В расширении Fearless Wallet нашли код, отправлявший ключи на сервер злоумышленников

О вредоносном коде в браузерном расширении Fearless Wallet сообщила Polkadot Community Foundation. По её данным, расширение с февраля 2025 года отправляло закрытые ключи пользователей на сервер, который контролируют злоумышленники.

Fearless Wallet работает с экосистемой Polkadot, но официальным кошельком сети не является. Восемь человек уже заявили о транзакциях, которых не совершали: в сумме 17 286 DOT, что фонд оценивает в $20 500. Связь этих операций с уязвимостью не доказана, но и не исключена.

Какие версии затронуты

Речь о версиях расширения 3.0.1, 3.0.3, 3.0.4 и 3.0.5. Код попал в открытый исходный код 19 февраля 2025 года вместе с крупным обновлением TON Ecosystem. Работать он мог в разные периоды — с февраля 2025-го по 10 октября 2026-го. В установленных версиях с 3.0.3 по 3.0.5 код никуда не делся, и его можно активировать снова.

Команда Polkadot предлагает считать скомпрометированными все аккаунты в этом расширении, которые использовались с февраля 2025 года. Смена пароля и переустановка расширения не помогут. Единственный выход — сгенерировать новую пару ключей в другом кошельке и перевести туда средства. Для Chrome вредоносный код подтверждён; пользователям Firefox, запускавшим расширение в тот же период, ключи тоже стоит считать скомпрометированными.

Что мешает быстро вывести средства

Активы в стейкинге, в пулах и в голосованиях забрать мгновенно нельзя, предупредила команда Polkadot. Там же предостерегли от обращения к тем, кто обещает вернуть украденное, и отметили: официального аккаунта поддержки пользователей в соцсети X у Polkadot нет.

В феврале 2026 года DOT достиг $1,75 в ожидании мартовского халвинга Polkadot. Халвинг должен был снизить годовой выпуск монеты со 120 млн до 55 млн, чтобы создать дефицит актива и ускорить рост его стоимости.