Polkadot 發布緊急安全警告，調查人員發現多個版本的 Fearless Wallet 瀏覽器擴充套件曾將用戶私鑰秘密傳送至攻擊者控制的伺服器，洩漏情形可追溯至 2025 年 2 月。

Polkadot 社區基金會於 2026 年 10 月 21 日發布的安全通知中揭露此漏洞，確認受影響的版本為 3.0.1、3.0.3、3.0.4 及 3.0.5。已有八名用戶通報可能與此事件相關的未授權交易，合計涉及 17,286 DOT。

凡自 2025 年 2 月以來曾使用該擴充套件的用戶，均已被指示放棄現有的錢包金鑰、透過其他錢包應用程式產生新憑證，並立即轉移剩餘資產。

惡意程式碼在擴充套件中潛伏超過一年

該惡意功能於 2025 年 2 月 19 日透過一筆名為「TON ecosystem」的大型程式碼變更進入 Fearless Wallet 的公開 GitHub 儲存庫。此變更在被移除前，公開可見時間超過 16 個月——這段期間顯示，隱藏的憑證處理邏輯可在技術上開放公眾審計的程式碼中潛伏多久。

技術調查詳見兩份 HackMD 報告（第一份、第二份），調查發現該擴充套件會在使用者成功解鎖時，擷取助記詞或帳戶金鑰庫檔案以及包密碼。被竊取的資訊以空密碼加密——這種保護極易被破解——隨後被傳送至外部伺服器。

後續版本引入了可遠端控制的設定機制，能夠開啟或關閉該惡意行為。該程式碼於 2026 年 6 月 25 日從公開儲存庫移除，但仍內嵌於已安裝的 3.0.3 至 3.0.5 版擴充套件中。

該遠端機制在多個時段內保持運作，直至 2026 年 10 月 10 日。由於先前安裝的副本仍可重新啟用該功能，即使在最近一次已知的傳送時段結束後，用戶仍持續暴露於風險之中。

此事件類似於早前的 Trust Wallet 擴充套件入侵事件，當時同樣涉及可暴露錢包恢復憑證的惡意瀏覽器擴充套件程式碼。

八名用戶通報未授權 DOT 轉帳

基金會於 10 月 21 日的警告中確認了八起通報案例，涉及 17,286 DOT，但其附帶的公開交易紀錄分別合計為 15,571.99 DOT 及 54,450.36 DED。兩個 DOT 數字之間的差異尚未獲得解釋。

通報事件發生於 2025 年 9 月至 2026 年 9 月之間，其中記錄到的最大單一案例涉及約 8,996 DOT，於 9 月 23 日自單一錢包轉出。

調查確認惡意功能存在於 Chrome 擴充套件中。Firefox 使用相同的原始碼，但其已發布的擴充套件套件無法供檢驗。此一缺口使 Firefox 用戶的暴露程度無法確定。經審查的 Android 及 iOS 應用程式未含惡意程式碼。然而，先前曾將恢復憑證匯入受影響瀏覽器擴充套件的行動裝置用戶仍處於風險之中。

與近期涉及可預測錢包種子的 Qubic 錢包漏洞不同，Fearless Wallet 的漏洞是將現有的恢復憑證直接傳送至外部目的地。

Polkadot 敦促立即遷移錢包

受影響的用戶必須透過另一個持續維護的錢包應用程式建立全新的金鑰對。基金會建議 Nova Wallet 作為其中一種替代方案。

更改密碼、重新安裝 Fearless Wallet，或將相同的助記詞匯入其他應用程式，都無法保護先前已暴露的憑證。在 Ill Bloom 錢包缺陷事件後也曾出現類似要求，當時易受攻擊的助記即使用戶更換了錢包軟體仍不安全。

Polkadot 用戶也應檢查在其他網路上使用相同受 compromisée 金鑰持有的資產。鎖定於質押、提名池或治理部位的資金，在轉移前可能需要額外的恢復步驟。

對於資產無法存取或處於質押狀態的用戶，基金會指向了 PAPI Rescue，這是由 polkadot-api 團隊開發的恢復工具。

遭遇未授權提領的用戶應保留交易雜湊值、錢包地址及相關證據，以供可能的執法調查使用。基金會同時警告用戶提防主動上門的恢復服務及假冒的支援帳號。

Fearless Wallet 仍是獨立開發的第三方應用程式，調查尚未公開確定是誰植入惡意程式碼，以及最終有多少錢包憑證遭到暴露。這些未解的疑問，加上通報 DOT 總額之間的差異，是後續基金會更新時值得關注的重點。