1022

Fearless Wallet拡張機能、20か月にわたり秘密鍵を流出：8人のユーザーから17,286枚の$DOT が盗まれ、財団は資金の移転を要請

結論を先に言うと、これは普通のセキュリティ脆弱性ではありません。オープンソースコードに約20か月間潜んでいた悪意あるコードです。ブラウザーのホットウォレットが最も危険なのは、何事もなく正常に動作しているように見えるときです。

以下の事実は、Polkadot Community Foundationが10月21日に発表したセキュリティ告知に基づいています（Cryptopolitan、Crypto Briefing、CoinMarketCapも同日報道）：

1. 悪意あるコードは、2025年2月19日、GitHubのPR #1022（「TON ecosystem」と題された大規模アップデート）を通じてFearless Wallet拡張機能の公開ソースコードに混入し、2026年10月10日まで断続的に作動していました。期間は約571日です。影響を受けたのは、ブラウザー拡張機能のバージョン3.0.1、3.0.3、3.0.4、3.0.5です。

2. 発動条件は、ユーザーが通常どおりウォレットのロックを解除することだけでした。拡張機能はニーモニックフレーズまたはバックアップファイルをウォレットのパスワードとともに収集し、空のパスワードで「暗号化」（誰でも復元可能）したうえで、外部サーバーに送信していました。10月21日の告知当日も、Chromeウェブストアではバージョン3.0.5が公開されたままで、ユーザー数は約6,000人と表示されていました。Firefox版にも同じコードが含まれていたことが確認されていますが、Android／iOSの審査済みバージョンには含まれていません。

3. 確認された被害：8人のユーザーから、これに関連する不正送金の報告があり、合計17,286枚のDOTが盗まれました。CoinMarketCapの報道時点の価格で約20,500ドルに相当します。流出した秘密鍵は、資金が盗まれる機会をうかがいながら、いつまでも放置される可能性があります。実際に危険にさらされたアカウント数は、報告済みの8人を大幅に上回るかもしれません。

私の見解：
第一に、パスワードを変更したり、拡張機能を再インストールしたりしても、すでに流出した秘密鍵は救えません。財団は「秘密鍵が一度でも流出したら、どこで使っても安全ではない」と述べています。唯一の解決策は、新しいウォレットを作成し、新しいニーモニックフレーズを生成して、資金を移すことです。
第二に、財団はFearlessが「公式ウォレットではなかった」とことさらに強調しています。サードパーティ製拡張機能の自動更新は、そのたびに信頼を外部に委ね直す行為ですが、ユーザーはたいていそのことに気づきません。
第三に、ソースコード内の悪意あるコードは2026年6月25日に削除されましたが、インストール済みの旧バージョン3.0.3～3.0.5にはまだ残っており、遠隔操作のスイッチでいつでも再び有効化できます。危険なのはコードリポジトリではなく、あなたのブラウザーの拡張機能一覧にあるものです。

長期保有して動かさないユーザーにとって、今回の事件は特に警戒すべきものです。秘密鍵の流出に「対処できる猶予期間」はなく、あるのは「危険にさらされている時間」だけです。ブラウザー拡張機能のウォレットは、ちょっとした支出用には向いていますが、金庫代わりにはなりません。

あくまで個人の見解であり、投資助言ではありません。

#Polkadot #钱包安全 $DOT