- Fearless Wallet のブラウザ拡張機能は、2025年2月から2026年10月10日にかけて、時折プライベートキーを攻撃者のサーバーに送信していました。
- Polkadotコミュニティファウンデーションによると、合計17,286 DOT に相当する不正取引が8人のユーザーから報告されました。
- 同ファウンデーションは、ユーザーに対し、異なるウォレットで新しいキーを作成し、資金を移動するよう指示しました。
Polkadotコミュニティファウンデーションは、2025年2月以降Fearless Walletブラウザ拡張機能を使用したすべてのユーザーに対し、拡張機能内の全アカウントが侵害されたものと見なし、資金を直ちに移動するよう警告しています。
2025年2月19日、秘密鍵を攻撃者のサーバーへ送信するコードが追加され、2026年10月10日まで不規則なタイミングで実行されていました。
4つのビルドにおいて、リカバリーフレーズがtonscanner.orgへ送信されました。
このコードは4つのビルド（3.0.1、3.0.3、3.0.4、3.0.5）に含まれていました。ファウンデーションの10月21日付セキュリティ通知によると、正しいパスワードでのアンロック時にアクティブ化されていました。
通知内にリンクされた技術的な 分析によると、この拡張機能は各アカウントのリカバリーフレーズまたはバックアップファイル、およびウォレットパスワードを取得し、空のパスワード（誰でも復号可能）で暗号化した上で tonscanner.org に送信していました。
秘密鍵はアカウントに対する完全な制御権を持ちます。パスワードの変更や拡張機能の再インストールでも問題は解決せず、秘密鍵を持つ者は送金に署名して残高を空にできるためです。
Firefox版ビルドも同様のコードを実行しており、現在はリストから削除されています。もしそのウィンドウで使用した場合は、関連するキーも侵害されたものと見なすべきです。
レビュー済みのAndroidおよびiOSアプリにはこのコードは含まれていません。ただし、拡張機能内に存在していた秘密鍵は、どこで使用されていても侵害された状態にあると通知されています。
このコードは、拡張機能の公開ソースに対する大規模な変更「TONエコシステム」の一環として、GitHub pull リクエスト #1022 からマージされました。バージョン 3.0.3 ～ 3.0.5 では、リモートのオン/オフスイッチとして別の公開リポジトリ内の設定ファイルを使用していました。
スイッチは2025年3月7日から2026年10月10日の間に9回、GitHubのアクティビティログでオンとして記録されています。合計で約571日間です。
コードは2026年6月25日にプロジェクトのソースから削除されましたが、バージョン3.0.3から3.0.5までのインストール済みコピーにはまだ含まれています。ウォレットがアンロックされるたびに、現在はオフですが再びオンにできる可能性のあるリモートスイッチをチェックします。財団はユーザーに対し、まず資金を移動し、その後拡張機能をアンインストールするよう指示しました。
8人のユーザーが不正送金で17,286 DOTを報告
財団によると、8人のユーザーが攻撃と関連する可能性がある不正取引を報告しており、合計17,286 DOTに上ります。そのケースログでは、これらの報告は何かが盗まれたことを証明するものではないとしています。
ログの最初のケースは2025年9月30日で、Reddit投稿は2025年10月6日に行われました。一部のユーザーは、自分たちの何らかのアクションなしに、ウォレットをアンロックした直後に資金が移動したと述べています。
バージョン3.0.5は10月21日時点でChrome ウェブストアに6,000人のユーザーと共に掲載されていました。
Fearless Walletは独立したチームによって開発されたサードパーティ製アプリです。財団は、これが公式のPolkadotウォレットではなく、かつてもそうではなかったと述べています。
そのアドバイスは、別で適切に管理されたウォレットにおける新しいキーペアの使用です。Nova Walletを使用することが推奨されています。
各チェーン上の古いアカウントから資金を移動させる必要があり、理想としてはFearlessを再度アンロックせずに済む方法が望ましいです。
ステーキング中のコイン、ノミネーションプールの預け金、ガバナンス用のロック済みコインはすぐに移動できません。Polkadotのノミネーターは最短1〜2日でアンバインドできます。解除前に、polkadot-apiチームによって構築されたPAPI Rescueへの利用を案内しています。
財団は、PAPI Rescueチームを含む誰もユーザーの秘密鍵を必要としないことを明言しました。また、最初に連絡して資金の回復を提供する者は正当な者ではないと警告しています。
今月初旬、Polkadot の dotUSDステーブルコインが稼働を開始しました。
執筆時点では、DOTは1.17ドルで取引されており、過去7日間で3%の増加を示しています。このトークンは1年間で62.7%の価値を失いました。
最も賢明な暗号通貨の専門家たちはすでに私たちのニュースレターを読んでいます。あなたも参加しませんか？ 彼らに加わりましょう。
よくある質問
どのFearless Walletのバージョンが影響を受けていますか？
ブラウザ拡張機能のバージョン3.0.1、3.0.3、3.0.4、および3.0.5。Firefox版も同じコードベースを使用していました。
これまでにどれだけの金額が盗まれましたか？
8人のユーザーが合計17,286 DOTに相当する不正送金を報告していますが、これらの報告は盗難を確認したものではありません。
影響を受けたユーザーはどうすべきですか？
Nova Walletなどの他のよく管理されたウォレットで新しいキーペアを作成し、資金を古いアカウントから移動してください。
免責事項。 本情報は取引助言ではありません。Cryptopolitan.com は、本ページに記載された情報に基づいて行われた投資に対して一切の責任を負いません。投資判断を下す前に、独自の調査を行うか、資格を有する専門家にご相談することを強く推奨します。
ランダ・モーゼス
ランダ・モーゼスはCryptopolitanのエディター兼記者で、テクノロジー、AI、ロボティクス、暗号資産、詐欺、ハッキングなどを担当しています。2017年以来暗号資産分野で活動しており、Forward Protocol、AmaZix、Cryptosomniacで役職を務めました。ブラッドフォード大学で電気電子工学の学位を取得しています。
