Fearless-Wallet-Erweiterung ließ 20 Monate lang private Schlüssel durchsickern: 8 Nutzer um 17.286 $DOT bestohlen, Stiftung fordert zur Übertragung der Gelder auf
Das Fazit vorweg: Das war keine gewöhnliche Sicherheitslücke, sondern bösartiger Code, der fast 20 Monate lang im Open-Source-Code versteckt war. Die gefährlichste Form einer Hot Wallet im Browser ist ausgerechnet die, die scheinbar die ganze Zeit normal funktioniert.
Die Fakten stammen aus einer Sicherheitsmitteilung, die die Polkadot Community Foundation am 21. Oktober veröffentlichte (am selben Tag berichtet von Cryptopolitan, Crypto Briefing und CoinMarketCap):
1. Der bösartige Code gelangte am 19. Februar 2025 über GitHub PR #1022 (ein großes Update mit dem Titel „TON ecosystem“) in den öffentlichen Quellcode der Fearless-Wallet-Erweiterung. Er wurde bis zum 10. Oktober 2026 immer wieder aktiviert – über einen Zeitraum von rund 571 Tagen. Betroffen waren die vier Versionen 3.0.1, 3.0.3, 3.0.4 und 3.0.5 der Browser-Erweiterung.
2. Auslöser war lediglich das normale Entsperren der Wallet durch den Nutzer: Die Erweiterung erfasste die Wiederherstellungsphrase oder die Sicherungsdatei zusammen mit dem Wallet-Passwort, „verschlüsselte“ sie mit einem leeren Passwort (sodass sie von jedem entschlüsselt werden konnte) und schickte sie an einen externen Server. Am Tag der Mitteilung, dem 21. Oktober, war Version 3.0.5 weiterhin im Chrome Web Store verfügbar und wurde dort mit rund 6.000 Nutzern angezeigt. Für die Firefox-Version wurde bestätigt, dass sie denselben Code enthielt; die von Android und iOS geprüften Versionen waren davon nicht betroffen.
3. Bestätigte Verluste: 8 Nutzer meldeten damit zusammenhängende, nicht autorisierte Überweisungen in Höhe von insgesamt 17.286 DOT. Zum Zeitpunkt des Berichts von CoinMarketCap entsprach das einem Wert von rund 20.500 US-Dollar. Da die durchgesickerten privaten Schlüssel jederzeit zum Abgreifen von Geldern genutzt werden können, könnte die Zahl der tatsächlich betroffenen Konten weit über den 8 gemeldeten Fällen liegen.
Meine Einschätzung:
Erstens: Ein Passwortwechsel oder eine Neuinstallation der Erweiterung rettet bereits kompromittierte private Schlüssel nicht. Die Stiftung formulierte es so: „Sobald ein privater Schlüssel offengelegt wurde, ist er bei jeder Verwendung nicht mehr sicher.“ Die einzige Lösung: eine neue Wallet erstellen, eine neue Wiederherstellungsphrase generieren und die Gelder übertragen.
Zweitens: Die Stiftung betonte ausdrücklich, dass Fearless „nie eine offizielle Wallet war“. Jedes automatische Update einer Erweiterung eines Drittanbieters bedeutet, dass man sein Vertrauen erneut auslagert – und Nutzer merken das oft gar nicht.
Drittens: Der bösartige Code wurde am 25. Juni 2026 aus dem Quellcode entfernt. In den bereits installierten älteren Versionen 3.0.3–3.0.5 ist er jedoch noch vorhanden, und ein Fernschalter kann ihn jederzeit wieder aktivieren. Die Gefahr steckt nicht im Code-Repository, sondern in der Erweiterungsliste deines Browsers.
Für Nutzer, die ihre Coins langfristig einfach liegen lassen, ist dieser Vorfall besonders alarmierend: Bei einem Leak privater Schlüssel gibt es kein „Zeitfenster für Gegenmaßnahmen“, sondern nur eine „Dauer der Gefährdung“. Wallet-Erweiterungen im Browser eignen sich für Taschengeld, nicht als Tresor.
