ประกาศแจ้งเตือนด้านความปลอดภัยของ Polkadot เมื่อวันที่ 21 ตุลาคม ระบุว่าส่วนขยายเบราว์เซอร์ Fearless Wallet ทำให้คีย์ส่วนตัวของผู้ใช้รั่วไหล และผู้ที่ใช้งานมาตั้งแต่เดือนกุมภาพันธ์ 2025 ควรถือว่าบัญชีดังกล่าวถูกบุกรุกแล้ว เวอร์ชันที่มีรายงานว่าได้รับผลกระทบ ได้แก่ 3.0.1, 3.0.3, 3.0.4 และ 3.0.5 โดยแนะนำให้สร้างคู่กุญแจใหม่ในวอลเล็ตอื่น ย้ายสินทรัพย์ที่โอนได้ และใช้ PAPI Rescue สำหรับสินทรัพย์ที่ยังติดล็อกอยู่ในสถานะสเตกกิงหรือการกำกับดูแล

Fearless Wallet เวอร์ชันใดได้รับผลกระทบ

ส่วนขยายเบราว์เซอร์ที่มีรายงานว่าได้รับผลกระทบ ได้แก่ เวอร์ชัน 3.0.1, 3.0.3, 3.0.4 และ 3.0.5 โดยข้อความบางส่วนจากประกาศด้านความปลอดภัยใน Polkadot Forum ระบุว่า เมื่อปลดล็อกวอลเล็ต เวอร์ชันเหล่านี้อาจส่งคีย์ส่วนตัวของผู้ใช้ไปยังเซิร์ฟเวอร์ที่ผู้โจมตีควบคุมอยู่ ข้อความดังกล่าวยังเชื่อมโยงปัญหานี้กับโค้ดที่มีรายงานว่าถูกเพิ่มเมื่อวันที่ 2025-02-19 ระหว่างการเปลี่ยนแปลงชื่อ "TON ecosystem" และมีการทำงานในช่วงเวลาต่างกันตั้งแต่เดือนกุมภาพันธ์ 2025 ถึง 2026-10-10

ตัวเลขที่มีอยู่ยังไม่สะท้อนขนาดการรั่วไหลทั้งหมด รายงานปัจจุบันระบุว่ามีผู้ใช้อย่างน้อย 8 รายแจ้งธุรกรรมที่ไม่ได้รับอนุญาต รวม 17,286 DOT คิดเป็นมูลค่าราว 20,500 ดอลลาร์สหรัฐ แต่ตัวเลขนี้ควรตีความว่าเป็นปริมาณเหตุการณ์ที่ได้รับการรายงาน ไม่ใช่จำนวนบัญชีที่ถูกบุกรุกทั้งหมด

เหตุใดจึงต้องสร้างคู่กุญแจใหม่

เนื่องจากการรั่วไหลที่รายงานเกี่ยวข้องกับคีย์ส่วนตัวโดยตรง แนวทางที่แนะนำคือสร้างคู่กุญแจใหม่ทั้งหมดในวอลเล็ตอื่น แล้วโอนสินทรัพย์ไปยังวอลเล็ตนั้น การเปลี่ยนรหัสผ่าน ติดตั้งส่วนขยายใหม่ หรือใช้คีย์เดิมต่อไป จะไม่ช่วยแก้ปัญหาหากผู้โจมตีมีสำเนาของคีย์นั้นอยู่แล้ว

นี่คือความแตกต่างในทางปฏิบัติระหว่างปัญหาความปลอดภัยของบัญชีทั่วไปกับการที่คีย์วอลเล็ตถูกบุกรุก รหัสผ่านทำหน้าที่ปกป้องการเข้าถึงแอป แต่คีย์ส่วนตัวสามารถอนุมัติธุรกรรมจากบัญชีได้ ดังนั้นการรับมือจึงมุ่งเปลี่ยนข้อมูลรับรองของบัญชีทั้งหมด แทนที่จะเพียงจัดการการติดตั้งเดิม

ต้องทำอย่างไรหาก DOT ถูกสเตกหรือถูกล็อก

ประกาศของ Polkadot ระบุว่า ผู้ใช้ควรย้ายสินทรัพย์ที่ยังโอนได้ไปยังวอลเล็ตใหม่ทันที ส่วนสถานะที่สเตกหรือถูกล็อกจากการกำกับดูแล ให้ใช้ PAPI Rescue ซึ่งมีความสำคัญเพราะสินทรัพย์ในสเตกกิง พูล และสถานะที่เกี่ยวข้องกับการลงคะแนน อาจยังถอนออกไม่ได้ในทันที แม้บัญชีจะถูกถือว่าถูกบุกรุกแล้วก็ตาม

ประกาศเดียวกันยังเตือนว่าอย่าเชื่อข้อเสนอช่วยกู้สินทรัพย์ที่ไม่ได้ร้องขอ และอย่าเปิดเผยคีย์ส่วนตัว รายงานปัจจุบันเพิ่มเติมว่า Polkadot ไม่มีบัญชีฝ่ายสนับสนุนอย่างเป็นทางการบน X ดังนั้นข้อความโดยตรงที่อ้างว่าสามารถกู้คืนเงินได้ควรได้รับการปฏิบัติด้วยความระมัดระวัง