Витік приватних ключів у Фірлес Воллет: уражені версії та подальші дії
Витік приватних ключів у Фірлес Воллет: уражені версії та подальші дії
Оцінити в GoogleОгляд WEEX
Для постраждалих користувачів Фірлес Воллет це не просто питання оновлення програмного забезпечення, а необхідність перенести акаунт. Оскільки, за наявними даними, приватні ключі розкривалися під час розблокування гаманця, будь-який ключ, що використовувався у розширенні, слід вважати назавжди скомпрометованим. Водночас DOT у стейкінгу чи заблокований механізмами управління потребуватиме окремих кроків для відновлення доступу, перш ніж кошти можна буде повністю перемістити.
У повідомленні Полкадот про безпеку від 21 жовтня йдеться, що браузерне розширення Фірлес Воллет розкривало приватні ключі користувачів. Усім, хто користувався ним із лютого 2025 року, слід вважати відповідні акаунти скомпрометованими. Повідомляється, що проблема зачепила версії 3.0.1, 3.0.3, 3.0.4 і 3.0.5. Користувачам рекомендують створити нову пару ключів в іншому гаманці, перевести доступні для переказу кошти, а для активів, заблокованих у стейкінгу або механізмах управління, скористатися PAPI Rescue.
Які версії Фірлес Воллет постраждали
За повідомленнями, ураженими є версії браузерного розширення 3.0.1, 3.0.3, 3.0.4 і 3.0.5. Витяги з повідомлення про безпеку на форумі Полкадот стверджують, що під час розблокування гаманця вони могли надсилати приватний ключ користувача на сервер, контрольований зловмисниками. У тих самих витягах проблему пов’язують із кодом, який, імовірно, було додано 2025-02-19 у межах зміни під назвою "TON ecosystem,"; активність фіксувалася в різні моменти між лютим 2025 року та 2026-10-10.
Наявні дані не відображають повного масштабу компрометації. У поточному повідомленні зазначено, що щонайменше вісім користувачів заявили про несанкціоновані транзакції загалом на 17 286 DOT, що оцінюється приблизно у $20 500. Однак це радше обсяг зареєстрованих інцидентів, а не повний перелік усіх скомпрометованих акаунтів.
| Деталі інциденту | Повідомлена інформація |
|---|---|
| Уражені версії | 3.0.1, 3.0.3, 3.0.4 і 3.0.5 |
| Дата додавання коду | 2025-02-19, у межах зміни під назвою "TON ecosystem" |
| Період активності | У різні моменти між лютим 2025 року та 2026-10-10 |
| Несанкціоновані транзакції | Щонайменше 8 повідомлень на загальну суму 17 286 DOT |
| Негайні дії | Створити нову пару ключів в іншому гаманці та перевести доступні для переказу кошти |
| Дії щодо заблокованих коштів | У повідомленні Полкадот користувачам зі стейкінговими або заблокованими для управління позиціями радять PAPI Rescue |
Чому рекомендовано створити нову пару ключів
Оскільки витік, за повідомленнями, стосувався самого приватного ключа, рекомендовано створити повністю нову пару ключів в іншому гаманці й перевести туди кошти. Зміна пароля, повторне встановлення розширення або подальше використання того самого ключа не усунуть проблему, якщо зловмисник уже має копію цього ключа.
У цьому полягає практична різниця між звичайною проблемою безпеки акаунта та компрометацією ключа гаманця. Пароль захищає доступ до застосунку, тоді як приватний ключ дає змогу авторизувати транзакції з акаунта. Саме тому рекомендовані дії передбачають повну заміну облікових даних, а не просто очищення наявної інсталяції.
Що робити, якщо DOT у стейкінгу або заблокований
У повідомленні Полкадот зазначено, що користувачі мають негайно перевести до нового гаманця всі активи, доступні для переказу. Для стейкінгових позицій або активів, заблокованих механізмами управління, воно спрямовує до PAPI Rescue. Це важливо, оскільки стейкінг, пули та позиції, пов’язані з голосуванням, можуть бути недоступними для негайного виведення навіть після визнання акаунта скомпрометованим.
У тому самому повідомленні також застерігають не довіряти непроханим пропозиціям відновлення коштів і не розкривати приватні ключі. У поточному звіті додано, що Полкадот не має офіційного акаунта підтримки в X, тому до будь-якого приватного повідомлення з обіцянкою повернути кошти слід ставитися обережно.
Етапи
Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.
Про огляд WEEX
Огляд WEEX — це центр ринкової та криптоаналітики, в якому висвітлено найактуальніші події у сферах Web3, ШІ та світових ринків. Отримуйте незалежні дослідження й поглиблену аналітику, щоб випереджати ринкові тенденції та знаходити нові торгові можливості.
Найновіші статті
БільшеАргентинський суд закрив кримінальну справу щодо $LIBRA проти Мілея
Buenos Aires Times повідомила, що 23 жовтня аргентинський суд закрив внутрішню кримінальну справу щодо $LIBRA. Інші медіа зазначають, що рішення також стосувалося Каріни Мілей і Гейдена Девіса.
КоїнDCX заперечує новий злам після відтоку $16 млн у TRON
КоїнDCX оскаржує звинувачення щодо відтоку приблизно $16 млн у мережі TRON, заявляючи, що позначені гаманці були скомпрометовані ще в липні 2025 року, а не зламані повторно. Головне питання — чи залишалися старі маршрути для депозитів активними ще довго після того інциденту.
Повідомлення: уразливість Electrum могла підміняти Bitcoin-платежі під час підвищення комісії
Згідно з наданим повідомленням, Electrum усунув уразливість, пов’язану з підвищенням комісії через RBF: зловмисний сервер міг домогтися підписання підробленої Bitcoin-транзакції. Водночас надані матеріали не містять прямого підтвердження релізу 4.8.3.
У пріоритетах перевірок SEC на 2027 рік токенізація опинилася у фокусі клірингових агентств
За повідомленнями, у пріоритетах перевірок SEC на 2027 фінансовий рік токенізацію включено до перевірок клірингових агентств і в межах Regulation SCI. Це вказує на посилення уваги до систем, засобів контролю та залежності від постачальників, а не на запровадження нового правила.
