La clé privée a été volée pendant 20 mois. Personne ne s’en est aperçu avant que 8 portefeuilles soient vidés
⚡ 有大动静群里说
Une extension de navigateur appelée Fearless Wallet a commencé à exfiltrer les phrases de récupération et les clés privées de ses utilisateurs dès février 2025, et a continué jusqu’en octobre de cette année. La Fondation de la communauté Polkadot n’a publié une alerte de sécurité que le 21 octobre. Huit utilisateurs ont déjà signalé le vol : au total, 17 286 DOT ont été dérobés, soit environ 17 700 dollars au cours actuel 💥
La méthode n’a rien de nouveau, mais elle était bien dissimulée. Au moment où l’utilisateur déverrouillait son portefeuille, le code malveillant de l’extension regroupait sa phrase de récupération, sa clé privée et son fichier keystore, puis les envoyait à un serveur externe via une requête HTTP. Plus inquiétant encore, l’extension disposait d’un interrupteur à distance : les attaquants pouvaient l’activer ou le désactiver à tout moment. Un utilisateur ordinaire ne pouvait pas se rendre compte qu’il était espionné 🦖
La société de sécurité SlowMist a ensuite identifié les versions touchées : la 3.0.1 et les versions 3.0.3 à 3.0.5. Le code malveillant avait été retiré du code source dès juin, mais l’interrupteur à distance n’a été désactivé qu’en octobre. Ce qui a déjà été dérobé ne peut toutefois pas être récupéré ⚠️
Ce qui rend l’affaire encore plus grave, c’est le référendum 1910, entré en vigueur le 6 juillet. Polkadot a réduit la période de déliaison des nominateurs, qui pouvait atteindre 28 jours, à environ 2 jours. Dans les cas les plus rapides, les fonds peuvent être retirés en 24 à 48 heures. L’expérience du staking s’en trouve améliorée, mais si une clé privée tombe entre de mauvaises mains, la fenêtre dont dispose la victime pour repérer l’anomalie, trouver de l’aide et bloquer le transfert des actifs est passée de 4 semaines à 2 jours 📉
Il faut être clair : les responsables ont explicitement indiqué qu’il n’existe actuellement aucune preuve que la réduction de la période de déliaison soit à l’origine de ce vol. Certaines demandes de déliaison ont été soumises avant la mise à niveau de juillet et restent donc soumises aux anciennes règles. Mais le risque est bien là. Le 30 juin, PAPI Rescue avait déjà averti que réduire la période de 28 jours à deux ères ne laisserait pas assez de temps pour intervenir. Ce service de secours affirme avoir déjà récupéré plus de 250 000 dollars.
À mon avis, ce n’est pas un problème propre à Polkadot. Toutes les blockchains qui accélèrent les retraits et simplifient le déverrouillage doivent se poser la question. La liquidité est un atout produit ; la fenêtre de secours, un budget de sécurité. Réduire l’une et l’autre a un coût, mais les utilisateurs ne voient souvent que le premier aspect.
Autre erreur fréquente : changer son mot de passe, réinstaller l’extension ou importer la même phrase de récupération dans un nouveau portefeuille. Rien de tout cela ne remédie à l’exposition initiale. Si la clé privée a déjà été transmise, la seule solution est de créer une nouvelle paire de clés et d’y transférer ses actifs. Les responsables rappellent également de ne pas faire confiance aux équipes de secours qui vous contactent spontanément, et surtout de ne jamais communiquer sa clé privée à qui que ce soit.
Combien d’extensions avez-vous installées sur votre téléphone et votre navigateur sans vraiment savoir à quoi elles servent ? Racontez-nous dans les commentaires.
Cliquez sur l’avatar pour voir le direct
Chaque jour, je vous aide à suivre les actualités brûlantes de la sécurité crypto. Pas seulement pour savoir ce qui se passe, mais aussi pour comprendre la logique et les opportunités qui se cachent derrière 👀🚀
⚡ 有大动静群里说
Une extension de navigateur appelée Fearless Wallet a commencé à exfiltrer les phrases de récupération et les clés privées de ses utilisateurs dès février 2025, et a continué jusqu’en octobre de cette année. La Fondation de la communauté Polkadot n’a publié une alerte de sécurité que le 21 octobre. Huit utilisateurs ont déjà signalé le vol : au total, 17 286 DOT ont été dérobés, soit environ 17 700 dollars au cours actuel 💥
La méthode n’a rien de nouveau, mais elle était bien dissimulée. Au moment où l’utilisateur déverrouillait son portefeuille, le code malveillant de l’extension regroupait sa phrase de récupération, sa clé privée et son fichier keystore, puis les envoyait à un serveur externe via une requête HTTP. Plus inquiétant encore, l’extension disposait d’un interrupteur à distance : les attaquants pouvaient l’activer ou le désactiver à tout moment. Un utilisateur ordinaire ne pouvait pas se rendre compte qu’il était espionné 🦖
La société de sécurité SlowMist a ensuite identifié les versions touchées : la 3.0.1 et les versions 3.0.3 à 3.0.5. Le code malveillant avait été retiré du code source dès juin, mais l’interrupteur à distance n’a été désactivé qu’en octobre. Ce qui a déjà été dérobé ne peut toutefois pas être récupéré ⚠️
Ce qui rend l’affaire encore plus grave, c’est le référendum 1910, entré en vigueur le 6 juillet. Polkadot a réduit la période de déliaison des nominateurs, qui pouvait atteindre 28 jours, à environ 2 jours. Dans les cas les plus rapides, les fonds peuvent être retirés en 24 à 48 heures. L’expérience du staking s’en trouve améliorée, mais si une clé privée tombe entre de mauvaises mains, la fenêtre dont dispose la victime pour repérer l’anomalie, trouver de l’aide et bloquer le transfert des actifs est passée de 4 semaines à 2 jours 📉
Il faut être clair : les responsables ont explicitement indiqué qu’il n’existe actuellement aucune preuve que la réduction de la période de déliaison soit à l’origine de ce vol. Certaines demandes de déliaison ont été soumises avant la mise à niveau de juillet et restent donc soumises aux anciennes règles. Mais le risque est bien là. Le 30 juin, PAPI Rescue avait déjà averti que réduire la période de 28 jours à deux ères ne laisserait pas assez de temps pour intervenir. Ce service de secours affirme avoir déjà récupéré plus de 250 000 dollars.
À mon avis, ce n’est pas un problème propre à Polkadot. Toutes les blockchains qui accélèrent les retraits et simplifient le déverrouillage doivent se poser la question. La liquidité est un atout produit ; la fenêtre de secours, un budget de sécurité. Réduire l’une et l’autre a un coût, mais les utilisateurs ne voient souvent que le premier aspect.
Autre erreur fréquente : changer son mot de passe, réinstaller l’extension ou importer la même phrase de récupération dans un nouveau portefeuille. Rien de tout cela ne remédie à l’exposition initiale. Si la clé privée a déjà été transmise, la seule solution est de créer une nouvelle paire de clés et d’y transférer ses actifs. Les responsables rappellent également de ne pas faire confiance aux équipes de secours qui vous contactent spontanément, et surtout de ne jamais communiquer sa clé privée à qui que ce soit.
Combien d’extensions avez-vous installées sur votre téléphone et votre navigateur sans vraiment savoir à quoi elles servent ? Racontez-nous dans les commentaires.
Cliquez sur l’avatar pour voir le direct
Chaque jour, je vous aide à suivre les actualités brûlantes de la sécurité crypto. Pas seulement pour savoir ce qui se passe, mais aussi pour comprendre la logique et les opportunités qui se cachent derrière 👀🚀