Nur meine persönliche Meinung, keine Anlageberatung.
#Polkadot #钱包安全 $DOT
Das Fazit vorweg: Das war keine gewöhnliche Sicherheitslücke, sondern bösartiger Code, der fast 20 Monate lang im Open-Source-Code versteckt war. Die gefährlichste Form einer Hot Wallet im Browser ist ausgerechnet die, die scheinbar die ganze Zeit normal funktioniert.
Die Fakten stammen aus einer Sicherheitsmitteilung, die die Polkadot Community Foundation am 21. Oktober veröffentlichte (am selben Tag berichtet von Cryptopolitan, Crypto Briefing und CoinMarketCap):
1. Der bösartige Code gelangte am 19. Februar 2025 über GitHub PR #1022 (ein großes Update mit dem Titel „TON ecosystem“) in den öffentlichen Quellcode der Fearless-Wallet-Erweiterung. Er wurde bis zum 10. Oktober 2026 immer wieder aktiviert – über einen Zeitraum von rund 571 Tagen. Betroffen waren die vier Versionen 3.0.1, 3.0.3, 3.0.4 und 3.0.5 der Browser-Erweiterung.
2. Auslöser war lediglich das normale Entsperren der Wallet durch den Nutzer: Die Erweiterung erfasste die Wiederherstellungsphrase oder die Sicherungsdatei zusammen mit dem Wallet-Passwort, „verschlüsselte“ sie mit einem leeren Passwort (sodass sie von jedem entschlüsselt werden konnte) und schickte sie an einen externen Server. Am Tag der Mitteilung, dem 21. Oktober, war Version 3.0.5 weiterhin im Chrome Web Store verfügbar und wurde dort mit rund 6.000 Nutzern angezeigt. Für die Firefox-Version wurde bestätigt, dass sie denselben Code enthielt; die von Android und iOS geprüften Versionen waren davon nicht betroffen.
3. Bestätigte Verluste: 8 Nutzer meldeten damit zusammenhängende, nicht autorisierte Überweisungen in Höhe von insgesamt 17.286 DOT. Zum Zeitpunkt des Berichts von CoinMarketCap entsprach das einem Wert von rund 20.500 US-Dollar. Da die durchgesickerten privaten Schlüssel jederzeit zum Abgreifen von Geldern genutzt werden können, könnte die Zahl der tatsächlich betroffenen Konten weit über den 8 gemeldeten Fällen liegen.
Meine Einschätzung:
Erstens: Ein Passwortwechsel oder eine Neuinstallation der Erweiterung rettet bereits kompromittierte private Schlüssel nicht. Die Stiftung formulierte es so: „Sobald ein privater Schlüssel offengelegt wurde, ist er bei jeder Verwendung nicht mehr sicher.“ Die einzige Lösung: eine neue Wallet erstellen, eine neue Wiederherstellungsphrase generieren und die Gelder übertragen.
Zweitens: Die Stiftung betonte ausdrücklich, dass Fearless „nie eine offizielle Wallet war“. Jedes automatische Update einer Erweiterung eines Drittanbieters bedeutet, dass man sein Vertrauen erneut auslagert – und Nutzer merken das oft gar nicht.
Drittens: Der bösartige Code wurde am 25. Juni 2026 aus dem Quellcode entfernt. In den bereits installierten älteren Versionen 3.0.3–3.0.5 ist er jedoch noch vorhanden, und ein Fernschalter kann ihn jederzeit wieder aktivieren. Die Gefahr steckt nicht im Code-Repository, sondern in der Erweiterungsliste deines Browsers.
Für Nutzer, die ihre Coins langfristig einfach liegen lassen, ist dieser Vorfall besonders alarmierend: Bei einem Leak privater Schlüssel gibt es kein „Zeitfenster für Gegenmaßnahmen“, sondern nur eine „Dauer der Gefährdung“. Wallet-Erweiterungen im Browser eignen sich für Taschengeld, nicht als Tresor.
Nur meine persönliche Meinung, keine Anlageberatung.
#Polkadot #钱包安全 $DOT