Una alerta de seguridad de Polkadot del 21 de octubre señala que la extensión de navegador Fearless Wallet filtró las claves privadas de los usuarios y que quienes la hayan utilizado desde febrero de 2025 deben considerar comprometidas sus cuentas. Las versiones presuntamente afectadas son la 3.0.1, 3.0.3, 3.0.4 y 3.0.5. La recomendación es crear un nuevo par de claves en otra billetera, transferir los fondos disponibles y usar PAPI Rescue para los activos que permanezcan bloqueados en posiciones de staking o vinculadas a la gobernanza.

Qué versiones de Fearless Wallet fueron afectadas

Las versiones de la extensión de navegador presuntamente afectadas son la 3.0.1, 3.0.3, 3.0.4 y 3.0.5. Extractos de un aviso de seguridad del Foro de Polkadot indican que, al desbloquear la billetera, estas versiones podían enviar la clave privada del usuario a un servidor controlado por atacantes. Los mismos extractos vinculan el problema con un código que, según se informó, fue añadido el 2025-02-19 durante un cambio denominado "TON ecosystem", con actividad en distintos momentos entre febrero de 2025 y el 2026-10-10.

Las cifras disponibles no reflejan la magnitud total de la exposición. El reporte actual señala que al menos ocho usuarios denunciaron transacciones no autorizadas por un total de 17.286 DOT, estimados en unos US$20.500. Sin embargo, estos datos deben interpretarse como el volumen de incidentes reportados, no como un recuento de todas las cuentas comprometidas.

Por qué la solución indicada es crear un nuevo par de claves

Como la exposición reportada involucró la propia clave privada, la respuesta recomendada es crear un par de claves totalmente nuevo en una billetera diferente y transferir allí los fondos. Cambiar la contraseña, reinstalar la extensión o seguir usando la misma clave no resolvería el problema de fondo si un atacante ya posee una copia de esa clave.

Esta es la diferencia práctica entre un problema habitual de seguridad de cuenta y la vulneración de la clave de una billetera. Una contraseña protege el acceso a una aplicación, pero una clave privada puede autorizar transacciones en la cuenta. Por eso, la respuesta se centra en reemplazar por completo las credenciales de la cuenta, en vez de limitarse a limpiar la instalación existente.

Qué hacer si los DOT están en staking o bloqueados

La alerta de Polkadot indica que los usuarios deben transferir de inmediato a una nueva billetera todos los activos que puedan mover. Para las posiciones en staking o bloqueadas por gobernanza, remite a PAPI Rescue. Esto es relevante porque las posiciones de staking, pools y votación pueden no poder retirarse de manera inmediata, aun cuando la cuenta ya se considere comprometida.

La misma alerta también advierte que no se debe confiar en ofertas de recuperación no solicitadas ni compartir claves privadas. El reporte actual agrega que Polkadot no cuenta con una cuenta oficial de soporte en X, por lo que cualquier mensaje directo que prometa recuperar fondos debe tratarse con cautela.