Um alerta de segurança da Polkadot, publicado em 21 de outubro, informa que a extensão de navegador Fearless Wallet vazou as chaves privadas dos usuários. Quem utilizou a carteira desde fevereiro de 2025 deve considerar as contas comprometidas. As versões afetadas seriam 3.0.1, 3.0.3, 3.0.4 e 3.0.5. A orientação é criar um novo par de chaves em outra carteira, transferir os fundos disponíveis e recorrer ao PAPI Rescue para ativos ainda bloqueados em staking ou em posições relacionadas à governança.

Quais versões da Fearless Wallet foram afetadas

As versões afetadas da extensão de navegador seriam 3.0.1, 3.0.3, 3.0.4 e 3.0.5. Trechos de um aviso de segurança no Fórum Polkadot afirmam que elas poderiam enviar a chave privada do usuário a um servidor controlado por invasores quando a carteira fosse desbloqueada. Os mesmos trechos vinculam o problema a um código que teria sido adicionado em 19 de fevereiro de 2025, durante uma alteração intitulada "TON ecosystem", com atividade em diferentes momentos entre fevereiro de 2025 e 10 de outubro de 2026.

Os dados disponíveis não revelam a dimensão total da exposição. O relatório atual aponta que pelo menos oito usuários denunciaram transações não autorizadas que somam 17.286 DOT, estimados em cerca de US$ 20.500. Esse número, porém, deve ser entendido como o volume de incidentes reportados, e não como um levantamento de todas as contas comprometidas.

Por que criar um novo par de chaves é a solução indicada

Como a exposição relatada envolveu a própria chave privada, a recomendação é criar um par de chaves inteiramente novo em outra carteira e transferir os fundos para lá. Trocar a senha, reinstalar a extensão ou continuar usando a mesma chave não resolveria o problema se um invasor já tiver uma cópia dessa chave.

Essa é a diferença prática entre um problema comum de segurança de conta e o comprometimento da chave de uma carteira. A senha protege o acesso a um aplicativo, mas a chave privada pode autorizar transações na conta. Por isso, a resposta recomendada é substituir completamente as credenciais da conta, em vez de apenas limpar a instalação existente.

O que fazer se os DOT estiverem em staking ou bloqueados

O alerta da Polkadot recomenda que os usuários transfiram imediatamente para uma nova carteira todos os ativos que já possam ser movimentados. Para posições em staking ou bloqueadas por governança, o aviso indica o PAPI Rescue. Isso é relevante porque posições de staking, pools e votação podem não estar disponíveis para saque imediato, mesmo depois de a conta ser considerada comprometida.

O mesmo alerta também adverte os usuários a não confiarem em ofertas não solicitadas de recuperação nem compartilharem suas chaves privadas. O relatório atual acrescenta que a Polkadot não possui uma conta oficial de suporte no X; portanto, qualquer mensagem direta que prometa recuperar fundos deve ser tratada com cautela.