Fearless Wallet 插件 20 个月外泄私钥：8 名用户被盗 17,286 枚 $DOT，基金会要求迁移资金
结论先行：这不是一次普通的安全漏洞，而是一段埋在开源代码里近 20 个月的恶意代码。浏览器热钱包最危险的形态，恰恰是它看起来一直正常工作。
事实来自 Polkadot 社区基金会 10 月 21 日发布的安全公告（Cryptopolitan、Crypto Briefing、CoinMarketCap 同日报）：
1. 恶意代码在 2025 年 2 月 19 日经 GitHub PR #1022（一次名为 "TON ecosystem" 的大更新）混入 Fearless Wallet 插件的公开源码，间歇性激活直到 2026 年 10 月 10 日，跨度约 571 天。受影响的是浏览器插件 3.0.1、3.0.3、3.0.4、3.0.5 四个版本。
2. 触发条件只是用户正常解锁钱包：插件收集助记词或备份文件连同钱包密码，用空密码"加密"（任何人可逆向）后发往外部服务器。10 月 21 日公告当天，Chrome 商店仍在架 3.0.5 版本，显示约 6,000 名用户；Firefox 版本确认存在相同代码，安卓/iOS 审核版不含该代码。
3. 已确认损失：8 名用户报告了与此相关的未授权转账，合计 17,286 枚 DOT，按 CoinMarketCap 报道时价格约 20,500 美元。考虑到泄露的私钥可以一直躺着等待收割，实际暴露的账户数可能远超已上报的 8 人。
我的判断：
第一，换密码、重装插件都救不了已经泄露的私钥——基金会原话是"私钥一旦泄露，在任何地方使用都不再安全"。唯一解法：换新钱包、生成新助记词、迁移资金。
第二，基金会特意强调 Fearless "从来不是官方钱包"。第三方插件的每一次自动更新，都是一次把信任重新外包的动作，而用户往往浑然不觉。
第三，源码里的恶意代码在 2026 年 6 月 25 日已被删除，但已安装的 3.0.3–3.0.5 旧版本里它还在，远程开关可随时重新打开。危险不在代码库，而在你浏览器的扩展列表里。
对长期持币不动的用户，这次事件尤其值得警惕：私钥外泄没有"补救窗口"，只有"暴露时长"。浏览器插件钱包适合放零花钱，不适合当金库。
仅个人看法，不构成投资建议。
#Polkadot #钱包安全 $DOT
结论先行：这不是一次普通的安全漏洞，而是一段埋在开源代码里近 20 个月的恶意代码。浏览器热钱包最危险的形态，恰恰是它看起来一直正常工作。
事实来自 Polkadot 社区基金会 10 月 21 日发布的安全公告（Cryptopolitan、Crypto Briefing、CoinMarketCap 同日报）：
1. 恶意代码在 2025 年 2 月 19 日经 GitHub PR #1022（一次名为 "TON ecosystem" 的大更新）混入 Fearless Wallet 插件的公开源码，间歇性激活直到 2026 年 10 月 10 日，跨度约 571 天。受影响的是浏览器插件 3.0.1、3.0.3、3.0.4、3.0.5 四个版本。
2. 触发条件只是用户正常解锁钱包：插件收集助记词或备份文件连同钱包密码，用空密码"加密"（任何人可逆向）后发往外部服务器。10 月 21 日公告当天，Chrome 商店仍在架 3.0.5 版本，显示约 6,000 名用户；Firefox 版本确认存在相同代码，安卓/iOS 审核版不含该代码。
3. 已确认损失：8 名用户报告了与此相关的未授权转账，合计 17,286 枚 DOT，按 CoinMarketCap 报道时价格约 20,500 美元。考虑到泄露的私钥可以一直躺着等待收割，实际暴露的账户数可能远超已上报的 8 人。
我的判断：
第一，换密码、重装插件都救不了已经泄露的私钥——基金会原话是"私钥一旦泄露，在任何地方使用都不再安全"。唯一解法：换新钱包、生成新助记词、迁移资金。
第二，基金会特意强调 Fearless "从来不是官方钱包"。第三方插件的每一次自动更新，都是一次把信任重新外包的动作，而用户往往浑然不觉。
第三，源码里的恶意代码在 2026 年 6 月 25 日已被删除，但已安装的 3.0.3–3.0.5 旧版本里它还在，远程开关可随时重新打开。危险不在代码库，而在你浏览器的扩展列表里。
对长期持币不动的用户，这次事件尤其值得警惕：私钥外泄没有"补救窗口"，只有"暴露时长"。浏览器插件钱包适合放零花钱，不适合当金库。
仅个人看法，不构成投资建议。
#Polkadot #钱包安全 $DOT