افشای کلید خصوصی در Fearless Wallet؛ نسخه‌های آسیب‌دیده و اقدامات ضروری
افشای کلید خصوصی در Fearless Wallet؛ نسخه‌های آسیب‌دیده و اقدامات ضروری
امتیازدهی ما در گوگلWEEX View
برای کاربران آسیب‌دیده Fearless Wallet، موضوع صرفاً به‌روزرسانی نرم‌افزار نیست، بلکه مهاجرت حساب است. از آنجا که افشای گزارش‌شده هنگام باز کردن قفل کیف پول، خود کلید خصوصی را دربر می‌گرفت، هر کلیدی که در این افزونه استفاده شده باید به‌طور دائمی افشاشده تلقی شود. همچنین، DOTهای استیک‌شده یا قفل‌شده در حاکمیت به یک مسئله بازیابی عملیاتی تبدیل می‌شوند که ممکن است پیش از قابل‌انتقال شدن کامل وجوه، به مراحل نجات جداگانه نیاز داشته باشد.
هشدار امنیتی پولکادات در ۲۱ اکتبر اعلام می‌کند افزونه مرورگر Fearless Wallet کلیدهای خصوصی کاربران را افشا کرده است و همه افرادی که از فوریه ۲۰۲۵ از آن استفاده کرده‌اند باید حساب‌های خود را در معرض خطر تلقی کنند. نسخه‌های گزارش‌شده آسیب‌دیده 3.0.1، 3.0.3، 3.0.4 و 3.0.5 هستند. به کاربران توصیه شده است در کیف پولی دیگر یک جفت‌کلید جدید بسازند، دارایی‌های قابل انتقال را جابه‌جا کنند و برای دارایی‌هایی که در استیکینگ یا موقعیت‌های مرتبط با حاکمیت قفل شده‌اند، از PAPI Rescue استفاده کنند.
کدام نسخه‌های Fearless Wallet آسیب دیدند؟
نسخه‌های آسیب‌دیده گزارش‌شده از افزونه مرورگر عبارت‌اند از 3.0.1، 3.0.3، 3.0.4 و 3.0.5. بر اساس بخش‌هایی از یک اطلاعیه امنیتی در انجمن پولکادات، این نسخه‌ها هنگام باز شدن قفل کیف پول می‌توانستند کلید خصوصی کاربر را به سروری تحت کنترل مهاجم ارسال کنند. همان بخش‌ها این مسئله را به کدی مرتبط می‌دانند که بنا بر گزارش‌ها در 2025-02-19 و در جریان تغییری با عنوان "TON ecosystem" افزوده شده بود؛ فعالیت‌های مرتبط نیز در زمان‌های مختلفی از فوریه ۲۰۲۵ تا 2026-10-10 رخ داده است.
آمار موجود، ابعاد کامل این افشا را نشان نمی‌دهد. گزارش فعلی می‌گوید دست‌کم هشت کاربر، تراکنش‌های غیرمجاز به مجموع 17,286 DOT را گزارش کرده‌اند که ارزش آن حدود 20,500 دلار برآورد شده است؛ با این حال، این رقم باید حجم رخدادهای گزارش‌شده تلقی شود، نه شمارش همه حساب‌های به خطر افتاده.
| جزئیات رخداد | اطلاعات گزارش‌شده |
|---|---|
| نسخه‌های آسیب‌دیده | 3.0.1، 3.0.3، 3.0.4 و 3.0.5 |
| تاریخ افزوده‌شدن کد | 2025-02-19، در جریان تغییری با عنوان "TON ecosystem" |
| بازه فعالیت | در زمان‌های مختلف بین فوریه ۲۰۲۵ و 2026-10-10 |
| تراکنش‌های غیرمجاز | دست‌کم ۸ گزارش، در مجموع 17,286 DOT |
| اقدام فوری | ساخت یک جفت‌کلید جدید در کیف پولی دیگر و انتقال دارایی‌های قابل انتقال |
| مسیر بازیابی وجوه قفل‌شده | هشدار پولکادات کاربران را برای موقعیت‌های استیک‌شده یا قفل‌شده در حاکمیت به PAPI Rescue ارجاع می‌دهد |
چرا ساخت جفت‌کلید جدید راهکار اعلام‌شده است؟
از آنجا که افشای گزارش‌شده خود کلید خصوصی را دربر می‌گرفت، واکنش توصیه‌شده این است که در کیف پولی متفاوت یک جفت‌کلید کاملاً جدید بسازید و دارایی‌ها را به آن منتقل کنید. اگر مهاجم از قبل نسخه‌ای از کلید را در اختیار داشته باشد، تغییر گذرواژه، نصب مجدد افزونه یا ادامه استفاده از همان کلید، مشکل اصلی را حل نخواهد کرد.
