Polkadotは、調査によりFearless Walletブラウザ拡張機能の複数のバージョンが、ユーザーの秘密鍵を攻撃者が管理するサーバーに密かに送信していたことが判明したとし、緊急のセキュリティ警告を発出しました。被害は2025年2月にまで遡ります。

Polkadotコミュニティ財団は、2026年10月21日に公開したセキュリティ通知でこの脆弱性を開示し、影響を受けるバージョンとして3.0.1、3.0.3、3.0.4、3.0.5を特定しました。この事件に関連する可能性がある不正なトランザクションが8人のユーザーから報告されており、合計は17,286 DOTに上ります。

2025年2月以降にこの拡張機能を使用したことがあるすべてのユーザーは、既存のウォレットキーを放棄し、別のウォレットアプリケーションで新しい認証情報を生成し、残りの資産を直ちに移動するよう指示されています。

悪意あるコードが拡張機能に1年以上残留

悪意ある機能は、2025年2月19日、「TON ecosystem」と題された大規模なコード変更を通じて、Fearless Walletの公開GitHubリポジトリに持ち込まれました。この変更は、削除されるまで16ヶ月以上にわたり公開されたまま閲覧可能でした。これは、公開監査が技術的には可能なコードに、隠された認証情報処理ロジックがどれほど長期間潜伏し得るかを示しています。

2つのHackMDレポート(第一報、第二報)に詳述された技術調査では、ユーザーが拡張機能のアンロックに成功するたびに、カバリーフレーズまたはアカウントのキーストアファイルをウォレットのパスワードとともに抽出する機能が確認されました。盗まれた情報は、空のパスワードで暗号化された上で外部サーバーに送信されていました。この暗号化はきわめて容易に解除可能なものでした。

後のバージョンでは、悪意ある動作を遠隔で有効化・無効化できるリモート制御の設定メカニズムが導入されました。このコードは2026年6月25日に公開リポジトリから削除されましたが、インストール済みの拡張機能バージョン3.0.3〜3.0.5には残留していました。

このリモートメカニズムは、2026年10月10日までの複数の期間にわたってアクティブでした。以前にインストールされたコピーが依然としてこの機能を再有効化できるため、特定された最後の送信期間が終了した後も、ユーザーは危険に晒されたままです。

この事件は、ウォレットのリカバリー認証情報を露出させ得る悪意あるブラウザ拡張コードが関与していた、以前のTrust Wallet拡張機能侵害に類似しています。

8人のユーザーが不正なDOT送金を報告

財団の10月21日の警告では、17,286 DOTに関わる8件の報告事例が特定されましたが、付随する公開トランザクション記録は、それぞれ15,571.99 DOTと54,450.36 DEDの合計を示しています。DOTの数値の差異については説明がなされていません。

報告された被害は2025年9月から2026年9月の間に発生しており、確認されている最大の事例では、9月23日に単一のウォレットから約8,996 DOTが送金されていました。

調査では、Chrome拡張機能における悪意ある機能が確認されました。Firefoxは同じソースコードを使用していましたが、公開されている拡張機能パッケージが検査に使用できず、Firefoxユーザーの被害範囲は未確定のままです。検査されたAndroidおよびiOSアプリには悪意あるコードは含まれていませんでした。ただし、以前にリカバリー認証情報を問題のブラウザ拡張機能にインポートしたことのあるモバイルユーザーは、依然として危険に晒されています。

予測可能なウォレットシードが関与していた最近のQubicウォレット攻撃とは異なり、Fearless Walletの脆弱性は既存のリカバリー認証情報を直接外部の宛先に送信していました。

Polkadot、直ちにウォレットを移行するよう呼びかけ

影響を受けたユーザーは、別個の、メンテナンスが継続しているウォレットアプリケーションを通じて、完全に新しいキーペアを作成しなければなりません。財団は選択肢の一つとしてNova Walletを提示しています。

パスワードの変更、Fearless Walletの再インストール、または同じリカバリーフレーズを別のアプリケーションにインポートすることでは、既に露出した認証情報を保護することはできません。同様の対応が必要となった事例として、Ill Bloomウォレットの欠陥があり、この際もなリカバリーフレーズは、ユーザーがウォレットソフトを変更した後でさえ安全ではありませんでした。

Polkadotユーザーは、同じ危険に晒されたキーを使用する他のネットワーク上の資産も確認すべきです。ステーキング、ノミネーションプール、またはガバナンスのポジションにロックされた資金は、移転前に追加の復旧手続きが必要となる場合があります。

アクセス不能な資産やステーキング中の資産を持つユーザー向けに、財団はpolkadot-apiチームが開発した復旧ツールPAPI Rescueを案内しています。

不正な出金を被ったユーザーは、法執行機関の調査に備えて、トランザクションハッシュ、ウォレットアドレス、および裏付けとなる証拠を保全すべきです。財団は、 unsolicited な復旧サービスやサポートアカウントを装った偽アカウントに対する警戒も呼びかけています。

Fearless Walletは独立して開発されたサードパーティ製アプリケーションであり、調査では、悪意あるコードを導入した人物や、最終的に何件のウォレット認証情報が露出したかは、公には確定されていません。これらの未解決の疑問点、および報告されたDOT合計の差異は、財団からの今後の更新情報で注視すべき主要なポイントです。