• حذّرت مؤسسة مجتمع Polkadot مستخدمي Fearless Wallet في 21 أكتوبر من اعتبار حساباتهم مخترقة

• أرسلت شفرة خبيثة في الإصدارات 3.0.1 و3.0.3 و3.0.4 و3.0.5 المفاتيح الخاصة إلى tonscanner.org

• أبقى مفتاح تبديل عن بُعد تسريب البيانات نشطًا لنحو 571 يومًا على مدى تسع فترات

مفاتيح سُرقت منذ فبراير 2025

أبلغت مؤسسة مجتمع Polkadot كل من استخدم إضافة المتصفح Fearless Wallet في أي وقت منذ 19 فبراير 2025 بأن عليه اعتبار كل حساب يحتفظ بعملة Polkadot (DOT) أو بأي أصل آخر فيها مخترقًا، ونقل الأموال فورًا. وجاء التحذير، الصادر في 21 أكتوبر 2026، عقب اكتشاف شفرة داخل الإضافة كانت تنسخ المفاتيح الخاصة إلى خادم يتحكم فيه مهاجم، وظلت نشطة على فترات حتى 10 أكتوبر 2026، أي خلال فترة امتدت لنحو 20 شهرًا. احتوت أربعة إصدارات على الشفرة: 3.0.1 و3.0.3 و3.0.4 و3.0.5. وكانت تُفعّل عندما يفتح المستخدم المحفظة بكلمة المرور الصحيحة. ويشرح تحليل تقني أُدرج رابطه في الإشعار آلية عملها: جمعت الإضافة عبارة الاسترداد لكل حساب، أو العبارة الأولية الرئيسية لمحفظة HD، أو ملف النسخة الاحتياطية، إلى جانب كلمة مرور المحفظة. ثم شفّرت هذه البيانات بكلمة مرور فارغة، وهي خطوة يمكن لأي شخص عكسها، ورفعت الناتج إلى tonscanner.org. دخلت الشفرة إلى المشروع عبر طلب السحب رقم #1022 على GitHub، الذي دُمج ضمن تغيير أكبر بعنوان «منظومة TON» في الشفرة المصدرية العامة للإضافة. كما قرأت الإصدارات من 3.0.3 إلى 3.0.5 ملف إعدادات في مستودع عام منفصل، كان بمثابة مفتاح تشغيل وإيقاف عن بُعد. والتوجيه لا يستثني أحدًا. فالمفتاح الخاص يمنح سيطرة كاملة على الحساب، لذا فإن تغيير كلمة المرور أو إعادة تثبيت الإضافة لا يغيّر شيئًا؛ إذ يمكن لمن يملك المفتاح توقيع التحويلات وإفراغ الرصيد. ونصحت المؤسسة بإنشاء زوج مفاتيح جديد في محفظة عملات مشفرة مختلفة تُصان جيدًا، ونقل الأموال من الحساب القديم على كل سلسلة تعامل معها، ويُفضّل فعل ذلك من دون فتح Fearless مجددًا. وذكرت Nova Wallet كأحد الخيارات للحساب الجديد. وكان سعر Polkadot يبلغ 1.17 دولار وقت تداول الإشعار، مرتفعًا بنسبة 3% خلال سبعة أيام ومنخفضًا بنسبة 62.7% على مدار العام.

ثمانية تقارير، 17,286 DOT غير مؤكدة

يسجل سجل النشاط العام في GitHub أن المفتاح البعيد كان مفعّلاً خلال تسع فترات منفصلة بين 7 مارس 2025 وموعد 10 أكتوبر 2026، بإجمالي يقارب 571 يوماً. أُزيل الشيفرة من مصدر المشروع في 25 يونيو 2026، لكن النسخ المثبتة من الإصدارات 3.0.3 إلى 3.0.5 لا تزال تتضمنها. كل عملية فتح قفل تجعل تلك النسخ تتحقق من المفتاح البعيد، وهو متوقف حالياً لكنه يمكن إعادة تشغيله. نصحت المؤسسة المستخدمين بتحريك الأموال أولاً، ثم إلغاء تثبيت الإضافة. شغّل إصدار Firefox الشيفرة نفسها ولم يعد مدرجاً؛ كما ينبغي اعتبار المفاتيح المستخدمة فيه داخل تلك الفترة مخترقة أيضاً. لا تحتوي تطبيقات Android وiOS التي جرى فحصها على أي من الشيفرة، رغم أن الإشعار يضيف أن أي مفتاح خاص كان موجوداً في الإضافة يُعد مخترقاً أينما استُخدم ذلك المفتاح. وبحكم تصميمه، فإن امتداد المتصفح هو محفظة ساخنة، يحتفظ بالمفاتيح على جهاز متصل بالإنترنت، وظل الإصدار 3.0.5 قابلاً للتنزيل في متجر Chrome مع قاعدة مستخدمين تبلغ 6,000 في 21 أكتوبر. تقدم ثمانية مستخدمين بإبلاغات عن تحويلات غير مصرح بها قد تكون مرتبطة بالثغرة، بإجمالي مُعلن قدره 17,286 DOT؛ ويذكر سجل القضية أن تلك البلاغات لا تثبت السرقة. الحالة الأولى مؤرخة في 30 سبتمبر 2025؛ وتبعتها منشور على Reddit في 6 أكتوبر 2025، حيث قال عدة مستخدمين إن الأموال تحركت لحظة فتحهم للمحفظة. لا يمكن لعملات الستاكينغ، وودائع مجمعات الترشيح، والعملة المقفلة لأغراض الحوكمة أن تتحرك فوراً. يواجه المرشحون فترة فك رهن تتراوح من يوم إلى يومين كحد أدنى، ويوجه الإشعار المستخدمين إلى PAPI Rescue، وهي أداة من فريق polkadot-api، قبل أي عملية سحب رهن. وأضافت المؤسسة أن لا أحد، بما في ذلك فريق PAPI Rescue، يحتاج إلى المفاتيح الخاصة للمستخدم؛ وأي شخص يراسلك أولاً عارضاً استرداد الأموال فهو غير موثوق. وأوضحت أن Fearless Wallet تُبنى بواسطة فريق مستقل، وليست ولم تكن يوماً محفظة بولكادوت رسمية. والشهر مزدحم بالفعل بالنسبة للسلسلة: فقد أُطلق العملة المستقرة dotUSD في وقت سابق من أكتوبر، كما تتم تغطية استفتاء أولوية DAO بشأن dotUSD بشكل منفصل.

المفتاح البعيد متوقف، حالياً

التعرض دائم بحكم التصميم: لا يمكن تدوير مفتاح خاص مسرّب، بل يمكن فقط نقل الأموال بعيداً عنه. وما لا يتضمنه السجل حتى الآن هو الحجم. لم تنشر المؤسسة أي عدد للحسابات المتأثرة، كما أن 17,286 DOT المذكورة في السجل هي بلاغات وليست سرقة مؤكدة. وهناك ملاحظتان ستغيران هذه الصورة، ويعرّف الإشعار كلتيهما: إعادة تشغيل المفتاح البعيد، أو جولة جديدة من التحويلات عند وقت الفتح مثل الحالات الثمانية الموصوفة. ولم يُسجل أي منهما منذ 10 أكتوبر 2026. وبالنسبة للمفاتيح التي يجب أن تبقى غير متصلة بالإنترنت بعد الترحيل، فإن المحفظة الباردة هي النهاية العملية، ويغطي شرحنا لـ Cypherock X1 إحدى هذه الإعدادات.