Polkadot披露钱包扩展程序安全漏洞

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

Polkadot 发布安全警报：Fearless 钱包插件私钥泄露事件

Polkadot 社区基金会已发布紧急安全警报，指出第三方钱包扩展程序 Fearless Wallet 存在私钥泄露风险。基金会建议用户立即将资金转移至新钱包，并提醒所有依赖该扩展程序的用户将其账户视为已 compromised（受感染/不安全），尽快迁移包括 $DOT 在内的资产。

警报详情

Polkadot 社区基金会警告称，Fearless 浏览器扩展程序的版本 3.0.1、3.0.3、3.0.4 和 3.0.5 包含恶意代码。当用户解锁钱包时，其私钥可能会被发送至攻击者的服务器。这段恶意代码于 2025 年 2 月 19 日作为名为“TON 生态系统”的重大更新的一部分被引入扩展程序的公开源代码中，并一直间歇性激活至 2026 年 10 月 10 日。

这意味着任何使用受影响构建版本的潜在暴露期长达约二十个月。由于泄露的密钥可能闲置未用，直到攻击者决定行动，因此受影响的账户数量可能远超实际被盗资金的账户数量。

目前已有损失报告。八名用户报告了可能与该漏洞相关的未经授权的交易，涉及 17,286 枚 DOT。尽管基金会敦促持有者生成新的密钥，但 Chrome 应用商店仍显示有受影响版本在运行，涉及约 6,000 名用户。此外，值得注意的是，Fearless Wallet 由独立团队开发，并非 Polkadot 官方钱包。

用户应采取的措施

基金会建议自 2025 年 2 月以来使用过受影响插件的用户立即生成新的密钥并转移资产。仅更改密码或重新安装插件是不够的。用户应在不同的钱包中创建密钥，并将资产跨链转移。

移动端用户的情况稍好，但并非完全安全。虽然尚未在移动平台上检测到该恶意代码，但此前将相同私钥导入浏览器插件的用户也应被视为账户已受影响。Chrome 版本确认为受影响版本，Firefox 版本也使用了相同的代码。

对于资产处于质押、提名池或治理锁定状态的用户，需要额外执行一步操作。据 KuCoin News 报道，polkadot-api 团队已开发出一个名为 PAPI Rescue 的工具，以帮助恢复此类资金。

总结与警示

此次事件再次提醒我们，基于浏览器的钱包将私钥存储在依赖每次代码更新都值得信赖的环境中。使用任何浏览器扩展程序的 $DOT 持有者都应审查自己安装了哪些钱包，以及导入了哪些密钥。