Polkadot Community Foundation memperingatkan bahwa beberapa versi ekstensi browser Fearless Wallet mengandung kode berbahaya yang mengirimkan kunci privat pengguna ke server yang dikendalikan penyerang saat mereka membuka kunci dompet. Menurut Foresight News, versi 3.0.1, 3.0.3, 3.0.4, dan 3.0.5 terdampak, dan pengguna yang telah menggunakan ekstensi tersebut sejak Februari 2025 harus menganggap semua akun di dalamnya telah disusupi dan segera memindahkan aset mereka ke akun baru.

Kode tersebut ditambahkan ke kode sumber publik ekstensi pada 19 Februari 2025, sebagai bagian dari perubahan besar berlabel “ekosistem TON”. Kode itu aktif secara berkala dari Februari 2025 hingga 10 Oktober 2026, dan dapat diaktifkan kembali kapan saja. Ekstensi Chrome dipastikan terdampak; versi Firefox yang telah dihapus dari daftar menggunakan kode yang sama. Yayasan menyatakan bahwa mereka belum menemukan kode tersebut di aplikasi Android atau iOS, tetapi pengguna harus menganggap kunci privat telah disusupi jika kunci itu juga diimpor ke ekstensi browser.

Delapan pengguna telah melaporkan transaksi tanpa izin yang dikaitkan dengan insiden tersebut, dengan total 17.286 DOT. Mengganti kata sandi atau memasang ulang ekstensi tidak akan mengatasi masalah ini. Pengguna yang asetnya sedang di-staking, berada di pool nominasi, atau dikunci untuk pemungutan suara tata kelola dapat meminta bantuan untuk memulihkannya dengan PAPI Rescue, alat yang dikembangkan oleh tim Polkadot API. Yayasan tersebut mencatat bahwa Fearless Wallet dikembangkan dan dikelola oleh tim independen dan bukan dompet resmi Polkadot.