Polkadot emitió una alerta de seguridad urgente después de que investigadores descubrieran que varias versiones de la extensión de navegador Fearless Wallet transmitían en secreto las claves privadas de los usuarios a un servidor controlado por un atacante, con un compromiso que se remonta a febrero de 2025.

La Polkadot Community Foundation divulgó la vulnerabilidad en un aviso de seguridad publicado el 21 de octubre de 2026, identificando como afectadas las versiones 3.0.1, 3.0.3, 3.0.4 y 3.0.5. Ocho usuarios han reportado transacciones no autorizadas posiblemente vinculadas al incidente, que en conjunto suman 17,286 DOT.

A quien haya usado la extensión en cualquier momento desde febrero de 2025 se le ha indicado abandonar sus claves de billetera actuales, generar nuevas credenciales mediante una aplicación de billetera distinta y mover de inmediato los activos restantes.

El código malicioso persistió en la extensión durante más de un año

La funcionalidad maliciosa ingresó al repositorio público de Fearless Wallet en GitHub el 19 de febrero de 2025, a través de un cambio de código de gran envergadura titulado “TON ecosystem”. El cambio permaneció visible públicamente durante más de 16 meses antes de su eliminación, un lapso que muestra cuánto tiempo puede persistir la lógica oculta de manejo de credenciales en un código que en teoría está abierto a auditoría pública.

La investigación técnica, detallada en dos informes de HackMD (primero, segundo), identificó una funcionalidad que extraía frases de recuperación o archivos de keystore de las cuentas, junto con las contraseñas de la billetera, cada vez que los usuarios desbloqueaban la extensión con éxito. La información robada se cifraba con una contraseña vacía, una protección trivialmente reversible, antes de transmitirse a un servidor externo.

Versiones posteriores introdujeron un mecanismo de configuración controlado remotamente, capaz de activar o desactivar el comportamiento malicioso. El código fue eliminado del repositorio público el 25 de junio de 2026, pero permaneció integrado en las versiones instaladas de la extensión 3.0.3 a 3.0.5.

Ese mecanismo remoto permaneció activo durante múltiples periodos hasta el 10 de octubre de 2026. Dado que las copias previamente instaladas aún pueden reactivar la funcionalidad, los usuarios siguen expuestos incluso después de que finalizó el último periodo de transmisión identificado.

El incidente se asemeja a la anterior brecha de la extensión de Trust Wallet, que involucró código malicioso en una extensión de navegador capaz de exponer credenciales de recuperación de billeteras.

Ocho usuarios reportan transferencias no autorizadas de DOT

La advertencia del 21 de octubre de la Fundación identificó ocho casos reportados por 17,286 DOT, aunque sus registros públicos de transacciones asociados suman, por separado, 15,571.99 DOT y 54,450.36 DED. La diferencia entre las cifras de DOT no ha sido explicada.

Los incidentes reportados ocurrieron entre septiembre de 2025 y septiembre de 2026, y el caso documentado más grande involucró aproximadamente 8,996 DOT transferidos desde una sola billetera el 23 de septiembre.

La investigación confirmó la funcionalidad maliciosa en la extensión de Chrome. Firefox usaba el mismo código fuente, aunque sus paquetes de extensión publicados no estuvieron disponibles para inspección. Esa situación deja sin determinar el grado de exposición de los usuarios de Firefox. Las aplicaciones de Android e iOS revisadas no contenían el código malicioso. Sin embargo, los usuarios móviles que previamente importaron credenciales de recuperación a la extensión de navegador afectada siguen expuestos.

A diferencia del reciente exploit de la billetera Qubic, que involucró semillas de billetera predecibles, la vulnerabilidad de Fearless Wallet transmitió credenciales de recuperación existentes directamente a un destino externo.

Polkadot insta a una migración inmediata de billetera

Los usuarios afectados deben crear pares de claves completamente nuevos mediante una aplicación de billetera distinta y con mantenimiento activo. La Fundación ha sugerido Nova Wallet como una posible alternativa.

Cambiar la contraseña, reinstalar Fearless Wallet o importar la misma frase de recuperación en otra aplicación no puede proteger credenciales previamente expuestas. Un requisito similar surgió tras la falla de la billetera Ill Bloom, donde las frases de recuperación vulnerables dejaron de ser seguras incluso después de que los usuarios cambiaron de software de billetera.

Los usuarios de Polkadot también deben revisar los activos que mantengan en otras redes con las mismas claves comprometidas. Los fondos bloqueados en staking, pools de nominación o posiciones de gobernanza pueden requerir pasos de recuperación adicionales antes de poder transferirse.

Para los usuarios con activos inaccesibles o en staking, la Fundación ha señalado PAPI Rescue, una herramienta de recuperación desarrollada por el equipo de polkadot-api.

Los usuarios que hayan sufrido retiros no autorizados deben conservar los hashes de las transacciones, las direcciones de las billeteras y la evidencia de respaldo para posibles investigaciones policiales. La Fundación también ha advertido contra servicios de recuperación no solicitados y cuentas de soporte suplantadas.

Fearless Wallet sigue siendo una aplicación de terceros desarrollada de forma independiente, y la investigación no ha establecido públicamente quién introdujo el código malicioso ni cuántas credenciales de billetera fueron expuestas en última instancia. Esas preguntas sin respuesta, junto con la discrepancia entre los totales de DOT reportados, son los principales puntos a observar en cualquier actualización posterior de la Fundación.