Fearless Wallet 20 месяцев сливал ключи: украдено 17 286 DOT

Polkadot Community Foundation 21 октября 2026 года опубликовал предупреждение: четыре версии браузерного расширения Fearless Wallet отправляли копию приватного ключа на сервер злоумышленника каждый раз, когда пользователь разблокировал кошелёк. Восемь пользователей сообщили о несанкционированных переводах на 17 286 DOT, по оценке CryptoTicker это около $20 000 на момент раскрытия.

Подробности

Затронуты версии 3.0.1, 3.0.3, 3.0.4 и 3.0.5. По данным CryptoSlate и CryptoTicker, вредоносный код попал в проект 19 февраля 2025 года через запрос на слияние на GitHub и работал с перерывами минимум до 10 октября 2026 года. Версия 3.0.5 оставалась в Chrome Web Store, где у расширения было около 6 000 пользователей. Сборка для Firefox содержала тот же код.

По Cryptopolitan, расширение собирало сид-фразы и пароли, «шифровало» их пустым паролем и отправляло на внешний сервер. Первые жалобы на кражи появились на форуме Polkadot ещё 6 октября 2025 года, тогда поддержка заявила, что уязвимость не подтверждена.

Фонд подчёркивает, что Fearless Wallet — сторонний продукт, а не официальный кошелёк сети. Всем, кто пользовался затронутыми версиями, рекомендуют считать аккаунты скомпрометированными, создать новые ключи в другом кошельке (фонд называет Nova Wallet), перевести средства и удалить расширение. Сменой пароля ключ не защитить.

Что это значит для рынка

Сумма потерь по меркам взломов невелика, но случай показывает риск цепочки поставок: вредоносный код полтора года жил в открытом проекте. Актуальный курс — в сводке дня, страница монеты — Polkadot.

Число пострадавших может оказаться больше восьми: шесть тысяч установок в магазине не равны числу подтверждённых краж, а утечка ключей не оставляет следов до момента вывода средств.