Розширення Fearless Wallet 20 місяців зливало приватні ключі: вкрадено 17 286 DOT

Якщо ви користувалися браузерним розширенням Fearless Wallet з лютого 2025 року, вважайте свої ключі викраденими. Polkadot Community Foundation попередила 21 жовтня, що це стороннє розширення надсилало приватні ключі користувачів на сервер зловмисника. Восьмеро людей повідомили про несанкціоновані перекази на загальну суму 17 286 DOT — приблизно $18 000 за сьогоднішньою ціною близько $1,03 (CoinGecko).

Що сталося

За даними повідомлення фонду та розбору від Polkadot Technical Fellowship, шкідливий код потрапив у публічний вихідний код розширення 19 лютого 2025 року в межах великого оновлення під назвою «TON ecosystem». У версіях 3.0.1, 3.0.3, 3.0.4 і 3.0.5 розблокування гаманця відправляло фразу відновлення — або файл keystore разом із паролем — на сторонній сервер. Компанія з блокчейн-безпеки SlowMist, яка зафіксувала інцидент, зазначила, що віддалений перемикач дозволяв зловмиснику вмикати крадіжку лише в певні періоди, тож її було важче помітити.

Код прибрали з вихідних текстів у червні, а перемикач вимкнений із 10 жовтня 2026 року. Проте встановлені копії 3.0.3–3.0.5 досі містять цей код і перевіряють перемикач під час кожного розблокування, тож безпечної версії, на яку можна оновитися, немає.

Кого це стосується

• Користувачі розширення: усі, хто будь-коли з лютого 2025 року користувався версією для Chrome. Версія для Firefox мала той самий код, тож її слід розглядати так само.
• Лише мобільний застосунок: перевірені версії для Android та iOS цього коду не містять. Але якщо ту саму фразу відновлення колись завантажували в розширення — наприклад, відновлюючи резервну копію Fearless із Google Drive, — вона скомпрометована в будь-якому застосунку.
• Ті, хто вже змінив гаманець: перехід в інший застосунок допомагає, лише якщо ви згенерували нову фразу. Акаунт контролює сід-фраза, а не програма, в якій ви його відкриваєте.

Фонд наголосив, що Fearless Wallet розробляє незалежна команда, і він ніколи не був офіційним гаманцем Polkadot.

Чому швидкий анстейкінг підвищує ризик

Як зауважує CryptoSlate, витік збігся в часі зі скороченням періоду виведення зі стейкінгу. Згідно з Референдумом 1910, що набув чинності 6 липня, номінатори можуть забрати застейкані DOT приблизно за один-два дні замість 28. Це зручніше для ліквідності, але й дає зловмиснику з вашими ключами значно менше часу до того, як монети стануть доступними для переказу. Водночас ніхто не довів, що коротший період спричинив хоч одну з крадіжок.

Фонд пояснює, що застейкані, вкладені в пули або заблоковані для голосування DOT не можна перевести одразу, і радить перед анстейкінгом зі скомпрометованого акаунта звернутися до PAPI Rescue — інструменту відновлення від команди polkadot-api. Як працюють стейкінг і виведення з нього, пояснює наш гайд зі стейкінгу, а про саму мережу — матеріал що таке Polkadot.

Головний урок

Гаманці-розширення зручні, але живуть усередині найризикованішої програми, яку запускає більшість людей, — браузера. Зберігати великі суми на апаратному гаманці, ставити розширення лише від проєктів, які активно підтримуються, і видаляти непотрібні — усе це зменшує шкоду, коли один застосунок виявляється шкідливим. Основи описані в нашому гайді про безпечне зберігання крипти.