أصدرت Polkadot تحذيرًا لا لبس فيه لكل من استخدم إضافة متصفح Fearless Wallet منذ فبراير 2025: اعتبروا الحسابات مخترقة وقوموا بنقل الأموال فورًا. تم نشر إشعار الأمان في 21 أكتوبر 2026، ويصف ثغرة أرسلت لأكثر من عام مفاتيح المستخدمين الخاصة إلى خادم يسيطر عليه مهاجم.
وفقًا لـ Polkadot، تم نقل المفاتيح بواسطة أربع نسخ من الإضافة: 3.0.1، 3.0.3، 3.0.4، و3.0.5. عند فتح المحفظة، أرسلت الإضافة المفتاح الخاص إلى خادم المهاجم. دخل الكود الضار إلى المشروع في 19 فبراير 2025، من خلال طلب دمج على GitHub مرتبط بنظام TON. لم يكن التسريب مستمرًا - كان نشطًا بشكل دوري على الأقل حتى 10 أكتوبر 2026، مما يغطي أكثر من 19 شهرًا من الثغرة المحتملة.
الأضرار محددة بالفعل: أبلغ ثمانية مستخدمين عن معاملات غير مصرح بها بلغت 17,286 DOT. نظرًا لأن المفتاح المسرب يمكن أن يظل غير مستخدم حتى لحظة الهجوم، قد يكون هناك المزيد من الحسابات المتضررة من تلك التي تم سرقتها. في وقت التحذير، لا يزال متجر إضافات Chrome يعرض النسخة المتضررة - حوالي 6,000 مستخدم.
أكدت Polkadot بشكل خاص: أن Fearless Wallet هو منتج تابع لجهة خارجية ولم يكن أبدًا محفظة رسمية للشبكة. كما أن الجدول الزمني يثير تساؤلات: تم تسجيل شكاوى حول مشكلات مماثلة بعد التحديث في أكتوبر 2025، وظهرت توضيحات عامة مفصلة فقط بعد عام، في أكتوبر 2026.
ما يجب على المستخدمين المتضررين فعله. يجب على كل من تعامل مع الإضافة المعرضة للخطر منذ فبراير 2025 اعتبار الحسابات المرتبطة مخترقة. يجب إنشاء زوج مفاتيح جديد في محفظة أخرى ونقل الأموال فورًا؛ أوصت Polkadot باستخدام Nova Wallet. لا يكفي تحديث بسيط لـ Fearless Wallet: إذا كان المفتاح قد تسرب بالفعل، يحتفظ المهاجم بنسخة عاملة، والحماية الحقيقية الوحيدة هي المفاتيح الجديدة التي لم يروها. بالنسبة للأموال المرهونة أو المقفلة، قد تكون هناك خطوات إضافية مطلوبة؛ في بعض الحالات، تشير Polkadot إلى أدوات مثل PAPI Rescue. كما حذرت المؤسسة من تهديد ثانٍ - الاحتيال تحت ستار استرداد الأموال: يتظاهر المحتالون بأنهم مساعدون ويعدون بإعادة الأموال المفقودة.
أُعدت هذه المادة لأغراض معلوماتية وتعريفية فقط ولا تشكل نصيحة أو توصية مالية.
مقالات ذات صلة