این تفاوت عملی میان یک مشکل معمول امنیت حساب و افشای کلید کیف پول است. گذرواژه از دسترسی به یک اپلیکیشن محافظت می‌کند، اما کلید خصوصی می‌تواند تراکنش‌های حساب را تأیید کند؛ به همین دلیل، راهکار بر جایگزینی کامل اطلاعات دسترسی حساب تمرکز دارد، نه صرفاً پاک‌سازی نصب فعلی.
اگر DOT استیک یا قفل شده باشد، چه باید کرد؟
هشدار پولکادات می‌گوید کاربران باید همچنان هر دارایی قابل انتقالی را بی‌درنگ به کیف پول جدید منتقل کنند و برای موقعیت‌های استیک‌شده یا قفل‌شده در حاکمیت، به PAPI Rescue مراجعه کنند. این موضوع اهمیت دارد، زیرا موقعیت‌های مرتبط با استیکینگ، استخرها و رأی‌گیری ممکن است حتی پس از در معرض خطر تلقی شدن حساب نیز فوراً قابل برداشت نباشند.
همین هشدار همچنین به کاربران توصیه می‌کند به پیشنهادهای بازیابی ناخواسته اعتماد نکنند و کلید خصوصی خود را با کسی به اشتراک نگذارند. گزارش فعلی می‌افزاید پولکادات در X حساب پشتیبانی رسمی ندارد؛ بنابراین هر پیام مستقیمی که مدعی بازیابی وجوه باشد باید با احتیاط بررسی شود.
نقاط عطف
این محتوا صرفاً برای اطلاع‌رسانی عمومی ارائه شده است و به‌منزله مشاوره مالی، سرمایه‌گذاری، حقوقی یا مالیاتی تلقی نمی‌شود. هرگونه رویداد، جایزه، کمپین آنلاین یا اطلاعات مرتبط که در اینجا ذکر شده است، نباید به‌عنوان توصیه، ترغیب یا دعوت به خرید، فروش، معامله یا هرگونه دادوستد دیگر دارایی‌های رمزارزی تلقی شود. دارایی‌های رمزارزی از نوسان بالایی برخوردار هستند و ممکن است منجر به زیان شوند. دسترسی به خدمات، محصولات و رویدادهای مرتبط با WEEX ممکن است بسته به منطقه جغرافیایی متفاوت باشد. اطمینان از اینکه استفاده شما از این خدمات با قوانین و مقررات محلی مطابقت دارد، بر عهده خود شماست.
درباره WEEX View
WEEX View یک مرکز تحلیل و اطلاعات بازار رمزارز است که آخرین تحولات Web3، هوش مصنوعی و بازارهای جهانی را پوشش می‌دهد. با دسترسی به پژوهش‌های مستقل و تحلیل‌های عمیق، از روندهای بازار و فرصت‌های معاملاتی پیشی بگیرید.
جدیدترین مقالات
بیشترقاضی آرژانتینی پرونده کیفری $LIBRA علیه میلی را مختومه کرد
بوئنوس آیرس تایمز گزارش داد که یک قاضی آرژانتینی در ۲۳ اکتبر پرونده کیفری داخلی مربوط به $LIBRA را مختومه کرده است؛ رسانه‌های دیگر نیز اعلام کردند که این حکم کارینا میلی و هیدن دیویس را هم در بر می‌گیرد.
کوین‌دی‌سی‌ایکس برداشت ۱۶ میلیون دلاری ترون پس از هک ژوئیه ۲۰۲۵ را رد کرد
کوین‌دی‌سی‌ایکس اتهام‌ها درباره خروج حدود ۱۶ میلیون دلار از شبکه ترون را رد کرده و می‌گوید کیف‌پول‌های علامت‌گذاری‌شده پیش‌تر در ژوئیه ۲۰۲۵ به خطر افتاده بودند، نه اینکه اخیراً هک شده باشند. پرسش اصلی این است که آیا مسیرهای قدیمی واریز مدت‌ها پس از آن هک همچنان فعال مانده‌اند یا خیر.
گزارش: آسیب‌پذیری الکتروم ممکن است هنگام افزایش کارمزد، پرداخت‌های بیت‌کوین را جایگزین کند
بر اساس یک گزارش ارائه‌شده، الکتروم نقصی مرتبط با افزایش کارمزد از طریق RBF را برطرف کرده است که می‌توانست به امضای یک تراکنش جعلی بیت‌کوین منجر شود. با این حال، شواهد ارائه‌شده تأیید مستقیمی از انتشار نسخه 4.8.3 در اختیار نمی‌گذارد.
اولویت‌های بازرسی SEC در ۲۰۲۷، توکنیزه‌سازی را در کانون نظارت بر نهادهای تسویه قرار می‌دهد
اولویت‌های گزارش‌شده بازرسی کمیسیون بورس و اوراق بهادار آمریکا برای سال مالی ۲۰۲۷، توکنیزه‌سازی را در بررسی نهادهای تسویه و مقررات SCI قرار داده است؛ موضوعی که از تشدید نظارت بر سامانه‌ها، کنترل‌ها و وابستگی به تأمین‌کنندگان حکایت دارد، نه وضع مقرراتی تازه.
