Polkadot выпустил срочное предупреждение о безопасности после того, как исследователи обнаружили, что несколько версий браузерного расширения Fearless Wallet втайне передавали приватные ключи пользователей на контролируемый злоумышленником сервер, а компрометация датируется февралем 2025 года.

Фонд сообщества Polkadot раскрыл уязвимость в уведомлении о безопасности, опубликованном 21 октября 2026 года, указав на затронутые версии 3.0.1, 3.0.3, 3.0.4 и 3.0.5. Восемь пользователей сообщили о несанкционированных транзакциях, которые могут быть связаны с инцидентом; в совокупности они затрагивают 17 286 DOT.

Всем, кто пользовался расширением в любой момент с февраля 2025 года, предписано отказаться от существующих ключей кошелька, создать новые учетные данные через другое приложение кошелька и немедленно переместить оставшиеся активы.

Вредоносный код оставался в расширении более года

Вредоносная функциональность попала в публичный репозиторий Fearless Wallet на GitHub 19 февраля 2025 года в рамках крупного изменения кода под названием «TON ecosystem». Изменение оставалось публично доступным более 16 месяцев до удаления — срок, показывающий, как долго скрытая логика обработки учетных данных может сохраняться в коде, формально открытом для публичного аудита.

Техническое расследование, подробно описанное в двух отчетах на HackMD (первом, втором), выявило функциональность, которая извлекала seed-фразы или файлы ханилища ключей вместе с паролями кошелька при каждой успешной разблокировке расширения. Украденная информация шифровалась с использованием пустого пароля — защита, которая тривиально обходится, — после чего передавалась на внешний сервер.

В более поздних версиях появился удаленно управляемый механизм конфигурации, способный включать и отключать вредоносное поведение. Код был удален из публичного репозитория 25 июня 2026 года, но оставался встроенным в установленные версии расширения 3.0.3–3.0.5.

Этот удаленный механизм оставался активным в течение нескольких периодов вплоть до 10 октября 2026 года. Поскольку ранее установленные копии могут по-прежнему реактивировать эту функциональность, пользователи остаются под угрозой даже после завершения последнего выявленного периода передачи данных.

Инцидент напоминает более раннее нарушение в расширении Trust Wallet, где вредоносный код браузерного расширения мог раскрывать восстановительные учетные данные кошелька.

Восемь пользователей сообщают о несанкционированных переводах DOT

В предупреждении Фонда от 21 октября указаны восемь случаев, затрагивающих 17 286 DOT, хотя прилагаемые публичные записи о транзакциях в сумме дают отдельно 15 571,99 DOT и 54 450,36 DED. Расхождение между цифрами DOT никак не объяснено.

О происшествиях сообщалось с сентября 2025 года по сентябрь 2026 года, причем самый крупный задокументированный случай касался перевода примерно 8 996 DOT с одного кошелька 23 сентября.

Расследование подтвердило вредоносную функциональность в расширении для Chrome. Firefox использовал тот же исходный код, однако опубликованные пакеты расширения оказались недоступны для проверки. Этот пробел оставляет неопределенным масштаб воздействия на пользователей Firefox. Проверенные приложения для Android и iOS не содержали вредоносного кода. Однако пользователи мобильных устройств, ранее импортировавшие восстановительные учетные данные в затронутое браузерное расширение, остаются под угрозой.

В отличие от недавнего эксплойта кошелька Qubic, связанного с предсказуемыми seed-фразами, уязвимость Fearless Wallet передавала уже существующие восстановительные учетные данные напрямую на внешний адрес.

Polkadot призывает к немедленной миграции кошелька

Затронутые пользователи должны создать совершенно новые пары ключей через отдельное поддерживаемое приложение кошелька. Фонд предложил Nova Wallet в качестве одного из возможных вариантов.

Смена пароля, переустановка Fearless Wallet или импорт той же seed-фразы в другое приложение не могут защитить ранее скомпрометированные учетные данные. Аналогичное требование возникло после уязвимости в кошельке Ill Bloom, где скомпрометированные seed-фразы оставались небезопасными даже после смены программного обеспечения кошелька.

Пользователям Polkadot также следует проверить активы в других сет, использующие те же скомпрометированные ключи. Средства, заблокированные в стейкинге, пулах номинации или позициях управления, могут потребовать дополнительных шагов восстановления перед переводом.

Для пользователей с недоступными или застейкинными активами Фонд указал на PAPI Rescue — инструмент восстановления, разработанный командой polkadot-api.

Пользователям, пострадавшим от несанкционированных списаний, следует сохранить хеши транзакций, адреса кошельков и подтверждающие материалы для возможных расследований правоохранительных органов. Фонд также предупредил о навязчивых сервисах восстановления и поддельных аккаунтах поддержки.

Fearless Wallet остается независимо разработанным сторонним приложением, и расследование публично не установило, кто внес вредоносный код и сколько учетных данных кошельков в итоге было раскрыто. Эти нерешенные вопросы, наряду с расхождением между заявленными суммами DOT, остаются главными моментами, за которыми стоит следить в последующих обновлениях Фонда.