1022

El complemento Fearless Wallet filtró claves privadas durante 20 meses: robaron 17.286 $DOT a 8 usuarios; la fundación pide migrar los fondos

Conclusión de entrada: no fue una vulnerabilidad de seguridad corriente, sino código malicioso oculto en el código abierto durante casi 20 meses. La forma más peligrosa de una billetera caliente para navegador es, precisamente, que parece funcionar con normalidad todo el tiempo.

Los hechos proceden del aviso de seguridad publicado el 21 de octubre por la Fundación de la Comunidad Polkadot (informado ese mismo día por Cryptopolitan, Crypto Briefing y CoinMarketCap):

1. El código malicioso se introdujo en el código fuente público del complemento Fearless Wallet el 19 de febrero de 2025 mediante el PR #1022 de GitHub (una gran actualización titulada «Ecosistema TON»). Se activó de forma intermitente hasta el 10 de octubre de 2026, un período de unos 571 días. Se vieron afectadas cuatro versiones del complemento para navegador: 3.0.1, 3.0.3, 3.0.4 y 3.0.5.

2. La condición de activación era simplemente que el usuario desbloqueara la billetera con normalidad: el complemento recopilaba la frase semilla o el archivo de copia de seguridad junto con la contraseña de la billetera, los «cifraba» con una contraseña vacía (algo que cualquiera podía revertir mediante ingeniería inversa) y los enviaba a un servidor externo. El día del aviso, el 21 de octubre, la versión 3.0.5 seguía disponible en la tienda de Chrome, donde figuraban unos 6.000 usuarios; se confirmó que la versión de Firefox contenía el mismo código, mientras que las versiones para Android/iOS revisadas no lo incluían.

3. Pérdidas confirmadas: 8 usuarios denunciaron transferencias no autorizadas relacionadas con el incidente, por un total de 17.286 DOT, equivalentes a unos 20.500 dólares según el precio citado por CoinMarketCap al momento de la publicación. Dado que las claves privadas filtradas pueden quedarse inactivas a la espera de ser explotadas, el número real de cuentas expuestas podría superar ampliamente las 8 personas que lo han denunciado.

Mi valoración:
Primero, cambiar la contraseña o reinstalar el complemento no servirá para salvar una clave privada que ya se filtró. La fundación lo expresó claramente: «Una vez filtrada, la clave privada deja de ser segura en cualquier lugar en el que se use». La única solución es crear una billetera nueva, generar una frase semilla nueva y migrar los fondos.
Segundo, la fundación hizo hincapié en que Fearless «nunca fue una billetera oficial». Cada actualización automática de un complemento de terceros vuelve a externalizar la confianza, a menudo sin que los usuarios se den cuenta.
Tercero, el código malicioso se eliminó del código fuente el 25 de junio de 2026, pero sigue presente en las versiones antiguas 3.0.3–3.0.5 ya instaladas; un interruptor remoto puede volver a activarlo en cualquier momento. El peligro no está en el repositorio de código, sino en la lista de extensiones de tu navegador.

Este incidente merece especial atención por parte de quienes mantienen sus criptomonedas a largo plazo sin moverlas: cuando se filtra una clave privada no existe un «plazo para remediarlo», solo importa el «tiempo de exposición». Las billeteras de navegador son adecuadas para guardar dinero de bolsillo, no para usarlas como bóveda.

Opinión personal; no constituye asesoramiento de inversión.

#Polkadot #钱包安全 $DOT