Polkadot hat eine dringende Sicherheitswarnung herausgegeben, nachdem Ermittler festgestellt hatten, dass mehrere Versionen der Fearless-Wallet-Browser-Erweiterung die privaten Schlüssel der Nutzer heimlich an einen von Angreifern kontrollierten Server übermittelten. Die Kompromittierung reicht bis in den Februar 2025 zurück.

Die Polkadot Community Foundation legte die Schwachstelle in einer am 21. Oktober 2026 veröffentlichten Sicherheitsmitteilung offen und identifizierte die Versionen 3.0.1, 3.0.3, 3.0.4 und 3.0.5 als betroffen. Acht Nutzer meldeten nicht autorisierte Transaktionen, die möglicherweise mit dem Vorfall zusammenhängen und insgesamt 17.286 DOT umfassen.

Alle Personen, die die Erweiterung seit Februar 2025 verwendet haben, wurden angewiesen, ihre bisherigen Wallet-Schlüssel aufzugeben, über eine andere Wallet-Anwendung neue Zugangsdaten zu erstellen und verbliebene Vermögenswerte unverzüglich zu übertragen.

Schadcode blieb mehr als ein Jahr in der Erweiterung

Die schädliche Funktion gelangte am 19. Februar 2025 durch eine umfangreiche Codeänderung mit dem Titel „TON ecosystem“ in das öffentliche GitHub-Repository von Fearless Wallet. Die Änderung blieb mehr als 16 Monate öffentlich einsehbar, bevor sie entfernt wurde – ein Zeitraum, der zeigt, wie lange versteckte Logik zur Verarbeitung von Zugangsdaten in Code bestehen kann, der technisch einer öffentlichen Prüfung zugänglich ist.

Die technische Untersuchung, die in zwei HackMD-Berichten (erster, zweiter) dokumentiert ist, identifizierte eine Funktion, die Wiederherstellungsphrasen oder Konten-Keystore-Dateien zusammen mit Wallet-Passwörtern auslas, sobald Nutzer die Erweiterung erfolgreich entsperrten. Die gestohlenen Informationen wurden vor der Übermittlung an einen externen Server mit einem leeren Passwort verschlüsselt – ein Schutz, der sich problemlos rückgängig machen lässt.

Spätere Versionen führten einen ferngesteuerten Konfigurationsmechanismus ein, mit dem sich das schädliche Verhalten aktivieren oder deaktivieren ließ. Der Code wurde am 25. Juni 2026 aus dem öffentlichen Repository entfernt, blieb jedoch in den installierten Erweiterungsversionen 3.0.3 bis 3.0.5 enthalten.

Dieser Fernsteuerungsmechanismus blieb bis zum 10. Oktober 2026 in mehreren Zeiträumen aktiv. Da bereits installierte Kopien die Funktion weiterhin reaktivieren können, bleiben Nutzer auch nach dem Ende des zuletzt festgestellten Übertragungszeitraums gefährdet.

Der Vorfall ähnelt dem früheren Angriff auf die Trust-Wallet-Erweiterung, bei dem schädlicher Browser-Erweiterungscode Wallet-Wiederherstellungsdaten offenlegen konnte.

Acht Nutzer melden nicht autorisierte DOT-Übertragungen

In der Warnung vom 21. Oktober nannte die Foundation acht gemeldete Fälle mit insgesamt 17.286 DOT. Die dazugehörigen öffentlichen Transaktionsaufzeichnungen summieren sich jedoch separat auf 15.571,99 DOT und 54.450,36 DED. Die Abweichung bei den DOT-Angaben wurde bislang nicht erklärt.

Die gemeldeten Vorfälle ereigneten sich zwischen September 2025 und September 2026. Der größte dokumentierte Fall betraf die Übertragung von etwa 8.996 DOT aus einer einzelnen Wallet am 23. September.

Die Untersuchung bestätigte die schädliche Funktion in der Chrome-Erweiterung. Firefox nutzte denselben Quellcode, die veröffentlichten Erweiterungspakete waren jedoch nicht zur Prüfung verfügbar. Dadurch bleibt das Ausmaß der Gefährdung von Firefox-Nutzern unbestimmt. Die überprüften Android- und iOS-Anwendungen enthielten den Schadcode nicht. Nutzer von Mobilgeräten, die zuvor Wiederherstellungsdaten in die betroffene Browser-Erweiterung importiert haben, bleiben jedoch gefährdet.

Anders als beim jüngsten Qubic-Wallet-Exploit, bei dem vorhersehbare Wallet-Seeds eine Rolle spielten, übermittelte die Schwachstelle von Fearless Wallet vorhandene Wiederherstellungsdaten direkt an ein externes Ziel.

Polkadot fordert zum sofortigen Wallet-Wechsel auf

Betroffene Nutzer müssen über eine separate, weiterhin gepflegte Wallet-Anwendung vollständig neue Schlüsselpaare erstellen. Die Foundation hat Nova Wallet als eine mögliche Alternative vorgeschlagen.

Das Ändern eines Passworts, die Neuinstallation von Fearless Wallet oder der Import derselben Wiederherstellungsphrase in eine andere Anwendung kann die zuvor offengelegten Zugangsdaten nicht sichern. Eine ähnliche Anforderung ergab sich nach dem Fehler in der Ill-Bloom-Wallet, bei dem gefährdete Wiederherstellungsphrasen auch nach einem Wechsel der Wallet-Software unsicher blieben.

Polkadot-Nutzer sollten außerdem Vermögenswerte in anderen Netzwerken überprüfen, die dieselben kompromittierten Schlüssel verwenden. In Staking, Nominierungspools oder Governance-Positionen gebundene Mittel können vor der Übertragung zusätzliche Wiederherstellungsschritte erfordern.

Für Nutzer mit nicht zugänglichen oder gestakten Vermögenswerten verweist die Foundation auf PAPI Rescue, ein vom polkadot-api-Team entwickeltes Wiederherstellungstool.

Nutzer, die von nicht autorisierten Abhebungen betroffen sind, sollten Transaktions-Hashes, Wallet-Adressen und unterstützende Belege für mögliche Ermittlungen durch Strafverfolgungsbehörden sichern. Die Foundation warnte außerdem vor nicht angeforderten Wiederherstellungsdiensten und gefälschten Support-Konten.

Fearless Wallet bleibt eine unabhängig entwickelte Anwendung eines Drittanbieters. Die Untersuchung hat öffentlich bislang weder geklärt, wer den Schadcode eingeführt hat, noch wie viele Wallet-Zugangsdaten letztlich offengelegt wurden. Diese offenen Fragen sowie die Abweichung zwischen den gemeldeten DOT-Summen sind die wichtigsten Punkte, die bei künftigen Mitteilungen der Foundation zu beobachten sind.