Polkadot ha emesso un avviso di sicurezza urgente dopo che gli investigatori hanno scoperto che più versioni dell'estensione browser Fearless Wallet trasmettevano di nascosto le chiavi private degli utenti a un server controllato da un attacker, con la compromissione che risale a febbraio 2025.

La Polkadot Community Foundation ha divulgato la vulnerabilità in un avviso di sicurezza pubblicato il 21 ottobre 2026, identificando le versioni 3.0.1, 3.0.3, 3.0.4 e 3.0.5 come interessate. Otto utenti hanno segnalato transazioni non autorizzate potenzialmente collegate all'incidente, per un totale complessivo di 17.286 DOT.

Chiunque abbia utilizzato l'estensione in qualsiasi momento da febbraio 2025 è stato invitato ad abbandonare le proprie chiavi wallet esistenti, generare nuove credenziali tramite un'applicazione wallet diversa e spostare immediatamente gli asset rimanenti.

Il codice malevolo è persistito nell'estensione per più di un anno

La funzionalità malevola è entrata nel repository GitHub pubblico di Fearless Wallet il 19 febbraio 2025, attraverso un'ampia modifica del codice intitolata “TON ecosystem”. La modifica è rimasta visibile pubblicamente per oltre 16 mesi prima della rimozione — un arco di tempo che mostra quanto a lungo una logica nascosta di gestione delle credenziali possa persistere in un codice che, tecnicamente, è aperto a un controllo pubblico.

L'indagine tecnica, dettagliata in due rapporti su HackMD (primo, secondo), ha identificato una funzionalità che estraeva le frasi di recupero o i file keystore degli account, insieme alle password dei wallet, ogni volta che gli utenti sbloccavano con successo l'estensione. Le informazioni rubate venivano crittografate utilizz una password vuota — una protezione banalmente reversibile — prima di essere trasmesse a un server esterno.

Versioni successive hanno introdotto un meccanismo di configurazione controllato da remoto, in grado di attivare o disattivare il comportamento malevolo. Il codice è stato rimosso dal repository pubblico il 25 giugno 2026, ma è rimasto incorporato nelle versioni installate dell'estensione dalla 3.0.3 alla 3.0.5.

Quel meccanismo remoto è rimasto attivo durante più periodi fino al 10 ottobre 2026. Poiché le copie installate in precedenza possono comunque riattivare la funzionalità, gli utenti restano esposti anche dopo la fine dell'ultimo periodo di trasmissione identificato.

L'incidente ricorda la precedente compromissione dell'estensione Trust Wallet, che coinvolgeva codice malevolo per estensioni browser in grado di esporre le credenziali di recupero dei wallet.

Otto utenti segnalano trasferimenti DOT non autorizzati

L'avviso del 21 ottobre della Foundation ha identificato otto casi segnalati per un totale di 17.286 DOT, sebbene i relativi registri pubblici delle transazioni indichino separatamente 15.571,99 DOT e 54.450,36 DED. La differenza tra le cifre in DOT non è stata spiegata.

Gli incidenti segnalati sono avvenuti tra settembre 2025 e settembre 2026, con il caso documentato più ampio che ha coinvolto circa 8.996 DOT trasferiti da un singolo wallet il 23 settembre.

L'indagine ha confermato la funzionalità malevola nell'estensione Chrome. Firefox utilizzava lo stesso codice sorgente, sebbene i pacchetti dell'estensione pubblicati non fossero disponibili per l'ispezione. Questa lacuna lascia indeterminata l'entità dell'esposizione per gli utenti di Firefox. Le applicazioni Android e iOS esaminate non contenevano il codice malevolo. Tuttavia, gli utenti mobile che hanno in precedenza importato le credenziali di recupero nell'estensione browser compromessa restano esposti.

A differenza del recente exploit del wallet Qubic, che coinvolgeva seed di wallet prevedibili, la vulnerabilità di Fearless Wallet trasmetteva le credenziali di recupero esistenti direttamente a una destinazione esterna.

Polkadot invita a una migrazione immediata del wallet

Gli utenti interessati devono creare coppie di chiavi completamente nuove tramite un'applicazione wallet separata e mantenuta attivamente. La Foundation ha suggerito Nova Wallet come una possibile alternativa.

Cambiare la password, reinstallare Fearless Wallet o importare la stessa frase di recupero in un'altra applicazione non può mettere in sicurezza le credenziali precedentemente esposte. Un requisito simile è emerso dopo il difetto del wallet Ill Bloom, in cui le frasi di recupero vulnerabili sono rimaste insicure anche dopo che gli utenti hanno cambiato software wallet.

Gli utenti Polkadot dovrebbero inoltre controllare gli asset detenuti su altre reti che utilizzano le stesse chiavi compromesse. I fondi bloccati in staking, nomination pool o posizioni di governance potrebbero richiedere ulteriori passaggi di recupero prima di poter essere trasferiti.

Per gli utenti con asset inaccessibili o in staking, la Foundation ha segnalato PAPI Rescue, uno strumento di recupero sviluppato dal team polkadot-api.

Gli utenti che hanno subito prelievi non autorizzati devono conservare gli hash delle transazioni, gli indirizzi dei wallet e le prove di supporto per eventuali indagini delleze dell'ordine. La Foundation ha inoltre messo in guardia contro servizi di recupero non richiesti e account di supporto impersonati.

Fearless Wallet rimane un'applicazione di terze parti sviluppata in modo indipendente, e l'indagine non ha stabilito pubblicamente chi abbia introdotto il codice malevolo né quante credenziali di wallet siano state effettivamente esposte. Queste domande senza risposta, insieme alla discrepanza tra i totali DOT segnalati, sono i punti principali da monitorare negli eventuali aggiornamenti successivi della Foundation.