Polkadot 发布紧急安全警告:调查人员发现,多个版本的 Fearless Wallet 浏览器扩展曾秘密将用户私钥传输至攻击者控制的服务器,入侵最早可追溯至 2025 年 2 月。

Polkadot 社区基金会 于 2026 年 10 月 21 日发布的安全通告中披露了该漏洞,确认受影响版本为 3.0.1、3.0.3、3.0.4 和 3.0.5。八名用户报告了可能与该事件相关的未授权交易,合计涉及 17,286 DOT。

自 2025 年 2 月以来任何使用过该扩展的用户均被要求弃用现有钱包密钥,通过其他钱包应用生成新凭证,并立即转移剩余资产。

恶意代码在扩展中存续超过一年

恶意功能于 2025 年 2 月 19 日通过一项名为 “TON ecosystem” 的大型代码变更进入 Fearless Wallet 的公开 GitHub 仓库。该变更在被移除前已公开可查超过 16 个月——这一时间跨度表明,隐藏的凭证处理逻辑可以在技术上向公众开放审计的代码中长期潜伏。

两份 HackMD 报告(第一份、第二份)详述的技术调查发现,每当用户成功解锁扩展时,该功能便会提取助记词或账户 keystore 文件以及钱包密码。被盗信息使用空密码加密——这种保护极易被逆向破解——随后被传输至外部服务器。

后续版本引入了可远程控制的配置机制,能够开启或关闭恶意行为。该代码于 2026 年 6 月 25 日从公开仓库中移除,但依然存在于已安装的 3.0.3 至 3.0.5 版本扩展中。

该远程机制在截至 2026 年 10 月 10 日的多个时间段内保持活跃。由于先前安装的副本仍可能重新激活该功能,即使在最后已确认的传输窗口结束之后,用户仍处于风险之中。

该事件与此前的 Trust Wallet 扩展漏洞类似,后者同样涉及能够暴露钱包恢复凭证的恶意浏览器扩展代码。

八名用户报告 DOT 未授权转账

基金会 10 月 21 日的警告确认了八起报告案例,涉及 17,286 DOT,但其附带的公开交易记录分别合计 15,571.99 DOT 和 54,450.36 DED。两个 DOT 数字差异尚未得到解释。

报告的事件发生在 2025 年 9 月至 2026 年 9 月之间,其中最大的一起记录在案的案件涉及约 8,996 DOT,于 9 月 23 日从一个钱包转出。

调查确认恶意功能存在于 Chrome 扩展中。Firefox 使用相同源代码,但其发布的扩展包无法获取以供检查。这一空白使得 Firefox 用户的暴露程度无法确定。经审查的 Android 和 iOS 应用未包含恶意代码。然而,曾将恢复凭证导入受影响浏览器扩展的移动用户仍然面临风险。

与近期涉及可预测钱包种子的 Qubic 钱包攻击不同,Fearless Wallet 的漏洞是将现有的恢复凭证直接传输至外部目的地。

Polkadot 敦促立即迁移钱包

受影响用户必须通过单独维护的钱包应用创建全新的密钥对。基金会建议 Nova Wallet 作为可能的替代方案之一。

更改密码、重新安装 Fearless Wallet 或将同一助记词导入其他应用,都无法保护已经暴露的凭证。类似的教训曾出现在 Ill Bloom 钱包缺陷事件之后,当时即使更换了钱包软件,存在风险的助记词依然不安全。

Polkadot 用户还应检查在其他网络上使用相同受损密钥持有的资产。锁定在质押、提名池或治理头寸中的资金,在转移之前可能需要额外的恢复步骤。

对于资产无法访问或已质押的用户,基金会指引其使用 PAPI Rescue,这是由 polkadot-api 团队开发的恢复工具。

遭遇未授权提款的用户应保留交易哈希、钱包地址和相关证据,以备可能的执法调查。基金会还提醒用户警惕未经请求的“恢复服务”和假冒客服账户。

Fearless Wallet 是一款独立开发的第三方应用,调查尚未公开确定是谁植入了恶意代码,以及最终有多少钱包凭证被暴露。这些悬而未决的问题,连同报告的 DOT 总额之间的差异,是基金会后续更新中最值得关注的要点。