Un module de portefeuille a secrètement envoyé des clés privées à l’extérieur à partir de février 2025. Il a fallu près de 20 mois pour que quelqu’un s’en aperçoive.
Le problème concerne l’extension de navigateur de Fearless Wallet, un portefeuille tiers pour les écosystèmes $DOT et Kusama, maintenu par une équipe indépendante. La page de l’extension sur le Chrome Web Store indique 6 000 utilisateurs.
Hier soir, un peu après 22 heures, Polkadot a publié une alerte de sécurité. Après enquête, l’équipe technique a découvert qu’une modification de code du 19 février 2025, présentée comme liée à « l’écosystème TON », avait introduit du code malveillant. Dans les versions 3.0.1, 3.0.3, 3.0.4 et 3.0.5, chaque fois qu’un utilisateur saisissait son mot de passe pour déverrouiller son portefeuille, sa clé privée pouvait être envoyée au serveur de l’attaquant. Ce code ne fonctionnait que par intermittence, jusqu’au 10 octobre de cette année.
À ce jour, huit victimes ont été signalées. Au total, 17 286 DOT leur ont été dérobés, soit environ 19 000 dollars au cours actuel d’environ 1,11 dollar. Ce n’est pas une grosse somme. Mais le code est resté discrètement en place pendant un an et demi, et personne ne sait combien de personnes ont déverrouillé leur portefeuille entre-temps. L’analyse de la version mobile n’a révélé aucun code de ce type, mais si la même phrase de récupération a aussi été importée dans l’extension, elle est tout de même considérée comme compromise.
La solution recommandée par l’équipe est simple : utiliser un autre portefeuille pour générer de nouvelles clés, puis y transférer tous ses actifs. Changer uniquement de mot de passe ou simplement de logiciel de portefeuille ne suffit pas : la clé privée a déjà été divulguée.
C’est surtout cela qui donne froid dans le dos. Ces personnes n’ont cliqué sur aucun lien d’hameçonnage et n’ont signé aucune autorisation suspecte. Elles ont simplement ouvert l’extension normalement et saisi leur mot de passe.
Le problème concerne l’extension de navigateur de Fearless Wallet, un portefeuille tiers pour les écosystèmes $DOT et Kusama, maintenu par une équipe indépendante. La page de l’extension sur le Chrome Web Store indique 6 000 utilisateurs.
Hier soir, un peu après 22 heures, Polkadot a publié une alerte de sécurité. Après enquête, l’équipe technique a découvert qu’une modification de code du 19 février 2025, présentée comme liée à « l’écosystème TON », avait introduit du code malveillant. Dans les versions 3.0.1, 3.0.3, 3.0.4 et 3.0.5, chaque fois qu’un utilisateur saisissait son mot de passe pour déverrouiller son portefeuille, sa clé privée pouvait être envoyée au serveur de l’attaquant. Ce code ne fonctionnait que par intermittence, jusqu’au 10 octobre de cette année.
À ce jour, huit victimes ont été signalées. Au total, 17 286 DOT leur ont été dérobés, soit environ 19 000 dollars au cours actuel d’environ 1,11 dollar. Ce n’est pas une grosse somme. Mais le code est resté discrètement en place pendant un an et demi, et personne ne sait combien de personnes ont déverrouillé leur portefeuille entre-temps. L’analyse de la version mobile n’a révélé aucun code de ce type, mais si la même phrase de récupération a aussi été importée dans l’extension, elle est tout de même considérée comme compromise.
La solution recommandée par l’équipe est simple : utiliser un autre portefeuille pour générer de nouvelles clés, puis y transférer tous ses actifs. Changer uniquement de mot de passe ou simplement de logiciel de portefeuille ne suffit pas : la clé privée a déjà été divulguée.
C’est surtout cela qui donne froid dans le dos. Ces personnes n’ont cliqué sur aucun lien d’hameçonnage et n’ont signé aucune autorisation suspecte. Elles ont simplement ouvert l’extension normalement et saisi leur mot de passe.