1022

L’extension Fearless Wallet a exposé des clés privées pendant 20 mois : 8 utilisateurs se sont fait voler 17 286 $DOT , la fondation leur demande de transférer leurs fonds

La conclusion d’emblée : il ne s’agissait pas d’une faille de sécurité ordinaire, mais d’un code malveillant enfoui dans le code source ouvert pendant près de 20 mois. La forme la plus dangereuse de portefeuille chaud dans un navigateur, c’est précisément celle qui semble fonctionner normalement.

Les faits proviennent de l’avis de sécurité publié le 21 octobre par la Polkadot Community Foundation (signalé le même jour par Cryptopolitan, Crypto Briefing et CoinMarketCap) :

1. Le code malveillant a été introduit dans le code source public de l’extension Fearless Wallet le 19 février 2025, via la PR GitHub #1022 (une importante mise à jour intitulée « TON ecosystem »). Il s’est activé par intermittence jusqu’au 10 octobre 2026, soit pendant environ 571 jours. Les versions concernées sont les quatre versions de l’extension de navigateur : 3.0.1, 3.0.3, 3.0.4 et 3.0.5.

2. Le déclencheur était simplement le déverrouillage normal du portefeuille par l’utilisateur : l’extension collectait la phrase de récupération ou le fichier de sauvegarde, ainsi que le mot de passe du portefeuille, les « chiffrait » avec un mot de passe vide (une opération que n’importe qui pouvait inverser), puis les envoyait à un serveur externe. Le jour de la publication de l’avis, le 21 octobre, la version 3.0.5 était toujours disponible sur le Chrome Web Store, où elle comptait environ 6 000 utilisateurs. La présence du même code a été confirmée dans la version Firefox ; les versions Android/iOS soumises à examen ne contenaient pas ce code.

3. Pertes confirmées : 8 utilisateurs ont signalé des transferts non autorisés liés à cet incident, pour un total de 17 286 DOT, soit environ 20 500 dollars au cours indiqué par CoinMarketCap au moment de son article. Comme les clés privées exposées peuvent rester en attente jusqu’à ce que les fonds soient dérobés, le nombre réel de comptes exposés pourrait largement dépasser les 8 utilisateurs ayant signalé l’incident.

Mon analyse :
Premièrement, changer de mot de passe ou réinstaller l’extension ne peut pas sauver des clés privées déjà exposées — la fondation l’a dit clairement : « Une fois qu’une clé privée a été exposée, elle n’est plus sûre à utiliser, où que ce soit. » La seule solution : créer un nouveau portefeuille, générer une nouvelle phrase de récupération et y transférer ses fonds.
Deuxièmement, la fondation a pris soin de souligner que Fearless « n’a jamais été un portefeuille officiel ». Chaque mise à jour automatique d’une extension tierce revient à externaliser de nouveau sa confiance, souvent sans même que l’utilisateur s’en rende compte.
Troisièmement, le code malveillant a été supprimé du code source le 25 juin 2026, mais il est toujours présent dans les anciennes versions 3.0.3–3.0.5 déjà installées ; un mécanisme de contrôle à distance peut le réactiver à tout moment. Le danger ne se trouve pas dans le dépôt de code, mais dans la liste des extensions de votre navigateur.

Cet incident mérite une vigilance particulière de la part des utilisateurs qui conservent leurs cryptomonnaies à long terme sans y toucher : en cas de fuite de clé privée, il n’existe pas de « fenêtre de rattrapage », seulement une « durée d’exposition ». Les portefeuilles sous forme d’extensions de navigateur conviennent pour de petites sommes, pas pour servir de coffre-fort.

Avis personnel uniquement ; ceci ne constitue pas un conseil en investissement.

#Polkadot #钱包安全 $DOT