Polkadot a émis une alerte de sécurité urgente après que des enquêteurs ont découvert que plusieurs versions de l'extension de navigateur Fearless Wallet transmettaient secrètement les clés privées des utilisateurs vers un serveur contrôlé par un attaquant, la compromission remontant à février 2025.

La Polkadot Community Foundation a divulgué la vulnérabilité dans un avis de sécurité publié le 21 octobre 2026, identifiant les versions 3.0.1, 3.0.3, 3.0.4 et 3.0.5 comme concernées. Huit utilisateurs ont signalé des transactions non autorisées potentiellement liées à l'incident, totalisant ensemble 17 286 DOT.

Toute personne ayant utilisé l'extension à quelque moment que ce soit depuis février 2025 a été invitée à abandonner ses clés de portefeuille existantes, à générer de nouveaux identifiants via une autre application de portefeuille et à déplacer immédiatement ses actifs restants.

Le code malveillant a persisté dans l'extension pendant plus d'un an

La fonctionnalité malveillante est entrée dans le dépôt GitHub public de Fearless Wallet le 19 février 2025, via une importante modification de code intitulée « TON ecosystem ». La modification est restée publiquement consultable pendant plus de 16 mois avant son retrait — une durée qui montre combien de temps une logique dissimulée de gestion des identifiants peut persister dans un code techniquement ouvert à l'audit public.

L'enquête technique, détaillée dans deux rapports HackMD (premier, second), a identifié une fonctionnalité qui extrayait les phrases de récupération ou les fichiers keystore des comptes, ainsi que les mots de passe des portefeuilles, chaque fois que les utilisateurs déverrouillaient avec succès l'extension. Les informations volées étaient chiffrées avec un mot de passe vide — une protection trivialement réversible — avant d'être transmises à un serveur externe.

Les versions ultérieures ont introduit un mécanisme de configuration contrôlé à distance capable d'activer ou de désactiver le comportement malveillant. Le code a été retiré du dépôt public le 25 juin 2026, mais il est resté intégré dans les versions installées de l'extension, de la 3.0.3 à la 3.0.5.

Ce mécanisme distant est resté actif pendant plusieurs périodes jusqu'au 10 octobre 2026. Comme les copies précédemment installées peuvent toujours réactiver la fonctionnalité, les utilisateurs restent exposés même après la fin de la dernière période de transmission identifiée.

L'incident rappelle la précédente violation de l'extension Trust Wallet, qui impliquait un code malveillant d'extension de navigateur capable d'exposer les identifiants de récupération du portefeuille.

Huit utilisateurs signalent des transferts de DOT non autorisés

L'alerte du 21 octobre de la Foundation a identifié huit cas signalés impliquant 17 286 DOT, bien que ses registres publics de transactions associés totalisent séparément 15 571,99 DOT et 54 450,36 DED. L'écart entre les chiffres DOT n'a pas été expliqué.

Les incidents signalés se sont produits entre septembre 2025 et septembre 2026, le cas documenté le plus important impliquant environ 8 996 DOT transférés depuis un seul portefeuille le 23 septembre.

L'enquête a confirmé la fonctionnalité malveillante dans l'extension Chrome. Firefox utilisait le même code source, bien que ses paquets d'extension publiés n'aient pas pu être examinés. Cette lacune laisse indéterminée l'ampleur de l'exposition des utilisateurs de Firefox. Les applications Android et iOS examinées ne contenaient pas le code malveillant. Cependant, les utilisateurs mobiles ayant précédemment importé des identifiants de récupération dans l'extension de navigateur concernée restent exposés.

Contrairement au récent exploit du portefeuille Qubic, qui impliquait des seeds de portefeuille prévisibles, la vulnérabilité de Fearless Wallet transmettait les identifiants de récupération existants directement vers une destination externe.

Polkadot exhorte à une migration immédiate du portefeuille

Les utilisateurs concernés doivent créer des paires de clés entièrement nouvelles via une application de portefeuille distincte et maintenue. La Foundation a suggéré Nova Wallet comme alternative possible.

Changer un mot de passe, réinstaller Fearless Wallet ou importer la même phrase de récupération dans une autre application ne peut pas sécuriser des identifiants précédemment exposés. Une exigence similaire était apparue après la faille du portefeuille Ill Bloom, où les phrases de récupération vulnérables sont restées dangereuses même après que les utilisateurs ont changé de logiciel de portefeuille.

Les utilisateurs de Polkadot doivent également vérifier les actifs détenus sur d'autres réseaux utilisant les mêmes clés compromises. Les fonds bloqués en staking, dans des pools de nomination ou dans des positions de gouvernance peuvent nécessiter des étapes de récupération supplémentaires avant leur transfert.

Pour les utilisateurs disposant d'actifs inaccessibles ou en staking, la Foundation a orienté vers PAPI Rescue, un outil de récupération développé par l'équipe polkadot-api.

Les utilisateurs ayant subi des retraits non autorisés doivent conserver les hachages de transactions, les adresses de portefeuille et les éléments de preuve en vue d'éventuelles enquêtes des autorités. La Foundation a également mis en garde contre les services de récupération non sollicités et les comptes de support usurpés.

Fearless Wallet reste une application tier développée de manière indépendante, et l'enquête n'a pas établi publiquement qui a introduit le code malveillant ni combien d'identifiants de portefeuille ont finalement été exposés. Ces questions sans réponse, ainsi que l'écart entre les totaux de DOT signalés, constituent les principaux points à surveiller dans toute mise à jour ultérieure de la Foundation.