Расширение Fearless Wallet 20 месяцев утекало приватные ключи пользователей Polkadot

Фонд сообщества Polkadot предупредил всех, кто использовал браузерное расширение Fearless Wallet с февраля 2025 года: следует считать все аккаунты в расширении скомпрометированными и немедленно перевести средства.

19 февраля 2025 года был добавлен код, который отправлял приватные ключи на сервер злоумышленника и выполнялся в разное время вплоть до 10 октября 2026 года.

Четыре сборки содержали фразы для восстановления, отправляемые на tonscanner.org

Код присутствовал в четырёх сборках: 3.0.1, 3.0.3, 3.0.4 и 3.0.5. Согласно уведомлению о безопасности от Фонда от 21 октября, он активировался при разблокировке с правильным паролем.

Технический анализ, приведённый в уведомлении, указывает, что расширение собирало фразу восстановления для каждого аккаунта или его резервную копию, а также пароль от кошелька. Они шифровались пустым паролем (который может быть разгадан кем угодно) и отправлялись на tonscanner.org.

Приватный ключ предоставляет полный контроль над аккаунтом. Даже изменение пароля или переустановка расширения не помогают: любой, кто владеет ключом, может подписывать переводы и опустошать баланс, говорится в сообщении фонда.

Сборка для Firefox также содержала этот код и больше не числится в списке. Если кто-то использовал её в браузере, такие ключи также следует считать скомпрометированными.

Этот код отсутствует в проверенных приложениях для Android и iOS. Однако любые приватные ключи, которые когда-либо находились в расширении, считаются скомпрометированными независимо от того, где они используются, указано в уведомлении.

Код был объединён из pull-запроса GitHub #1022 в рамках значительного обновления, названного «Экосистема TON», для публичного исходного кода расширения. В версиях 3.0.3 – 3.0.5 использовался файл конфигурации в отдельном публичном репозитории в качестве удалённого переключателя включения/выключения.

Переключатель зафиксирован как включенный в журнале активности на GitHub в течение девяти периодов с 7 марта 2025 года по 10 октября 2026 года. В общей сложности это составило около 571 дня.

Код был удален из исходных файлов проекта 25 июня 2026 года, однако установленные копии версий 3.0.3–3.0.5 все еще содержат его. Каждый раз при разблокировке кошелька выполняется проверка удаленного переключателя, который сейчас выключен, но может быть снова активирован. Фонд рекомендовал пользователям сначала перевести свои средства, а затем удалить расширение.

Восемь пользователей сообщают о 17,286 DOT в несанкционированных переводах

Фонд сообщил, что восемь пользователей сообщили о несанкционированных транзакциях, возможно, связанных с эксплуатацией уязвимости, на общую сумму 17 286 DOT. Согласно их журналу инцидентов, эти сообщения не подтверждают факт кражи средств.

Первый случай в журнале относится к 30 сентября 2025 года, а публикация на Reddit — к 6 октября 2025 года. Некоторые пользователи заявили, что средства были перемещены сразу после разблокировки кошелька без каких-либо действий с их стороны.

Версия 3.0.5 все еще была доступна в Chrome Web Store с 6 000 пользователями по состоянию на 21 октября.

Fearless Wallet — это стороннее приложение, разработанное независимой командой. Фонд заявил, что оно никогда не было и не является официальным кошельком Polkadot.

Его совет — создать новую пару ключей в другом, хорошо поддерживаемом кошельке. Рекомендуется Nova Wallet.

Средства необходимо перевести со старого аккаунта на каждой сети, где он использовался, желательно без повторной активации Fearless.

Застейканные монеты, депозиты в пулах номинации и заблокированные для управления средства не могут быть перемещены сразу. Номиналаторы Polkadot могут разблокировать свои средства всего за один-два дня. В объявлении пользователям рекомендуется использовать PAPI Rescue, разработанный командой polkadot-api, перед процессом разматывания стейка.

Фонд заявил, что никому, включая команду PAPI Rescue, не нужны приватные ключи пользователей. Он предупредил, что ни один легитимный человек не напишет первым, предлагая восстановить средства.

Ранее в этом месяце стейблкоин dotUSD от Polkadot вышел в релиз.

На момент написания статьи DOT торговался по цене 1,17 доллара США, показав рост на 3% за последние семь дней. За год токен потерял 62,7% своей стоимости.