fearless

Die Polkadot Community Foundation (PCF) hat eine Sicherheitswarnung veröffentlicht.
Bei den Browser-Erweiterungen der Drittanbieter-Wallet Fearless
Version 3.0.1, 3.0.3, 3.0.4 und 3.0.5
wurde bösartiger Code entdeckt.

Beim Entsperren der Wallet
können private Schlüssel an einen Server der Angreifer gesendet werden.
Der Code gelangte offenbar um den 19. Februar 2025 mit einer Reihe von Änderungen in den öffentlichen Quellcode.
Vom Februar 2025 bis zum 10. Oktober 2026
war er in verschiedenen Zeiträumen aktiv.
Das Zeitfenster ist nicht gerade kurz.
Viele haben die Erweiterung womöglich schon längst verwendet, ohne es zu bemerken.

Wer diese Erweiterungen seit Februar 2025 verwendet hat,
sollte davon ausgehen, dass die Schlüssel kompromittiert sind.
Erstellt neue Schlüssel in einer anderen Wallet
und übertragt eure Vermögenswerte.
Das Ändern des Passworts hilft nicht.
Eine Neuinstallation hilft nicht.
Auch nur zur mobilen App zu wechseln, reicht nicht.
Wurde dieselbe Wiederherstellungsphrase importiert, besteht weiterhin Gefahr.
In den öffentlich verfügbaren Unterlagen zu den geprüften Mobilversionen wurde kein entsprechender Code gefunden.
Wurde die Wiederherstellungsphrase jedoch gemeinsam verwendet,
sollte sie trotzdem als kompromittiert gelten.

Bislang wurden etwa 8 Nutzer mit nicht autorisierten Transaktionen gemeldet,
insgesamt etwa 17286 Stück $DOT .
Die Summe ist nicht astronomisch,
aber bei privaten Schlüsseln gibt es keine kleinen Probleme.
Fearless ist keine offizielle Polkadot-Wallet.
Auch die offiziellen Stellen haben das betont.
Nur weil irgendwo „Polkadot“ steht, heißt das nicht, dass es ein offizielles Produkt ist.

In solchen Momenten tauchen besonders gern falsche Support-Mitarbeiter in Direktnachrichten auf.
Sie fragen nach deiner Wiederherstellungsphrase,
oder wollen, dass du ihnen Fernzugriff gewährst.
Betrachte sie alle als Betrüger.
Das war's mit der Sicherheitshinweisen.
Keine Kaufempfehlungen.
Keine Preisprognosen.

Noch einmal zum Zeitraum:
Der Code gelangte ungefähr am 2025-02-19 in den Quellcode.
Das Aktivitätsfenster reichte bis zum 2026-10-10.
Mehr als ein Jahr dazwischen.
Viele haben die Erweiterung längst als alltägliches Werkzeug genutzt.
Deshalb fordert die Warnung dazu auf, von kompromittierten Schlüsseln auszugehen.
Das soll keine Panik machen,
sondern ist die Annahme des schlimmstmöglichen Falls.

Die Reihenfolge der Maßnahmen habe ich nach dem Sinn der Warnung geordnet:
Erstens: Erstellt eine neue Wallet mit neuen Schlüsseln.
Zweitens: Übertragt eure Vermögenswerte.
Drittens: Betrachtet die alte Wiederherstellungsphrase als unbrauchbar.
Passwort ändern, neu installieren oder die App wechseln – alle drei Abkürzungen sind ausgeschlossen.
Manche wollen es sich einfach machen und nur die Erweiterung deinstallieren.
Damit lassen sie sich eine Hintertür offen.

Bislang wurden etwa 8 Opfer bestätigt,
mit insgesamt etwa 17286 $DOT .
Ob die Zahl weiter steigt,
ist unbekannt.
Maßgeblich sind die künftigen Updates der PCF.
Das reicht bereits als Beleg dafür, dass es keine Übung ist.

Der auf der Plattform gepostete Hinweis $DOT soll lediglich auf den Sicherheitsvorfall aufmerksam machen,
nicht aus der Angst Kapital schlagen.
Bei Beiträgen zu geleakten privaten Schlüsseln gehen mir zwei Arten von ständig wiederholten Aussagen besonders auf die Nerven:
Die eine fordert dich auf, sofort zum Marktpreis zu handeln.
Die andere sagt, es sei alles in Ordnung und die offiziellen Stellen würden schon zahlen.
Beides schreibe ich nicht.
Ich halte mich nur an die Schritte aus der Warnung und das bekannte Ausmaß der Schäden.

$DOT
#波卡社区基金会警示Fearless扩展泄露 #DOT #Fearless #钱包安全 #privater Schlüssel