Extensão Fearless Wallet vaza chaves privadas de usuários da Polkadot por 20 meses
- A extensão de navegador do Fearless Wallet enviou chaves privadas ao servidor de um atacante em alguns momentos entre fevereiro de 2025 e 10 de outubro de 2026.
- Oito usuários reportaram transações não autorizadas totalizando 17.286 DOT, informou a Polkadot Community Foundation.
- A fundação orientou os usuários a criar uma nova chave em uma carteira diferente e transferir seus fundos.
A Fundação da Comunidade Polkadot alertou qualquer pessoa que utilizou a extensão do navegador Fearless Wallet desde fevereiro de 2025 a considerar todas as contas na extensão comprometidas e a transferir os seus fundos imediatamente.
Em 19 de fevereiro de 2025, foi adicionado código que enviava chaves privadas para o servidor de um atacante e era executado em intervalos variados até 10 de outubro de 2026.
Quatro versões enviaram as frases de recuperação para tonscanner.org
O código estava presente em quatro versões: 3.0.1, 3.0.3, 3.0.4 e 3.0.5. De acordo com o aviso de segurança de 21 de outubro da fundação, ele foi ativado por uma desbloqueio com a senha correta.
Uma análise técnica vinculada ao aviso afirma que a extensão coletou a frase de recuperação de cada conta ou seu arquivo de backup e a senha da carteira. Elas foram criptografadas com uma senha vazia (o que é reversível por qualquer pessoa) e enviadas para toscanner.org.
Uma chave privada tem controle total sobre uma conta. Mesmo alterar a senha ou reinstalar a extensão não ajuda, pois qualquer pessoa com acesso pode assinar transferências e esvaziar o saldo, afirmou a fundação.
A versão para Firefox estava executando o mesmo código e já não está listada. E se alguém a utilizou na janela, essas chaves também devem ser consideradas comprometidas.
O código está ausente das aplicações Android e iOS revisadas. Mas qualquer chave privada que tenha estado na extensão em algum momento está comprometida onde quer que seja utilizada, segundo o aviso.
The code was merged from GitHub pull request #1022 as part of a sizable change called “TON ecosystem” to the public source of the extension. Versions 3.0.3 – 3.0.5 used a config file in a separate public repo as a remote on/off switch.
A chave está registrada como ligada no registro de atividades do GitHub por nove períodos entre 7 de março de 2025 e 10 de outubro de 2026. No total, foram cerca de 571 dias.
O código foi removido da fonte do projeto em 25 de junho de 2026, mas cópias instaladas das versões 3.0.3 a 3.0.5 ainda o carregam. Cada vez que a carteira é desbloqueada, elas verificam uma chave remota que está desligada por enquanto, mas pode ser reativada. A fundação orientou os usuários a transferirem seus fundos primeiro e a desinstalarem a extensão depois.
Oito usuários relatam 17,286 DOT em transferências não autorizadas
A fundação informou que oito usuários reportaram transações não autorizadas possivelmente vinculadas à exploração, totalizando 17.286 DOT. Seu registro de casos afirma que as denúncias não comprovam que algo tenha sido roubado.
O primeiro caso no registro é de 30 de setembro de 2025, com um post no Reddit em 6 de outubro de 2025. Alguns usuários disseram que os fundos foram movidos assim que desbloquearam a carteira, sem qualquer ação de sua parte.
A versão 3.0.5 ainda estava na Chrome Web Store com 6.000 usuários em 21 de outubro.
Fearless Wallet é um aplicativo de terceiros desenvolvido por uma equipe independente. A fundação afirmou que não é, e nunca foi, uma carteira oficial da Polkadot.
O conselho é gerar um novo par de chaves em uma carteira diferente e bem mantida. Sugere-se o uso da Nova Wallet.
Os fundos precisam ser transferidos para fora da conta antiga em cada cadeia onde foi utilizada, idealmente sem desbloquear o Fearless novamente.
Moedas staked, depósitos em pools de indicação e moedas bloqueadas para governança não podem ser movidas imediatamente. Nominadores da Polkadot podem desvincular (unbond) em tão pouco quanto um a dois dias. O anúncio direciona os usuários ao PAPI Rescue, desenvolvido pela equipe polkadot-api, antes do processo de desstake.
A fundação afirmou que ninguém, incluindo a equipe do PAPI Rescue, precisa das chaves privadas dos usuários. Alertou que nenhuma pessoa legítima entrará em contato primeiro oferecendo recuperar os fundos.
No início deste mês, o stablecoin dotUSD da Polkadot foi lançado.
No momento da redação deste artigo, o DOT estava sendo negociado a US$ 1,17, com alta de 3% nos últimos sete dias. A perda de valor do token em um ano foi de 62,7%.
Não apenas leia notícias sobre criptomoedas. Entenda-as. Inscreva-se em nossa newsletter. É grátis.
Perguntas Frequentes
Quais versões do Fearless Wallet estão afetadas?
Versões 3.0.1, 3.0.3, 3.0.4 e 3.0.5 da extensão do navegador. A versão para Firefox utilizava o mesmo código.
Quanto já foi roubado até agora?
Oito usuários relataram transações não autorizadas totalizando 17.286 DOT, embora os relatos não confirmem o roubo.
O que os usuários afetados devem fazer?
Crie um novo par de chaves em uma carteira diferente e bem mantida, como a Nova Wallet, e transfira os fundos da conta antiga.
Aviso. As informações fornecidas não constituem aconselhamento de negociação. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Randa Moses
Randa Moses é editora e repórter na Cryptopolitan, cobrindo tecnologia, IA, robótica, criptomoedas, golpes e hacks. Ela atua no espaço de criptomoedas desde 2017. Já ocupou cargos na Forward Protocol, AmaZix e Cryptosomniac. Randa possui graduação em Engenharia Elétrica e Eletrônica pela Universidade de Bradford.
