Un avviso di sicurezza di Polkadot del 21 ottobre segnala che l'estensione browser Fearless Wallet ha esposto le chiavi private degli utenti e che chiunque l'abbia utilizzata dal febbraio 2025 dovrebbe considerare compromessi i relativi account. Le versioni indicate come coinvolte sono la 3.0.1, la 3.0.3, la 3.0.4 e la 3.0.5. Le istruzioni prevedono di creare una nuova coppia di chiavi in un altro wallet, trasferire i fondi disponibili e ricorrere a PAPI Rescue per gli asset ancora bloccati in staking o in posizioni legate alla governance.

Quali versioni di Fearless Wallet sono coinvolte

Le versioni dell'estensione browser segnalate come interessate sono la 3.0.1, la 3.0.3, la 3.0.4 e la 3.0.5. Estratti di un avviso di sicurezza pubblicato sul forum di Polkadot affermano che, allo sblocco del wallet, queste versioni potevano inviare la chiave privata dell'utente a un server controllato da un attaccante. Gli stessi estratti collegano il problema a codice che sarebbe stato aggiunto il 2025-02-19 nell'ambito di una modifica denominata "TON ecosystem", con attività rilevate in momenti diversi tra febbraio 2025 e il 2026-10-10.

I dati disponibili non consentono di quantificare l'intera portata dell'esposizione. Il rapporto attuale indica che almeno otto utenti hanno denunciato transazioni non autorizzate per complessivi 17.286 DOT, stimati in circa 20.500 dollari; il dato va tuttavia letto come volume degli incidenti segnalati, non come censimento di tutti gli account compromessi.

Perché la soluzione indicata è una nuova coppia di chiavi

Dato che l'esposizione segnalata riguarda la chiave privata stessa, la risposta raccomandata è creare una coppia di chiavi interamente nuova in un wallet diverso e trasferirvi i fondi. Cambiare password, reinstallare l'estensione o continuare a usare la stessa chiave non risolverebbe il problema di fondo, se un attaccante ne possiede già una copia.

Questa è la differenza pratica tra un normale problema di sicurezza dell'account e la compromissione della chiave di un wallet. Una password protegge l'accesso a un'app, mentre una chiave privata può autorizzare transazioni sull'account: per questo la risposta si concentra sulla sostituzione completa delle credenziali, anziché sulla sola pulizia dell'installazione esistente.

Cosa fare se i DOT sono in staking o bloccati

L'avviso di Polkadot invita gli utenti a trasferire immediatamente in un nuovo wallet tutti gli asset trasferibili e, per le posizioni in staking o bloccate dalla governance, rimanda a PAPI Rescue. Questo è rilevante perché le posizioni di staking, nei pool o legate al voto potrebbero non essere prelevabili immediatamente, anche quando un account è considerato compromesso.

Lo stesso avviso raccomanda inoltre di non fidarsi di offerte di recupero non richieste e di non condividere mai le chiavi private. Il rapporto attuale aggiunge che Polkadot non dispone di un account di assistenza ufficiale su X; qualsiasi messaggio diretto che prometta di recuperare fondi va quindi trattato con cautela.