Расширение Fearless Wallet 20 месяцев сливало приватные ключи: украдено 17 286 DOT

Если вы пользовались браузерным расширением Fearless Wallet с февраля 2025 года, считайте свои ключи украденными. Polkadot Community Foundation предупредила 21 октября, что это стороннее расширение отправляло приватные ключи пользователей на сервер злоумышленника. Восемь человек сообщили о несанкционированных переводах на общую сумму 17 286 DOT — примерно $18 000 по сегодняшней цене около $1,03 (CoinGecko).

Что произошло

По данным уведомления фонда и разбора от Polkadot Technical Fellowship, вредоносный код попал в публичный исходный код расширения 19 февраля 2025 года в рамках крупного обновления под названием «TON ecosystem». В версиях 3.0.1, 3.0.3, 3.0.4 и 3.0.5 разблокировка кошелька отправляла фразу восстановления — или файл keystore вместе с паролем — на сторонний сервер. Компания по блокчейн-безопасности SlowMist, зафиксировавшая инцидент, отметила, что удалённый переключатель позволял злоумышленнику включать кражу лишь в определённые периоды, поэтому её было труднее заметить.

Код убрали из исходников в июне, а переключатель выключен с 10 октября 2026 года. Однако установленные копии 3.0.3–3.0.5 по-прежнему содержат этот код и проверяют переключатель при каждой разблокировке, так что безопасной версии, на которую можно обновиться, нет.

Кого это касается

• Пользователи расширения: все, кто когда-либо с февраля 2025 года пользовался версией для Chrome. Версия для Firefox содержала тот же код, поэтому к ней стоит относиться так же.
• Только мобильное приложение: проверенные версии для Android и iOS этого кода не содержат. Но если ту же фразу восстановления когда-то загружали в расширение — например, восстанавливая резервную копию Fearless из Google Drive, — она скомпрометирована в любом приложении.
• Те, кто уже сменил кошелёк: переход в другое приложение помогает, только если вы сгенерировали новую фразу. Аккаунтом управляет сид-фраза, а не программа, в которой вы его открываете.

Фонд подчеркнул, что Fearless Wallet разрабатывает независимая команда и он никогда не был официальным кошельком Polkadot.

Почему быстрый анстейкинг повышает риск

Как замечает CryptoSlate, утечка совпала по времени с сокращением срока вывода из стейкинга. Согласно Референдуму 1910, вступившему в силу 6 июля, номинаторы могут забрать застейканные DOT примерно за один-два дня вместо 28. Это удобнее для ликвидности, но и даёт злоумышленнику с вашими ключами гораздо меньше времени до того, как монеты станут доступны для перевода. При этом никто не доказал, что более короткий срок стал причиной хотя бы одной из краж.

Фонд поясняет, что застейканные, вложенные в пулы или заблокированные для голосования DOT нельзя перевести сразу, и советует перед анстейкингом со скомпрометированного аккаунта обратиться к PAPI Rescue — инструменту восстановления от команды polkadot-api. Как работают стейкинг и вывод из него, объясняет наш гайд по стейкингу, а о самой сети — материал что такое Polkadot.

Главный урок

Кошельки-расширения удобны, но живут внутри самой рискованной программы, которую запускает большинство людей, — браузера. Хранить крупные суммы на аппаратном кошельке, ставить расширения только от активно поддерживаемых проектов и удалять ненужные — всё это уменьшает ущерб, когда одно приложение оказывается вредоносным. Основы описаны в нашем гайде о безопасном хранении крипты.