Polkadot wydało pilne ostrzeżenie bezpieczeństwa po tym, jak śledczy odkryli, że wiele wersji rozszerzenia przeglądarkowego Fearless Wallet potajemnie przesyłało klucze prywatne użytkowników na serwer kontrolowany przez atakującego, a kompromitacja sięga lutego 2025 roku.

Fundacja Polkadot Community ujawniła podatność w ogłoszeniu bezpieczeństwa opublikowanym 21 października 2026 roku, wskazując jako dotknięte wersje 3.0.1, 3.0.3, 3.0.4 i 3.0.5. Ośmiu użytkowników zgłosiło nieautoryzowane transakcje potencjalnie powiązane z incydentem, obejmujące łącznie 17 286 DOT.

Każdy, kto korzystał z rozszerzenia w dowolnym momencie od lutego 2025 roku, został pouczony, aby porzucić istniejące klucze portfela, wygenerować nowe poświadczenia za pomocą innej aplikacji portfela i natychmiast przenieść pozostałe aktywa.

Złośliwy kod pozostawał w rozszerzeniu ponad rok

Złośliwa funkcjonalność trafiła do publicznego repozytorium Fearless Wallet na GitHubie 19 lutego 2025 roku w ramach dużej zmiany kodu zatytułowanej „TON ecosystem”. Zmiana pozostawała publicznie widoczna przez ponad 16 miesięcy przed jej usunięciem — okres, który pokazuje, jak długo ukryta logika obsługi poświadczeń może przetrwać wzie formalnie otwartym na publiczny audyt.

Śledztwo techniczne, opisane w dwóch raportach na HackMD (pierwszym i drugim), zidentyfikowało funkcjonalność wyodrębniającą frazy odzyskiwania lub pliki keystore kont wraz z hasłami portfela przy każdym pomyślnym odblokowaniu rozszerzenia. Skradzione informacje były szyfrowane przy użyciu pustego hasła — zabezpieczenia trywialnie odwracalnego — przed przesłaniem na zewnętrzny serwer.

Późniejsze wersje wprowadziły zdalnie sterowany mechanizm konfiguracji zdolny do włączania lub wyłączania złośliwego zachowania. Kod usunięto z publicznego repozytorium 25 czerwca 2026 roku, ale pozostał osadzony w zainstalowanych wersjach rozszerzenia 3.0.3–3.0.5.

Ten zdalny mechanizm pozostawał aktywny w wielu okresach do 10 października 2026 roku. Ponieważ wcześniej zainstalowane kopie mogą nadal reaktywować tę funkcjonalność, użytkownicy pozostają narażeni nawet po zakończeniu ostatniego zidentyfikowanego okresu transmisji.

Incydent przypomina wcześniejsze naruszenie bezpieczeństwa rozszerzenia Trust Wallet, które obejmowało złośliwy kod rozszerzenia przeglądarkowego zdolny do ujawnienia poświadczeń odzyskiwania portfela.

Ośmiu użytkowników zgłasza nieautoryzowane transfery DOT

Ostrzeżenie Fundacji z 21 października wskazało osiem zgłoszonych przypadków obejmujących 17 286 DOT, choć towarzyszące mu publiczne rejestry transakcji wykazują osobno łącznie 15 571,99 DOT oraz 54 450,36 DED. Różnica między wartościami DOT nie została wyjaśniona.

Zgłoszone incydenty wystąpiły między wrześniem 2025 a wrześniem 2026 roku, a największy udokumentowany przypada dotyczył około 8 996 DOT przetransferowanych z jednego portfela 23 września.

Śledztwo potwierdziło złośliwą funkcjonalność w rozszerzeniu Chrome. Firefox korzystał z tego samego kodu źródłowego, choć jego opublikowane pakiety rozszerzeń nie były dostępne do inspekcji. Ta luka pozostawia zakres narażenia użytkowników Firefoksa nieokreślony. Przejrzane aplikacje na Androida i iOS nie zawierały złośliwego kodu. Jednak użytkownicy mobilni, którzy wcześniej zaimportowali poświadczenia odzyskiwania do dotkniętego rozszerzenia przeglądarkowego, pozostają narażeni.

W przeciwieństwie do niedawnego wykorzystania podatności portfela Qubic, które wiązało się z przewidywalnymi seedami portfeli,ność Fearless Wallet przesyłała istniejące poświadczenia odzyskiwania bezpośrednio do zewnętrznego miejsca docelowego.

Polkadot wzywa do natychmiastowej migracji portfela

Dotknięci użytkownicy muszą utworzyć całkowicie nowe pary kluczy za pomocą osobnej, aktywnie utrzymywanej aplikacji portfela. Fundacja wskazała Nova Wallet jako jedną z możliwych alternatyw.

Zmiana hasła, ponowna instalacja Fearless Wallet ani importowanie tej samej frazy odzyskiwania do innej aplikacji nie mogą zabezpieczyć wcześniej ujawnionych poświadczeń. Podobne wymaganie pojawiło się po luce w portfelu Ill Bloom, gdzie podatne frazy odzyskiwania pozostawały niebezpieczne nawet po zmianie oprogramowania portfela.

Użytkownicy Polkadot powinni również sprawdzić aktywa przechowywane w innych sieciach przy użyciu tych samych skompromitowanych kluczy. Środki zablokowane w stakingu, pulach nominacyjnych lub pozycjach zarządzania mogą wymagać dodatkowych kroków odzyskiwania przed transferem.

Dla użytkowników z niedostępnymi lub zastawionymi aktywami Fundacja wskazała PAPI Rescue, narzędzie odzyskiwania opracowane przez zespół polkadot-api.

Użytkownicy, którzy doświadczyli nieautoryzowanych wypłat, powinni zachować hashe transakcji, adresy portfeli i materiały dowodowe na potrzeby ewentualnych śledztw organów ścigania. Fundacja ostrzegła również przed niezamówionymi usługami odzyskiwania i podszywającymi się kontami wsparcia.

Fearless Wallet pozostaje niezależnie rozwijaną aplikacją strony trzeciej, a śledztwo nie ustaliło publicznie, kto wprowadził złośliwy kod ani ile poświadczeń portfeli ostatecznie ujawniono. Te nierozstrzygnięte kwestie, wraz z rozbieżnością między zgłoszonymi wartościami DOT, są głównymi punktami do obserwacji w kolejnych aktualizacjach od Fundacji.