Ein Wallet-Plugin hat seit Februar 2025 heimlich private Schlüssel nach außen gesendet. Erst nach fast 20 Monaten wurde es entdeckt.
Betroffen war die Browser-Erweiterung von Fearless Wallet, einer von einem unabhängigen Team gepflegten Drittanbieter-Wallet für $DOT und das Kusama-Ökosystem. Im Chrome Web Store waren 6.000 Nutzer angegeben.
Gestern Abend gegen zehn gab es von Polkadot eine Sicherheitswarnung. Bei der Untersuchung stellte das Technikteam fest, dass am 19. Februar 2025 bei einer Codeänderung, die als Teil des „TON-Ökosystems“ ausgegeben wurde, Schadcode eingeschleust worden war. In den Versionen 3.0.1, 3.0.3, 3.0.4 und 3.0.5 konnte jedes Mal, wenn Nutzer ihr Wallet mit ihrem Passwort entsperrten, ihr privater Schlüssel an den Server der Angreifer gesendet werden. Der Code funktionierte mal und mal nicht – bis zum 10. Oktober dieses Jahres.
Bislang haben sich acht Opfer gemeldet. Insgesamt wurden ihnen 17.286 DOT entwendet, nach dem aktuellen Kurs von etwa 1,11 US-Dollar ungefähr 19.000 US-Dollar. Kein großer Betrag. Doch der Schadcode schlummerte anderthalb Jahre lang unbemerkt. Niemand weiß, wie viele Menschen in dieser Zeit ihr Wallet entsperrt haben. Auf dem Handy wurde der Code zwar nicht gefunden, aber wer dieselbe Seed-Phrase auch in die Erweiterung importiert hat, muss ebenfalls davon ausgehen, dass sie kompromittiert wurde.
Die offizielle Empfehlung ist eindeutig: ein neues Wallet erstellen, neue Schlüssel generieren und alle Vermögenswerte dorthin übertragen. Nur das Passwort zu ändern oder eine andere Wallet-Software zu verwenden, reicht nicht – der private Schlüssel ist bereits nach außen gelangt.
Genau das ist besonders beunruhigend. Die Betroffenen haben weder auf Phishing-Links geklickt noch irgendwelche Berechtigungen erteilt. Sie haben einfach die Erweiterung wie gewohnt geöffnet und ihr Passwort eingegeben.
Betroffen war die Browser-Erweiterung von Fearless Wallet, einer von einem unabhängigen Team gepflegten Drittanbieter-Wallet für $DOT und das Kusama-Ökosystem. Im Chrome Web Store waren 6.000 Nutzer angegeben.
Gestern Abend gegen zehn gab es von Polkadot eine Sicherheitswarnung. Bei der Untersuchung stellte das Technikteam fest, dass am 19. Februar 2025 bei einer Codeänderung, die als Teil des „TON-Ökosystems“ ausgegeben wurde, Schadcode eingeschleust worden war. In den Versionen 3.0.1, 3.0.3, 3.0.4 und 3.0.5 konnte jedes Mal, wenn Nutzer ihr Wallet mit ihrem Passwort entsperrten, ihr privater Schlüssel an den Server der Angreifer gesendet werden. Der Code funktionierte mal und mal nicht – bis zum 10. Oktober dieses Jahres.
Bislang haben sich acht Opfer gemeldet. Insgesamt wurden ihnen 17.286 DOT entwendet, nach dem aktuellen Kurs von etwa 1,11 US-Dollar ungefähr 19.000 US-Dollar. Kein großer Betrag. Doch der Schadcode schlummerte anderthalb Jahre lang unbemerkt. Niemand weiß, wie viele Menschen in dieser Zeit ihr Wallet entsperrt haben. Auf dem Handy wurde der Code zwar nicht gefunden, aber wer dieselbe Seed-Phrase auch in die Erweiterung importiert hat, muss ebenfalls davon ausgehen, dass sie kompromittiert wurde.
Die offizielle Empfehlung ist eindeutig: ein neues Wallet erstellen, neue Schlüssel generieren und alle Vermögenswerte dorthin übertragen. Nur das Passwort zu ändern oder eine andere Wallet-Software zu verwenden, reicht nicht – der private Schlüssel ist bereits nach außen gelangt.
Genau das ist besonders beunruhigend. Die Betroffenen haben weder auf Phishing-Links geklickt noch irgendwelche Berechtigungen erteilt. Sie haben einfach die Erweiterung wie gewohnt geöffnet und ihr Passwort eingegeben.