• La Polkadot Community Foundation advirtió el 21 de octubre a los usuarios de Fearless Wallet que consideraran comprometidas sus cuentas
• El código malicioso de las versiones 3.0.1, 3.0.3, 3.0.4 y 3.0.5 enviaba claves privadas a tonscanner.org
• Un interruptor remoto mantuvo activa la extracción de datos durante unos 571 días, repartidos en nueve períodos
Claves copiadas desde febrero de 2025
La Polkadot Community Foundation indicó a todas las personas que hubieran utilizado la extensión de navegador Fearless Wallet en algún momento desde el 19 de febrero de 2025 que consideraran comprometidas todas las cuentas que tuvieran Polkadot (DOT) o cualquier otro activo y que transfirieran los fondos de inmediato. La advertencia, emitida el 21 de octubre de 2026, se produjo tras descubrirse código en la extensión que copiaba claves privadas a un servidor controlado por un atacante y que permaneció activo de forma intermitente hasta el 10 de octubre de 2026, durante un período de casi 20 meses. Cuatro versiones incluían el código: 3.0.1, 3.0.3, 3.0.4 y 3.0.5. Se activaba cuando un usuario desbloqueaba la billetera con la contraseña correcta. Un análisis técnico enlazado en el aviso describe el mecanismo: la extensión recopilaba la frase de recuperación de cada cuenta, la semilla maestra de una billetera HD o su archivo de respaldo, junto con la contraseña de la billetera. Cifraba el conjunto con una contraseña vacía, un proceso que cualquiera podía revertir, y subía el resultado a tonscanner.org. El código llegó al proyecto a través de la solicitud de cambios n.º 1022 de GitHub, integrada como parte de una modificación más amplia titulada «Ecosistema TON» en el código fuente público de la extensión. Las versiones 3.0.3 a 3.0.5 también leían un archivo de configuración en otro repositorio público que funcionaba como un interruptor remoto de encendido y apagado. La recomendación no admite excepciones. Una clave privada da control total de una cuenta, así que cambiar la contraseña o reinstalar la extensión no sirve de nada: quien tenga la clave puede firmar transferencias y vaciar el saldo. La fundación recomendó crear un nuevo par de claves en otra billetera de criptomonedas bien mantenida y transferir los fondos de la cuenta antigua en todas las cadenas con las que hubiera interactuado, idealmente sin volver a desbloquear Fearless. Como opción para la nueva cuenta, mencionó Nova Wallet. Cuando se difundió el aviso, el precio de Polkadot era de 1,17 dólares: había subido un 3 % en siete días y bajado un 62,7 % en el transcurso del año.
Ocho informes, 17.286 DOT sin confirmar
El registro público de actividad de GitHub muestra que el interruptor remoto estuvo activado durante nueve períodos distintos entre el 7 de marzo de 2025 y la fecha límite del 10 de octubre de 2026, unos 571 días en total. El código se eliminó del código fuente del proyecto el 25 de junio de 2026; sin embargo, las copias instaladas de las versiones 3.0.3 a 3.0.5 todavía lo incluyen. Cada vez que se desbloquea la cartera, esas copias consultan el interruptor remoto, que ahora está apagado, pero puede volver a activarse. La fundación indicó a los usuarios que primero trasladaran sus fondos y luego desinstalaran la extensión. La versión para Firefox ejecutaba el mismo código y ya no aparece en la lista; también deben considerarse comprometidas las claves que se hayan usado en ella durante ese período. Las aplicaciones de Android e iOS revisadas no contienen el código, aunque el aviso añade que cualquier clave privada que haya estado en la extensión está comprometida allí donde se use. Por definición, una extensión de navegador es una cartera caliente: guarda claves en un dispositivo conectado a internet. El 21 de octubre, la versión 3.0.5 todavía se podía descargar en la tienda de Chrome y tenía 6.000 usuarios. Ocho usuarios han denunciado transferencias no autorizadas que podrían estar relacionadas con la vulnerabilidad, por un total declarado de 17.286 DOT; el registro de casos señala que esos informes no demuestran que haya habido robos. El primer caso está fechado el 30 de septiembre de 2025; después, el 6 de octubre de 2025, apareció una publicación en Reddit en la que varios usuarios afirmaron que los fondos se habían transferido en cuanto desbloquearon la cartera. Las monedas en staking, los depósitos en pools de nominación y las monedas bloqueadas para gobernanza no pueden transferirse de inmediato. El período mínimo de desvinculación para los nominadores es de uno a dos días, y el aviso recomienda a los usuarios utilizar PAPI Rescue, una herramienta del equipo de polkadot-api, antes de retirar el staking. La fundación añadió que nadie, incluido el equipo de PAPI Rescue, necesita las claves privadas de los usuarios; quien se ponga en contacto primero ofreciendo recuperar fondos no es de fiar. Fearless Wallet es obra de un equipo independiente y, según el aviso, no es ni ha sido nunca una cartera oficial de Polkadot. Por lo demás, ha sido un mes ajetreado para la cadena: la stablecoin dotUSD se lanzó a principios de octubre, y el referéndum sobre la primacía de la DAO en relación con dotUSD se trata por separado.
El interruptor remoto está apagado, por ahora
La exposición es permanente por diseño: una clave privada filtrada no se puede cambiar; lo único que se puede hacer es trasladar los fondos a otra dirección. Lo que aún no consta en los registros es la magnitud del problema. La fundación no ha publicado cuántas cuentas se han visto afectadas, y los 17.286 DOT registrados son una cifra denunciada, no una cantidad cuyo robo se haya confirmado. Dos indicios permitirían aclarar la situación, y el aviso define ambos: que vuelva a activarse el interruptor remoto o que se produzca una nueva serie de transferencias al desbloquear la cartera, como las descritas por los ocho usuarios. No se ha registrado ninguno de los dos desde el 10 de octubre de 2026. Para las claves que deban permanecer desconectadas después de la migración, una cartera fría es la solución práctica; nuestra guía de Cypherock X1 explica cómo configurar una.