Polkadot emitió una advertencia inequívoca a todos los que usaron la extensión del navegador Fearless Wallet desde febrero de 2025: consideren las cuentas comprometidas y transfieran los fondos de inmediato. El aviso de seguridad fue publicado el 21 de octubre de 2026 y describe una vulnerabilidad que durante más de un año envió las claves privadas de los usuarios a un servidor controlado por un atacante.
Según Polkadot, las claves fueron transmitidas por cuatro versiones de la extensión: 3.0.1, 3.0.3, 3.0.4 y 3.0.5. Al desbloquear la billetera, la extensión enviaba la clave privada al servidor del atacante. El código malicioso ingresó al proyecto el 19 de febrero de 2025 a través de una solicitud de fusión en GitHub asociada con el ecosistema TON. La fuga no fue constante; estuvo activa periódicamente al menos hasta el 10 de octubre de 2026, cubriendo más de 19 meses de potencial vulnerabilidad.
El daño ya es específico: ocho usuarios reportaron transacciones no autorizadas por un total de 17,286 DOT. Dado que la clave filtrada puede permanecer sin usar hasta el momento del ataque, puede haber más cuentas afectadas que las robadas. Al momento de la advertencia, la tienda de extensiones de Chrome aún mostraba la versión afectada, con aproximadamente 6,000 usuarios.
Polkadot enfatizó específicamente: Fearless Wallet es un producto de terceros y nunca fue una billetera oficial de la red. La línea de tiempo también plantea preguntas: las quejas sobre problemas similares después de la actualización se registraron en octubre de 2025, y una explicación pública detallada apareció solo un año después, en octubre de 2026.
Qué deben hacer los usuarios afectados. Todos los que interactuaron con la extensión vulnerable desde febrero de 2025 deben considerar las cuentas asociadas como comprometidas. Se debe generar un nuevo par de claves en otra billetera y transferir los fondos de inmediato; Polkadot recomendó Nova Wallet. Una simple actualización de Fearless Wallet no es suficiente: si la clave ya se ha filtrado, el atacante conserva una copia funcional, y la única protección real son nuevas claves que no han visto. Para fondos apostados o bloqueados, pueden ser necesarios pasos adicionales; en algunos casos, Polkadot señala herramientas como PAPI Rescue. La fundación también advirtió de una segunda amenaza: el fraude bajo la apariencia de recuperación de fondos; los estafadores se hacen pasar por ayudantes y prometen devolver los fondos perdidos.
Este material se ha preparado exclusivamente con fines informativos y no constituye asesoramiento ni recomendación financiera.
Artículos relacionados
