W komunikacie bezpieczeństwa z 21 października Polkadot poinformował, że rozszerzenie przeglądarkowe Fearless Wallet ujawniało klucze prywatne użytkowników. Każdy, kto korzystał z niego od lutego 2025 r., powinien uznać swoje konta za przejęte. Problem dotyczy wersji 3.0.1, 3.0.3, 3.0.4 i 3.0.5. Zalecane działania to utworzenie nowej pary kluczy w innym portfelu, przeniesienie środków możliwych do transferu oraz użycie PAPI Rescue w przypadku aktywów zablokowanych w stakingu lub mechanizmach zarządzania.

Których wersji Fearless Wallet dotyczy problem

Zgłoszenie wskazuje na wersje rozszerzenia przeglądarkowego 3.0.1, 3.0.3, 3.0.4 i 3.0.5. Według fragmentów komunikatu bezpieczeństwa na forum Polkadot, po odblokowaniu portfela mogły one wysyłać klucz prywatny użytkownika na serwer kontrolowany przez atakującego. Te same fragmenty wiążą problem z kodem, który miał zostać dodany 2025-02-19 w ramach zmiany zatytułowanej "TON ecosystem", przy czym aktywność odnotowywano w różnych momentach między lutym 2025 r. a 2026-10-10.

Dostępne dane nie pokazują pełnej skali ekspozycji. Aktualny raport podaje, że co najmniej ośmiu użytkowników zgłosiło nieautoryzowane transakcje na łączną kwotę 17 286 DOT, szacowaną na około 20 500 USD. Należy jednak traktować to jako liczbę zgłoszonych incydentów, a nie pełny wykaz wszystkich przejętych kont.

Dlaczego zalecane jest utworzenie nowej pary kluczy

Ponieważ zgłoszone ujawnienie dotyczyło samego klucza prywatnego, zalecaną reakcją jest utworzenie całkowicie nowej pary kluczy w innym portfelu i przeniesienie tam środków. Zmiana hasła, ponowna instalacja rozszerzenia ani dalsze używanie tego samego klucza nie rozwiążą problemu, jeśli atakujący ma już kopię tego klucza.

To zasadnicza różnica między zwykłym problemem bezpieczeństwa konta a kompromitacją klucza portfela. Hasło chroni dostęp do aplikacji, natomiast klucz prywatny może autoryzować transakcje na koncie. Dlatego zalecenia koncentrują się na całkowitej wymianie poświadczeń konta, a nie na porządkowaniu dotychczasowej instalacji.

Co zrobić, jeśli DOT są stakowane lub zablokowane

Alert Polkadot wskazuje, że użytkownicy powinni natychmiast przenieść do nowego portfela wszelkie aktywa możliwe do transferu, a w przypadku pozycji stakowanych lub zablokowanych na potrzeby zarządzania skorzystać z PAPI Rescue. Ma to znaczenie, ponieważ pozycje związane ze stakingiem, pulami i głosowaniem mogą nie być dostępne do natychmiastowej wypłaty, nawet gdy konto zostało uznane za przejęte.

Ten sam alert ostrzega także przed niezamówionymi ofertami odzyskania środków i przed udostępnianiem kluczy prywatnych. Aktualny raport dodaje, że Polkadot nie prowadzi oficjalnego konta wsparcia na X, dlatego każdą wiadomość prywatną obiecującą odzyskanie środków należy traktować z ostrożnością.