В предупреждении Polkadot по безопасности от 21 октября говорится, что браузерное расширение Fearless Wallet допускало утечку приватных ключей пользователей. Всем, кто пользовался им с февраля 2025 года, следует считать соответствующие аккаунты скомпрометированными. Сообщается, что проблема затронула версии 3.0.1, 3.0.3, 3.0.4 и 3.0.5. Пользователям рекомендуется создать новую пару ключей в другом кошельке, перевести доступные для перевода средства, а для активов, заблокированных в стейкинге или механизмах управления, воспользоваться PAPI Rescue.

Какие версии Fearless Wallet были затронуты

Сообщается, что проблема коснулась версий браузерного расширения 3.0.1, 3.0.3, 3.0.4 и 3.0.5. В выдержках из уведомления по безопасности на форуме Polkadot указано, что при разблокировке кошелька они могли отправлять приватный ключ пользователя на сервер, контролируемый злоумышленником. Там же проблема связывается с кодом, который, как утверждается, был добавлен 2025-02-19 в рамках изменения под названием "экосистема TON"; активность фиксировалась в разное время с февраля 2025 года по 2026-10-10.

Имеющиеся данные не позволяют оценить полный масштаб утечки. В текущем сообщении говорится как минимум о восьми пользователях, заявивших о несанкционированных транзакциях на общую сумму 17 286 DOT, или примерно $20 500. Однако эти цифры следует рассматривать как число заявленных инцидентов, а не как полный перечень всех скомпрометированных аккаунтов.

Почему рекомендуется создать новую пару ключей

Поскольку утечка, как сообщается, затронула сам приватный ключ, рекомендуется создать полностью новую пару ключей в другом кошельке и перевести туда средства. Смена пароля, переустановка расширения или дальнейшее использование того же ключа не устранят основную проблему, если злоумышленник уже получил копию этого ключа.

В этом заключается практическое отличие обычной проблемы с безопасностью аккаунта от компрометации ключа кошелька. Пароль защищает доступ к приложению, тогда как приватный ключ позволяет авторизовывать транзакции от имени аккаунта. Поэтому меры реагирования предполагают полную замену учётных данных аккаунта, а не очистку уже установленного расширения.

Что делать, если DOT находятся в стейкинге или заблокированы

В предупреждении Polkadot говорится, что любые доступные для перевода активы необходимо немедленно отправить в новый кошелёк. Для позиций в стейкинге или заблокированных в механизмах управления сетью пользователям предлагается PAPI Rescue. Это важно, поскольку средства в стейкинге, пулах и позициях, связанных с голосованием, могут быть недоступны для немедленного вывода даже после признания аккаунта скомпрометированным.

В том же предупреждении пользователям советуют не доверять непрошеным предложениям о восстановлении средств и не передавать никому приватные ключи. В текущем сообщении также отмечается, что у Polkadot нет официального аккаунта поддержки в X, поэтому к любым личным сообщениям с обещанием вернуть средства следует относиться с осторожностью.