Polkadot сделала недвусмысленное предупреждение всем, кто пользовался браузерным расширением Fearless Wallet с февраля 2025 года: считать аккаунты скомпрометированными и немедленно переводить средства. Уведомление о безопасности опубликовано 21 октября 2026 года и описывает уязвимость, которая больше года отправляла приватные ключи пользователей на сервер, контролируемый атакующим.
По данным Polkadot, ключи передавали четыре версии расширения: 3.0.1, 3.0.3, 3.0.4 и 3.0.5. При разблокировке кошелька расширение отправляло приватный ключ на сервер злоумышленника. Вредоносный код вошел в проект 19 февраля 2025 года через запрос на слияние на GitHub, связанный с экосистемой TON. Утечка работала не постоянно – она была активна периодически как минимум до 10 октября 2026 года, то есть охватывала более 19 месяцев потенциальной уязвимости.
Ущерб уже конкретен: восемь пользователей сообщили о несанкционированных транзакциях на 17 286 DOT. Поскольку утекший ключ может лежать без дела до момента атаки, затронутых аккаунтов может быть больше, чем обворованных. На момент предупреждения магазин расширений Chrome все еще показывал затронутую версию – около 6 000 пользователей.
Polkadot отдельно подчеркнула: Fearless Wallet – сторонний продукт и никогда не был официальным кошельком сети. Хронология тоже вызывает вопросы: жалобы на похожие проблемы после обновления фиксировались еще в октябре 2025 года, а подробное публичное объяснение появилось только через год, в октябре 2026-го.
Что делать пострадавшим. Всем, кто взаимодействовал с уязвимым расширением с февраля 2025 года, следует считать связанные аккаунты скомпрометированными. Нужно сгенерировать новую ключевую пару в другом кошельке и сразу перевести средства; Polkadot рекомендовала Nova Wallet. Простого обновления Fearless Wallet недостаточно: если ключ уже утек, у атакующего остается его рабочая копия, и единственная реальная защита – новые ключи, которых он не видел. Для застейканных или заблокированных средств могут потребоваться дополнительные шаги; в ряде случаев Polkadot указывает на инструменты вроде PAPI Rescue. Отдельно фонд предупредил о второй угрозе – мошенничестве под видом восстановления средств: аферисты выдают себя за помощников и обещают вернуть потерянные средства.
Материал подготовлен исключительно в ознакомительно-информационных целях и не является финансовым советом и рекомендацией.
Похожие статьи
