私钥被偷了20个月 直到8个钱包被搬空才有人发现
⚡ 有大动静群里说
一个叫 Fearless Wallet 的浏览器插件 从2025年2月就开始把用户的助记词和私钥往外送 一直送到今年10月 波卡社区基金会在10月21日才发出安全警告 已经有8个用户报案 合计17286枚DOT被转走 按现价约1.77万美元 💥
手法不算新鲜 但藏得很深 用户在解锁钱包的那一刻 插件里的恶意代码会打包助记词 私钥和 keystore 文件 再通过 HTTP 请求发到外部服务器 更麻烦的是它带远程开关 攻击者可以随时打开或关闭 普通人根本察觉不到自己在被采集 🦖
安全公司 SlowMist 随后定位到受影响版本是 3.0.1 和 3.0.3 到 3.0.5 恶意代码在6月已经从源码里删掉 远程开关到10月才关闭 但已经被拿走的东西收不回来 ⚠️
真正让这件事变严重的 是7月6日生效的 Referendum 1910 波卡把提名人解绑期从最长28天砍到大约2天 快的时候24到48小时就能提走 质押体验是变好了 可一旦私钥落到别人手里 留给受害者发现异常 找救援 抢在资产可转移之前拦下来的窗口 也从4周缩成了两天 📉
必须说清楚 官方明确表示 目前没有证据证明缩短解绑期是这次被盗的原因 部分账户的解绑请求在7月升级之前就已发起 仍按旧规则执行 但风险方向已经摆在那里 6月30日 PAPI Rescue 就警告过 把28天压到两个 era 会让介入时间不够用 这家救援服务称自己已经追回超过25万美元
我的看法是 这不是波卡一家的问题 而是所有把提现做得更快 把解锁做得更顺的公链都要算的账 流动性是产品力 救援窗口是安全预算 两者在做减法 而用户往往只看到前者
还有一点很多人会做错 换密码 重装插件 把同一套助记词导进新钱包 这些都不解决暴露本身 只要私钥曾经被传出去 唯一的办法是新建密钥对 把资产转走 官方也提醒 不要相信主动上门的救援团队 更不要把私钥交给任何人
你手机和浏览器里还装着几个自己都不太了解的插件 评论区聊聊
点击头像看直播
每天带你关注加密安全热点 不只是看新闻发生什么 更带你看懂背后的逻辑和机会 👀🚀
⚡ 有大动静群里说
一个叫 Fearless Wallet 的浏览器插件 从2025年2月就开始把用户的助记词和私钥往外送 一直送到今年10月 波卡社区基金会在10月21日才发出安全警告 已经有8个用户报案 合计17286枚DOT被转走 按现价约1.77万美元 💥
手法不算新鲜 但藏得很深 用户在解锁钱包的那一刻 插件里的恶意代码会打包助记词 私钥和 keystore 文件 再通过 HTTP 请求发到外部服务器 更麻烦的是它带远程开关 攻击者可以随时打开或关闭 普通人根本察觉不到自己在被采集 🦖
安全公司 SlowMist 随后定位到受影响版本是 3.0.1 和 3.0.3 到 3.0.5 恶意代码在6月已经从源码里删掉 远程开关到10月才关闭 但已经被拿走的东西收不回来 ⚠️
真正让这件事变严重的 是7月6日生效的 Referendum 1910 波卡把提名人解绑期从最长28天砍到大约2天 快的时候24到48小时就能提走 质押体验是变好了 可一旦私钥落到别人手里 留给受害者发现异常 找救援 抢在资产可转移之前拦下来的窗口 也从4周缩成了两天 📉
必须说清楚 官方明确表示 目前没有证据证明缩短解绑期是这次被盗的原因 部分账户的解绑请求在7月升级之前就已发起 仍按旧规则执行 但风险方向已经摆在那里 6月30日 PAPI Rescue 就警告过 把28天压到两个 era 会让介入时间不够用 这家救援服务称自己已经追回超过25万美元
我的看法是 这不是波卡一家的问题 而是所有把提现做得更快 把解锁做得更顺的公链都要算的账 流动性是产品力 救援窗口是安全预算 两者在做减法 而用户往往只看到前者
还有一点很多人会做错 换密码 重装插件 把同一套助记词导进新钱包 这些都不解决暴露本身 只要私钥曾经被传出去 唯一的办法是新建密钥对 把资产转走 官方也提醒 不要相信主动上门的救援团队 更不要把私钥交给任何人
你手机和浏览器里还装着几个自己都不太了解的插件 评论区聊聊
点击头像看直播
每天带你关注加密安全热点 不只是看新闻发生什么 更带你看懂背后的逻辑和机会 👀🚀