Новости

Polkadot Community Foundation выпустила официальное предупреждение о вредоносном коде в браузерном расширении Fearless Wallet. Это расширение работает с экосистемой Polkadot, но официальным кошельком сети не является. По информации организации, код отправлял приватные ключи пользователей на сервер злоумышленников. Механизм действовал с февраля 2025 года, хотя активность проявлялась в разные периоды вплоть до 10 октября 2026 года. То есть это не была разовая ошибка одного обновления — проблема сохранялась в расширении долгое время.

На момент публикации предупреждения о несанкционированных транзакциях сообщили восемь пользователей. Общий объём операций составил 17 286 DOT, примерно $20 500. Сумма не самая крупная для крипторынка, но важен сам факт компрометации ключей: если приватные ключи попали на чужой сервер, под угрозой не только уже выведенные средства, но и остатки на счетах, а также любые будущие действия без смены ключей. Polkadot Community Foundation прямо указывает: скомпрометированными следует считать версии расширения 3.0.1, 3.0.3, 3.0.4 и 3.0.5.

Отдельно стоит история появления кода. По данным Polkadot, его добавили в открытый исходный код 19 февраля 2025 года в рамках крупного обновления TON Ecosystem. С тех пор код присутствовал в расширении и мог активироваться в разные периоды. Важно, что он остаётся в установленных версиях с 3.0.3 по 3.0.5 и теоретически может сработать снова, поэтому ждать, что проблема исчезнет после обновления, недостаточно.

Команда Polkadot советует считать скомпрометированными все аккаунты в Fearless Wallet, которые использовались с февраля 2025 года. Смена пароля или переустановка расширения не помогут: пароль не защищает ключи, если они уже ушли на сторонний сервер, а переустановка не создаёт новую пару ключей. Надёжнее создать новый кошелёк в другом приложении и перевести туда средства. Особенно это важно тем, кто хранил в расширении основные активы или регулярно им пользовался.

Вредоносный код подтверждён в версии для Chrome. Пользователям Firefox, запускавшим расширение в тот же период, тоже стоит считать ключи скомпрометированными. Даже если там код не подтверждён так явно, безопаснее исходить из худшего сценария и заменить ключи.

Есть и практическое ограничение: средства в стейкинге, пулах или голосованиях нельзя вывести мгновенно, поэтому часть активов какое-то время останется в сети. Стоит учесть это заранее и не откладывать подготовку нового кошелька. Кроме того, Polkadot предостерегает от общения с теми, кто предлагает вернуть средства: официального аккаунта поддержки в X у проекта нет, так что любые такие предложения требуют осторожности.

В целом ситуация показывает, что безопасность кошелька зависит не только от пароля и удобного интерфейса. Браузерное расширение имеет доступ к ключам и транзакциям, поэтому его исходный код и история обновлений напрямую влияют на сохранность средств.