediatamente i propri fondi.

Il 19 febbraio 2025 è stato aggiunto del codice che inviava le chiavi private al server di un attaccante ed eseguiva operazioni a intervalli variabili fino all'10 ottobre 2026.

Quattro build hanno inviato le frasi di recupero a tonscanner.org

Il codice era presente in quattro build: 3.0.1, 3.0.3, 3.0.4 e 3.0.5. Secondo l'avviso di sicurezza del 21 ottobre della fondazione, è stato attivato tramite uno sblocco con la password corretta.

Un'analisi tecnica collegata all'avviso afferma che l'estensione ha raccolto la frase di recupero di ogni account o il suo file di backup e la password del portafoglio. Li ha crittografati con una password vuota (che chiunque può decrittografare) e li ha inviati a tonscanner.org.

Una chiave privata ha il controllo totale su un account. Anche cambiando la password o reinstallando l'estensione non aiuta, poiché chiunque possieda una chiave può firmare transazioni e svuotare il saldo, ha dichiarato la fondazione.

La build per Firefox eseguiva lo stesso codice e non è più elencata. Se qualcuno l'ha utilizzata in quella finestra, anche quelle chiavi dovrebbero essere considerate compromesse.

Il codice è assente dalle app Android e iOS revisionate. Tuttavia, qualsiasi chiave privata che si trovava nell'estensione in qualsiasi momento è considerata compromessa ovunque venga utilizzata, ha precisato l'avviso.

Il codice è stato unito da GitHub pull request #1022 come parte di un cambiamento significativo chiamato "ecosistema TON" nel codice sorgente pubblico dell'estensione. Le versioni 3.0.3 – 3.0.5 utilizzavano un file di configurazione in un repository pubblico separato come interruttore remoto on/off.

L'interruttore è registrato come attivo nel registro delle attività su GitHub per nove periodi tra il 7 marzo 2025 e il 10 ottobre 2026. Nel complesso, è stato attivo per circa 571 giorni.

Il codice è stato rimosso dal sorgente del progetto il 25 giugno 2026, ma le copie installate delle versioni 3.0.3 alla 3.0.5 lo contengono ancora. Ogni volta che il portafoglio viene sbloccato, verifica un interruttore remoto che al momento è spento ma potrebbe essere riattivato. La fondazione ha consigliato agli utenti di trasferire prima i propri fondi e disinstallare l'estensione dopo.

Otto utenti segnalano 17,286 DOT in trasferimenti non autorizzati

La fondazione ha dichiarato che otto utenti hanno segnalato transazioni non autorizzate potenzialmente collegate all'exploit, per un totale di 17.286 DOT. Il suo registro dei casi afferma che le segnalazioni non provano che qualcosa sia stato rubato.

Il primo caso nel registro è del 30 settembre 2025, con un post su Reddit del 6 ottobre 2025. Alcuni utenti hanno affermato che i fondi sono stati spostati non appena hanno sbloccato il portafoglio, senza alcuna azione da parte loro.

La versione 3.0.5 era ancora presente sul Chrome Web Store con 6.000 utenti il 21 ottobre.

Fearless Wallet è un'app di terze parti sviluppata da un team indipendente. La fondazione ha precisato che non è mai stata, e non è, un wallet ufficiale di Polkadot.

Il suo consiglio è di creare una nuova coppia di chiavi in un portafoglio diverso e ben mantenuto. Suggerisce Nova Wallet.

I fondi devono essere spostati dall'account vecchio su ciascuna catena in cui è stato utilizzato, idealmente senza sbloccare nuovamente Fearless.

Le monete staked, i depositi nei pool di nomina e le monete bloccate per la governance non possono essere spostate immediatamente. I nominatori di Polkadot possono disvincolare in appena uno o due giorni. L'avviso indirizza gli utenti verso PAPI Rescue, sviluppato dal team polkadot-api, prima dello svincolo.

La fondazione ha dichiarato che nessuno, incluso il team di PAPI Rescue, ha bisogno delle chiavi private degli utenti. Ha avvertito che nessuna persona legittima prenderà l'iniziativa contattando per offrire il recupero dei fondi.

All'inizio di questo mese, lo stablecoin dotUSD di Polkadot è andato online.

Al momento della scrittura, DOT è scambiato a 1,17 $ con guadagni del 3% negli ultimi sette giorni. Il token ha perso il 62,7% del suo valore in un anno.