Polkadot警告Fearless Wallet用户关于密钥泄露

Polkadot 向自 2025 年 2 月以来使用 Fearless Wallet 浏览器扩展的所有人发出明确警告：考虑账户已被泄露并立即转移资金。安全通知于 2026 年 10 月 21 日发布，描述了一个漏洞，该漏洞在一年多的时间里将用户的私钥发送到由攻击者控制的服务器。

根据 Polkadot 的说法，密钥是通过四个版本的扩展程序传输的：3.0.1、3.0.3、3.0.4 和 3.0.5。在解锁钱包时，扩展程序将私钥发送到攻击者的服务器。恶意代码于 2025 年 2 月 19 日通过与 TON 生态系统相关的 GitHub 合并请求进入项目。泄漏并不是持续的——至少在 2026 年 10 月 10 日之前，它是周期性活跃的，涵盖了超过 19 个月的潜在漏洞。

损害已经具体化：八名用户报告了未经授权的交易，总金额为 17,286 DOT。由于泄露的密钥可能会在攻击时保持未使用状态，因此受影响的账户可能比被盗的账户更多。在警告发布时，Chrome 扩展商店仍显示受影响的版本——大约 6,000 名用户。

Polkadot 特别强调：Fearless Wallet 是第三方产品，从来不是网络的官方钱包。时间线也引发了疑问：关于更新后类似问题的投诉早在 2025 年 10 月就已记录，而详细的公开解释仅在一年后的 2026 年 10 月出现。

受影响的用户应该怎么做。自 2025 年 2 月以来与易受攻击的扩展程序交互的所有人都应考虑相关账户已被泄露。应在另一个钱包中生成新的密钥对并立即转移资金；Polkadot 推荐使用 Nova Wallet。简单更新 Fearless Wallet 并不够：如果密钥已经泄露，攻击者保留了一个有效的副本，唯一真正的保护是他们未见过的新密钥。对于质押或锁定的资金，可能需要采取额外步骤；在某些情况下，Polkadot 指出可以使用 PAPI Rescue 等工具。基金会还警告第二个威胁——以资金恢复为幌子的欺诈：骗子冒充助手并承诺归还丢失的资金。