ポルカドットが10月21日に出したセキュリティ警告によると、ブラウザ拡張機能「Fearless Wallet」でユーザーの秘密鍵が漏えいした。2025年2月以降に同拡張機能を利用したユーザーは、該当アカウントが侵害されたものとして扱うべきだという。影響を受けたと報告されているのはバージョン3.0.1、3.0.3、3.0.4、3.0.5で、別のウォレットで新しいキーペアを作成して送金可能な資金を移し、ステーキングやガバナンスでロックされている資産についてはPAPI Rescueを利用するよう案内している。

影響を受けたFearless Walletのバージョン

影響が報告されているブラウザ拡張機能のバージョンは3.0.1、3.0.3、3.0.4、3.0.5である。ポルカドット・フォーラムに掲載されたセキュリティ通知の抜粋によると、ウォレットのロック解除時、ユーザーの秘密鍵が攻撃者の管理するサーバーへ送信される可能性があった。同じ抜粋では、この問題は「TON ecosystem」と題した変更の際、2025-02-19に追加されたとされるコードに関連するとしており、活動は2025年2月から2026-10-10までの間に異なる時点で確認されたという。

公表されている数字だけでは、被害の全容は分からない。現時点の報告では、少なくとも8人のユーザーから計17,286 DOT、推定約20,500ドルに相当する不正取引の報告があった。ただし、これは侵害された全アカウントの数ではなく、報告された事案の規模として捉えるべきだ。

なぜ新しいキーペアの作成が必要なのか

今回報告された漏えいは秘密鍵自体に及ぶため、別のウォレットで完全に新しいキーペアを作成し、そこへ資金を移すことが推奨される。攻撃者がすでに当該鍵のコピーを保有している場合、パスワードの変更、拡張機能の再インストール、同じ鍵の継続使用では根本的な問題を解決できない。

これは通常のアカウントセキュリティ問題と、ウォレットの鍵が侵害された場合との実務上の違いである。パスワードはアプリへのアクセスを保護するが、秘密鍵はアカウント上の取引を承認できる。そのため、既存のインストール環境を整理するのではなく、アカウント認証情報そのものを全面的に置き換える対応が求められる。

DOTをステーキングまたはロックしている場合の対応

ポルカドットの警告は、送金可能な資産を直ちに新しいウォレットへ移すよう求めている。また、ステーキング中またはガバナンスでロックされたポジションについては、PAPI Rescueを案内している。アカウントを侵害済みと判断した後でも、ステーキング、プール、投票関連のポジションは即時に引き出せない場合があるためだ。

同警告は、求めていない資産回収の申し出を信用せず、秘密鍵を共有しないよう呼びかけている。今回の報告では、ポルカドットはX上に公式サポートアカウントを設けていないとしており、資金回収をうたうダイレクトメッセージには注意が必要だ。