Polkadot警告：Fearless钱包扩展自2025年2月起泄露私钥_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Polkadot警告：Fearless钱包扩展自2025年2月起泄露私钥

2026-10-22 13:06:14

Polkadot 发布紧急安全警告：Fearless 钱包浏览器插件自2025年2月起泄露私钥

调查人员发现，多个版本的 Fearless 钱包浏览器插件秘密将用户的私钥传输至攻击者控制的服务器，该漏洞的影响时间可追溯至 2025 年 2 月。对此，Polkadot 社区基金会于 2026 年 10 月 21 日披露了这一漏洞，确认受影响的版本包括 3.0.1、3.0.3、3.0.4 和 3.0.5。

目前已有八名用户报告了可能与此事件相关的未经授权的交易，涉及金额达 17,286 DOT。所有自 2025 年 2 月以来使用该插件的用户均被指示放弃现有的钱包密钥，通过其他钱包应用程序生成新的凭据，并立即转移剩余资产。

恶意代码在 Fearless 钱包中潜伏超过一年

根据技术调查结果，恶意功能是通过一个名为“TON 生态系统”的大型代码更改，于 2025 年 2 月 19 日进入 Fearless 钱包的公共 GitHub 存储库的。该功能会在用户成功解锁插件时，提取恢复助记词或账户密钥库文件以及钱包密码。

窃取的信息使用空密码进行加密，这意味着保护机制是可逆的，随后这些数据被传输到外部服务器。后续版本引入了一个远程控制的配置机制，能够激活或禁用恶意行为。虽然该代码已于 2026 年 6 月 25 日从公共源代码中移除，但它仍嵌入在安装好的扩展程序版本 3.0.3 至 3.0.5 中。

截至 2026 年 10 月 10 日，远程机制在多个时间段内保持活跃状态。此前安装的副本仍可能重新激活此功能，即使最后一次已知的传输期结束，用户仍处于暴露风险之中。此事件与早期的 Trust Wallet 扩展程序泄露案类似，后者也涉及能够暴露钱包恢复凭据的恶意浏览器扩展代码。

八名用户报告未经授权的 DOT 转账

基金会的 10 月 21 日警告确定了八起涉及 17,286 DOT 的报告案例，但其附带的公开交易记录单独总计为 15,571.99 DOT 和 54,450.36 DED。DOT 数据之间的差异尚未得到解释。

报告的事故发生在 2025 年 9 月至 2026 年 9 月之间，其中有记录的最大案件涉及约 8,996 DOT 于 9 月 23 日从某个钱包转出。调查证实了 Chrome 扩展程序中存在恶意功能。Firefox 使用了相同的源代码，但其发布的扩展包无法进行检查。

经审查的 Android 和 iOS 应用程序不包含恶意代码。然而，先前将恢复凭据导入受影响浏览器插件的移动用户仍然面临风险。与近期涉及可预测钱包种子的 Qubic 钱包利用漏洞不同，Fearless 钱包的漏洞直接将现有的恢复凭据传输到外部目的地。

Polkadot 敦促立即迁移钱包

受影响用户必须通过另一个维护良好的钱包应用程序创建全新的密钥对。基金会建议 Nova Wallet 作为一种可能的替代方案。仅更改密码、重新安装 Fearless 钱包或将相同的恢复短语导入其他应用程序，并不能确保之前暴露的凭据安全。在 Ill Bloom 钱包缺陷事件后也曾出现类似要求，当时即使更换了钱包软件，易受攻击的恢复短语仍然不安全。

Polkadot 用户还应检查使用相同受损密钥在其他网络上持有的资产。锁定在质押、提名池或治理职位中的资金可能需要额外的恢复步骤才能转移。基金会已将无法访问或处于质押状态的资产用户引导至 PAPI Rescue，这是由 polkadot-api 团队开发的恢复工具。

遭受未经授权提款的用户应保留交易哈希值、钱包地址和支持证据，以便进行可能的执法调查。基金会还警告用户警惕非 solicited 的恢复服务和冒充的支持账户。Fearless 钱包仍然是独立开发的第三方应用程序，调查尚未公开确定是谁引入了恶意代码，以及最终有多少钱包凭据被暴露。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文