Um alerta de segurança da Polkadot, emitido a 21 de outubro, indica que a extensão de navegador Fearless Wallet expôs as chaves privadas dos utilizadores. Quem a tenha utilizado desde fevereiro de 2025 deve considerar as respetivas contas comprometidas. As versões alegadamente afetadas são a 3.0.1, 3.0.3, 3.0.4 e 3.0.5. A recomendação passa por criar um novo par de chaves noutra carteira, transferir os fundos disponíveis e recorrer ao PAPI Rescue para ativos ainda bloqueados em staking ou em posições ligadas à governação.

Que versões da Fearless Wallet foram afetadas

As versões afetadas da extensão de navegador são, segundo os relatos, a 3.0.1, 3.0.3, 3.0.4 e 3.0.5. Excerto de um aviso de segurança do Fórum Polkadot indica que, ao desbloquear a carteira, estas versões podiam enviar a chave privada do utilizador para um servidor controlado por atacantes. Os mesmos excertos associam o problema a código alegadamente introduzido em 2025-02-19, numa alteração intitulada "ecossistema TON", com atividade em diferentes momentos entre fevereiro de 2025 e 2026-10-10.

Os números disponíveis não revelam a dimensão total da exposição. O relatório atual refere que pelo menos oito utilizadores comunicaram transações não autorizadas num total de 17 286 DOT, estimados em cerca de 20 500 dólares. Estes dados devem, porém, ser entendidos como o volume de incidentes reportados, e não como um levantamento de todas as contas comprometidas.

Porque é necessário criar um novo par de chaves

Uma vez que a exposição reportada envolveu a própria chave privada, a resposta recomendada é criar um par de chaves inteiramente novo numa carteira diferente e transferir os fundos para essa carteira. Alterar a palavra-passe, reinstalar a extensão ou continuar a utilizar a mesma chave não resolveria o problema de fundo caso um atacante já possua uma cópia dessa chave.

Esta é a diferença prática entre um problema normal de segurança de conta e o comprometimento da chave de uma carteira. Uma palavra-passe protege o acesso a uma aplicação, mas uma chave privada pode autorizar transações na conta. Por isso, a resposta centra-se na substituição total das credenciais da conta, em vez de simplesmente limpar a instalação existente.

O que fazer se os DOT estiverem em staking ou bloqueados

O alerta da Polkadot recomenda que os utilizadores transfiram imediatamente para uma nova carteira todos os ativos que possam ser movimentados. Para posições em staking ou bloqueadas para governação, remete para o PAPI Rescue. Isto é relevante porque posições de staking, pools e votação podem não ser imediatamente resgatáveis, mesmo depois de uma conta ser considerada comprometida.

O mesmo alerta aconselha ainda os utilizadores a não confiarem em ofertas de recuperação não solicitadas nem a partilharem chaves privadas. O relatório atual acrescenta que a Polkadot não dispõe de uma conta oficial de apoio no X; por isso, qualquer mensagem direta que prometa recuperar fundos deve ser encarada com cautela.