Peringatan keamanan Polkadot pada 21 Oktober menyebut ekstensi peramban Fearless Wallet telah membocorkan kunci privat pengguna. Siapa pun yang menggunakannya sejak Februari 2025 perlu menganggap akun tersebut telah disusupi. Versi yang dilaporkan terdampak adalah 3.0.1, 3.0.3, 3.0.4, dan 3.0.5. Pengguna disarankan membuat pasangan kunci baru di dompet lain, memindahkan dana yang dapat ditransfer, serta menggunakan PAPI Rescue untuk aset yang masih terkunci dalam staking atau posisi terkait tata kelola.

Versi Fearless Wallet yang terdampak

Versi ekstensi peramban yang dilaporkan terdampak adalah 3.0.1, 3.0.3, 3.0.4, dan 3.0.5. Cuplikan pemberitahuan keamanan di Forum Polkadot menyatakan versi-versi tersebut dapat mengirimkan kunci privat pengguna ke server yang dikendalikan penyerang ketika dompet dibuka. Cuplikan yang sama mengaitkan masalah ini dengan kode yang dilaporkan ditambahkan pada 2025-02-19 dalam perubahan berjudul "TON ecosystem," dengan aktivitas pada waktu berbeda antara Februari 2025 dan 2026-10-10.

Data yang tersedia belum menunjukkan skala penuh dari paparan tersebut. Laporan saat ini menyebut sedikitnya delapan pengguna melaporkan transaksi tidak sah senilai total 17.286 DOT, yang diperkirakan sekitar US$20.500. Namun, angka ini lebih tepat dipahami sebagai volume insiden yang dilaporkan, bukan pendataan seluruh akun yang telah disusupi.

Mengapa pasangan kunci baru menjadi solusi yang dilaporkan

Karena paparan yang dilaporkan melibatkan kunci privat itu sendiri, langkah yang direkomendasikan adalah membuat pasangan kunci yang sepenuhnya baru di dompet berbeda lalu memindahkan dana ke sana. Mengganti kata sandi, memasang ulang ekstensi, atau tetap menggunakan kunci yang sama tidak akan menyelesaikan masalah mendasar apabila penyerang sudah memiliki salinan kunci tersebut.

Inilah perbedaan praktis antara masalah keamanan akun biasa dan kompromi kunci dompet. Kata sandi melindungi akses ke aplikasi, sedangkan kunci privat dapat mengotorisasi transaksi pada akun. Karena itu, penanganannya berfokus pada penggantian kredensial akun secara menyeluruh, bukan sekadar membersihkan instalasi yang ada.

Langkah jika DOT di-staking atau terkunci

Peringatan Polkadot menyatakan pengguna tetap harus segera memindahkan aset apa pun yang dapat ditransfer ke dompet baru. Untuk posisi yang di-staking atau terkunci untuk tata kelola, pengguna diarahkan ke PAPI Rescue. Hal ini penting karena posisi staking, pool, dan yang terkait pemungutan suara mungkin tidak dapat langsung ditarik, bahkan setelah akun dianggap telah disusupi.

Peringatan yang sama juga mengingatkan pengguna agar tidak memercayai penawaran pemulihan yang tidak diminta dan tidak membagikan kunci privat. Laporan saat ini menambahkan bahwa Polkadot tidak memiliki akun dukungan resmi di X. Karena itu, setiap pesan langsung yang mengklaim dapat memulihkan dana perlu diperlakukan dengan hati-hati.