- Fearless Wallet 브라우저 확장 프로그램은 2025년 2월부터 2026년 10월 10일까지 특정 시점에 개인 키를 공격자의 서버로 전송했습니다.
- 폴카닷 커뮤니티 파운데이션은 8명의 사용자가 총 17,286 DOT에 해당하는 무단 거래를 보고했다고 밝혔습니다.
- 파운데이션은 사용자에게 다른 지갑에서 새 키를 생성하고 자금을 이동할 것을 안내했습니다.
폴카닷 커뮤니티 재단은 2025년 2월 이후 Fearless Wallet 브라우저 확장 프로그램을 사용한 모든 사용자에게, 확장 프로그램 내의 모든 계정이 침해되었으므로 자금을 즉시 이동할 것을 경고했습니다.
2025년 2월 19일, 개인 키를 공격자의 서버로 전송하는 코드가 추가되었으며, 이 코드는 2026년 10월 10일까지 다양한 시점에 실행되었습니다.
네 가지 빌드에서 복구 문구가 tonscanner.org로 유출되었습니다.
이 코드는 3.0.1, 3.0.3, 3.0.4, 3.0.5 네 가지 빌드에 포함되어 있었습니다. 재단의 10월 21일 보안 공지によると, 올바른 비밀번호로 잠금 해제하면 활성화됩니다.
공지에 링크된 기술 분석에 따르면, 이 확장 프로그램은 각 계정의 복구 문구 또는 백업 파일과 지갑 비밀번호를 수집했습니다. 그리고 이를 빈 비밀번호로 암호화(누구나 복호화 가능)하여 tonscanner.org로 전송했습니다.
개인 키는 계정에 대한 완전한 통제권을 가집니다. 재단에 따르면, 비밀번호 변경이나 확장 프로그램 재설치를 해도 도움이 되지 않으며, 개인 키를 가진 사람은 누구나 이체 서명을 수행하고 잔액을 비울 수 있습니다.
파이어폭스(Firefox) 빌드도 동일한 코드를 실행 중이었으며, 현재 목록에서 제외되었습니다. 또한 해당 빌드를 창에서 사용한 경우 해당 키들도 침해된 것으로 간주해야 합니다.
검토된 Android 및 iOS 앱에는 이 코드가 없습니다. 하지만 공지사항에 따르면, 확장 프로그램에 존재했던 모든 개인 키는 사용처와 관계없이 침해된 것으로 간주됩니다.
이 코드는 확장 프로그램의 공개 소스에 대규모 변경 사항인 'TON 생태계'의 일환으로 GitHub 풀 요청 #1022에서 병합되었습니다. 버전 3.0.3~3.0.5는 별도 공개 저장소의 구성 파일을 원격 켜기/끄기 스위치로 사용했습니다.
GitHub 활동 로그에 따르면, 2025년 3월 7일부터 2026년 10월 10일까지 총 9번의 기간 동안 스위치가 켜진 상태로 기록되었습니다. 전체적으로 약 571일 동안이었습니다.
코드는 2026년 6월 25일 프로젝트 소스에서 제거되었지만, 버전 3.0.3부터 3.0.5까지의 설치된 복사본에는 여전히 포함되어 있습니다. 지갑이 잠금 해제될 때마다 현재는 꺼져 있지만 다시 켤 수 있는 원격 스위치를 확인합니다. 재단 측은 사용자에게 먼저 자금을 이동하고 확장 프로그램을 삭제할 것을 안내했습니다.
8명의 사용자가 17,286 DOT의 무단 이체를 보고함
재단 측은 8명의 사용자가 악용과 관련이 있을 것으로 추정되는 무단 거래를 보고했으며, 총액은 17,286 DOT라고 밝혔습니다. 사건 기록에 따르면 이러한 보고만으로는 실제로 도난당한 것이 입증되지 않습니다.
기록상 첫 번째 사례는 2025년 9월 30일이며, 2025년 10월 6일에 Reddit 게시물이 올라왔습니다. 일부 사용자는 자신의 어떠한 조치 없이도 지갑을 잠금 해제하는 즉시 자금이 이동했다고 말했습니다.
10월 21일 기준 Chrome 웹 스토어에는 6,000명의 사용자를 보유한 버전 3.0.5가 여전히 존재했습니다.
Fearless Wallet은 독립적인 팀이 개발한 서드파티 앱입니다. 재단 측은 이것이 공식 Polkadot 지갑이 아니며, 결코 아니었다고 밝혔습니다.
권고는 새 키 쌍을 별도로 잘 관리되는 지갑에 생성하는 것입니다. Nova Wallet을 사용할 것을 제안합니다.
자금은 각 체인에서 사용된 이전 계정에서 이동해야 하며, 가능하면 Fearless를 다시 실행하지 않고 진행해야 합니다.
스테이킹된 코인, 네미네이션 풀 예치금 및 거버넌스를 위한 잠금 코인은 즉시 이동할 수 없습니다. Polkadot 네미네이터는 최소 1~2일 내에 언본딩할 수 있습니다. 이 안내문은 스테이킹 해제 전에 polkadot-api 팀이 구축한 PAPI Rescue를 사용자에게 안내합니다.
재단은 PAPI Rescue 팀을 포함하여 누구도 사용자의 개인 키가 필요 없다고 밝혔습니다. 또한 자금을 복구하겠다고 먼저 연락해 오는 정당한 사람은 없다고 경고했습니다.
이번 달 초, 폴카닷의 dotUSD 스테이블코인이 출시되었습니다.
작성 시점 기준 DOT는 7일 동안 3% 상승한 $1.17에 거래되고 있으며, 1년 동안 가치가 62.7% 감소했습니다.
이 글을 읽고 계신다면, 이미 앞서 나가고 있습니다. 뉴스레터로 그 위치를 유지하세요.
자주 묻는 질문
어떤 Fearless Wallet 버전이 영향을 받습니까?
브라우저 확장 프로그램의 버전 3.0.1, 3.0.3, 3.0.4 및 3.0.5입니다. Firefox 빌드도 동일한 코드를 사용했습니다.
지금까지 얼마나 탈취되었습니까?
8명의 사용자가 총 17,286 DOT에 해당하는 승인되지 않은 거래를 보고했으나, 이 보고서들은 도난 사실을 확인하지는 않습니다.
영향을 받은 사용자는 어떻게 해야 합니까?
Nova Wallet와 같은 다른 잘 관리되는 지갑에서 새 키 쌍을 생성한 후, 기존 계정에서 자금을 이동하세요.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com은 이 페이지에 제공된 정보를 기반으로 이루어진 모든 투자에 대해 책임을 지지 않습니다. 어떤 투자 결정을 내리기 전에 독립적인 조사나 자격을 갖춘 전문가와의 상담을 강력히 권장합니다.
란다 모세스
란다 모세스는 Cryptopolitan의 편집자이자 기자로, 기술, AI, 로봇공학, 암호화폐, 사기 및 해킹을 담당합니다. 그녀는 2017년부터 암호화폐 분야에서 활동해 왔으며, 포워드 프로토콜, 아마직스, 크립토소니아크에서 역할을 수행했습니다. 란다는 브래드포드 대학교에서 전기전자공학을 전공했습니다.
