Polkadot gab eine unmissverständliche Warnung an alle heraus, die seit Februar 2025 die Fearless Wallet-Browsererweiterung verwendet haben: Betrachten Sie Konten als kompromittiert und transferieren Sie sofort Gelder. Die Sicherheitsmitteilung wurde am 21. Oktober 2026 veröffentlicht und beschreibt eine Schwachstelle, die über ein Jahr lang die privaten Schlüssel der Benutzer an einen vom Angreifer kontrollierten Server sendete.
Laut Polkadot wurden die Schlüssel von vier Versionen der Erweiterung übertragen: 3.0.1, 3.0.3, 3.0.4 und 3.0.5. Beim Entsperren der Wallet sendete die Erweiterung den privaten Schlüssel an den Server des Angreifers. Der bösartige Code gelangte am 19. Februar 2025 durch eine Merge-Anfrage auf GitHub, die mit dem TON-Ökosystem verbunden war, in das Projekt. Das Leck war nicht konstant – es war zumindest bis zum 10. Oktober 2026 periodisch aktiv und umfasste mehr als 19 Monate potenzieller Schwachstelle.
Der Schaden ist bereits konkret: Acht Benutzer meldeten unautorisierte Transaktionen in Höhe von 17.286 DOT. Da der geleakte Schlüssel bis zum Zeitpunkt des Angriffs ungenutzt bleiben kann, könnte es mehr betroffene Konten geben als die, die beraubt wurden. Zum Zeitpunkt der Warnung zeigte der Chrome-Erweiterungsspeicher immer noch die betroffene Version – etwa 6.000 Benutzer.
Polkadot betonte ausdrücklich: Fearless Wallet ist ein Drittanbieterprodukt und war nie eine offizielle Wallet des Netzwerks. Der Zeitrahmen wirft ebenfalls Fragen auf: Beschwerden über ähnliche Probleme nach dem Update wurden bereits im Oktober 2025 aufgezeichnet, und eine detaillierte öffentliche Erklärung erschien erst ein Jahr später, im Oktober 2026.
Was betroffene Benutzer tun sollten. Jeder, der seit Februar 2025 mit der anfälligen Erweiterung interagiert hat, sollte die zugehörigen Konten als kompromittiert betrachten. Ein neues Schlüsselpaar sollte in einer anderen Wallet generiert und Gelder sofort transferiert werden; Polkadot empfahl Nova Wallet. Ein einfaches Update von Fearless Wallet reicht nicht aus: Wenn der Schlüssel bereits geleakt ist, behält der Angreifer eine funktionierende Kopie, und der einzige wirkliche Schutz sind neue Schlüssel, die sie nicht gesehen haben. Für gestakte oder gesperrte Gelder können zusätzliche Schritte erforderlich sein; in einigen Fällen weist Polkadot auf Tools wie PAPI Rescue hin. Die Stiftung warnte auch vor einer zweiten Bedrohung – Betrug unter dem Deckmantel der Wiederherstellung von Geldern: Betrüger geben sich als Helfer aus und versprechen, verlorene Gelder zurückzugeben.
Das Material dient ausschließlich zu Informationszwecken und stellt keinen finanziellen Rat oder Empfehlung dar.
Ähnliche Artikel
