Polkadot heeft een dringende beveiligingswaarschuwing uitgegeven nadat onderzoekers ontdekten dat meerdere versies van de Fearless Wallet-browserextensie stiekem privésleutels van gebruikers verstuurden naar een server onder controle van een aanvaller, met een compromittering die teruggaat tot februari 2025.

De Polkadot Community Foundation maakte het beveiligingslek bekend in een beveiligingsmelding van 21 oktober 2026, waarin versies 3.0.1, 3.0.3, 3.0.4 en 3.0.5 als getroffen worden genoemd. Acht gebruikers hebben ongeautoriseerde transacties gemeld die mogelijk met het incident verband houden, samen goed voor 17.286 DOT.

Iedereen die de extensie op enig moment sinds februari 2025 heeft gebruikt, is gevraagd de bestaande walletsleutels op te geven, nieuwe credentials aan te maken via een andere walletapplicatie en alle resterende assets onmiddellijk te verplaatsen.

Kwaadaardige code bleef meer dan een jaar in de extensie aanwezig

De kwaadaardige functionaliteit kwam op 19 februari 2025 terecht in de openbare GitHub-repository van Fearless Wallet, via een grote codewijziging getiteld “TON ecosystem”. De wijziging bleef ruim 16 maanden publiek zichtbaar voordat deze werd verwijderd — een periode die laat zien hoe lang verborgen logica voor het afvangen van credentials kan blijven bestaan in code die in principe openbaar te controleren is.

Het technische onderzoek, vastgelegd in twee HackMD-rapporten (eerste, tweede), bracht functionaliteit aan het licht die herstelzinnen of account-keystorebestanden opving, samen met walletwachtwoorden, telkens wanneer gebruikers de extensie succesvol ontgrendelden. De gestolen informatie werd versleuteld met een leeg wachtwoord — een beveiliging die eenvoudig te omzeilen is — voordat deze naar een externe server werd verstuurd.

Latere versies introduceerden een op afstand bestuurd configuratiemechanisme waarmee het kwaadaardige gedrag aan of uit kon worden gezet. De code werd op 25 juni 2026 uit de openbare repository verwijderd, maar bleef aanwezig in de geïnstalleerde extensieversies 3.0.3 tot en met 3.0.5.

Dat externe mechanisme bleef gedurende meerdere periodes actief tot en met 10 oktober 2026. Omdat eerder geïnstalleerde kopieën de functionaliteit opnieuw kunnen activeren, blijven gebruikers kwetsbaar, ook nadat de laatst bekende verzendperiode is afgelopen.

Het incident lijkt op de eerdere inbreuk in de Trust Wallet-extensie, waarbij kwaadaardige browserextensiecode wallet-herstelcredentials kon blootstellen.

Acht gebruikers melden ongeautoriseerde DOT-transacties

De waarschuwing van de Foundation van 21 oktober noemde acht gemelde gevallen met in totaal 17.286 DOT, hoewel de bijbehorende openbare transactieregisters afzonderlijk uitkomen op 15.571,99 DOT en 54.450,36 DED. Het verschil tussen de DOT-cijfers is niet verklaard.

De gemelde incidenten vonden plaats tussen september 2025 en september 2026, waarbij het grootste gedocumenteerde geval betrekking had op circa 8.996 DOT die op 23 september vanaf één wallet werd overgemaakt.

Het onderzoek bevestigde de kwaadaardige functionaliteit in de Chrome-extensie. Firefox gebruikte dezelfde broncode, al waren de gepubliceerde extensiepakketten niet beschikbaar voor inspectie. Dat laat onduidelijk hoe groot de blootstelling voor Firefox-gebruikers is. De beoordeelde Android- en iOS-applicaties bevatten de kwaadaardige code niet. Gebruikers van mobiele apparaten die eerder herstelcredentials in de getroffen browserextensie hebben geïmporteerd, blijven echter kwetsbaar.

In tegenstelling tot het recente Qubic-walletexploit, waarbij sprake was vanorspelbare walletseeds, verstuurde het beveiligingslek in Fearless Wallet bestaande herstelcredentials rechtstreeks naar een externe bestemming.

Polkadot dringt aan op onmiddellijke walletmigratie

Getroffen gebruikers moeten volledig nieuwe sleutelparen aanmaken via een afzonderlijke, onderhouden walletapplicatie. De Foundation heeft Nova Wallet als een mogelijk alternatief genoemd.

Het wijzigen van een wachtwoord, het opnieuw installeren van Fearless Wallet of het importeren van dezelfde herstelzin in een andere applicatie kan eerder blootgestelde credentials niet beveiligen. Een vergelijkbare eis ontstond na het Ill Bloom-walletgebrek, waarbij kwetsbare herstelzinnen onveilig bleven, zelfs nadat gebruikers van walletsoftware waren gewisseld.

Polkadot-gebruikers moeten ook assets controleren die op andere netwerken met dezelfde gecompromitteerde sleutels worden bewaard. Fondsen die vastzitten in staking, nominatiepools of governanceposities vereisen mogelijk extra herstelstappen voordat ze kunnen worden overgezet.

Voor gebruikers met ontoegankelijke of gestakte assets heeft de Foundation verwezen naar PAPI Rescue, een hersteltool ontwikkeld door het polkadot-api-team.

Gebruikers die slachtoffer zijn geworden van ongeautoriseerde opnames, moeten transactiehashes, walletadressen en ondersteunend bewaarmateriaal bewaren voor mogelijk politieonderzoek. De Foundation heeft bovendien gewaarschuwd voor ongevraagde hersteldiensten en nagebootste supportaccounts.

Fearless Wallet blijft een onafhankelijk ontwikkelde applicatie van derden, en het onderzoek heeft nog niet openbaar vastgesteld wie de kwaadaardige code heeft ingebracht of hoeveel walletcredentials uiteindelijk zijn blootgesteld. Die onbeantwoorde vragen, samen met het verschil tussen de gemelde DOT-totalen, zijn de belangrijkste aandachtspunten bij toekomstige updates van de Foundation.