Una alerta de seguridad de Polkadot publicada el 21 de octubre señala que la extensión para navegador Fearless Wallet filtró las claves privadas de los usuarios. Quienes la hayan utilizado desde febrero de 2025 deben considerar comprometidas esas cuentas. Las versiones presuntamente afectadas son la 3.0.1, 3.0.3, 3.0.4 y 3.0.5. La recomendación es crear un nuevo par de claves en otra billetera, transferir los fondos disponibles y utilizar PAPI Rescue para los activos que sigan bloqueados en posiciones de staking o gobernanza.

Qué versiones de Fearless Wallet resultaron afectadas

Las versiones afectadas de la extensión de navegador serían la 3.0.1, 3.0.3, 3.0.4 y 3.0.5. Extractos de un aviso de seguridad del Foro de Polkadot indican que, al desbloquearse la billetera, estas versiones podían enviar la clave privada del usuario a un servidor controlado por atacantes. Los mismos extractos vinculan el incidente con código que, según los reportes, se añadió el 2025-02-19 durante un cambio denominado "TON ecosystem", con actividad en distintos momentos entre febrero de 2025 y el 2026-10-10.

Las cifras disponibles no permiten dimensionar por completo el alcance de la exposición. El informe actual señala que al menos ocho usuarios reportaron transacciones no autorizadas por un total de 17,286 DOT, estimados en unos US$20,500. Sin embargo, esta cifra debe interpretarse como el volumen de incidentes reportados, no como un recuento de todas las cuentas comprometidas.

Por qué se recomienda crear un nuevo par de claves

Como la exposición reportada involucró la propia clave privada, la respuesta recomendada es crear un par de claves completamente nuevo en una billetera distinta y mover allí los fondos. Cambiar la contraseña, reinstalar la extensión o seguir usando la misma clave no resolvería el problema de fondo si un atacante ya cuenta con una copia de esa clave.

Esta es la diferencia práctica entre un problema habitual de seguridad de cuenta y el compromiso de la clave de una billetera. Una contraseña protege el acceso a una aplicación, pero una clave privada puede autorizar transacciones en la cuenta. Por ello, la respuesta se centra en reemplazar por completo las credenciales de la cuenta, en vez de limitarse a limpiar la instalación actual.

Qué hacer si los DOT están en staking o bloqueados

La alerta de Polkadot señala que los usuarios deben transferir de inmediato a una nueva billetera cualquier activo disponible. Para las posiciones en staking o bloqueadas por gobernanza, remite a PAPI Rescue. Esto es relevante porque las posiciones de staking, pools y votación podrían no poder retirarse de forma inmediata, incluso cuando la cuenta ya se considera comprometida.

La misma alerta también advierte que no se debe confiar en ofertas de recuperación no solicitadas ni compartir las claves privadas. El informe actual añade que Polkadot no tiene una cuenta oficial de soporte en X, por lo que todo mensaje directo que afirme poder recuperar fondos debe tratarse con cautela.