Polkadot Community Foundationは、Fearless Walletのブラウザー拡張機能の複数のバージョンに、ユーザーがウォレットのロックを解除した際に秘密鍵を攻撃者が管理するサーバーへ送信する悪意のあるコードが含まれていると警告しました。Foresight Newsによると、影響を受けるのはバージョン3.0.1、3.0.3、3.0.4、3.0.5です。2025年2月以降にこの拡張機能を使用したユーザーは、拡張機能内のすべてのアカウントが侵害されたものとみなし、直ちに資産を新しいアカウントへ移すべきです。

このコードは2025年2月19日、「TONエコシステム」と題された大規模な変更の一環として、拡張機能の公開ソースコードに追加されました。2025年2月から2026年10月10日まで断続的に作動し、いつでも再び有効化される可能性がありました。Chrome拡張機能が影響を受けていることは確認されており、公開停止となったFirefox版でも同じコードが使用されていました。Foundationによると、Android版やiOS版のアプリではこのコードは見つかっていません。ただし、秘密鍵をブラウザー拡張機能にもインポートしていた場合、その秘密鍵は侵害されたものとみなすべきです。

このインシデントに関連する不正な取引について、8人のユーザーから報告があり、被害総額は17,286 DOTに上ります。パスワードの変更や拡張機能の再インストールでは、この問題は解決しません。資産をステーキングしているユーザー、ノミネーションプールに参加しているユーザー、またはガバナンス投票のために資産をロックしているユーザーは、Polkadot APIチームが開発したツール「PAPI Rescue」を使って、資産の復旧支援を受けることができます。財団は、Fearless Walletは独立したチームが開発・保守しており、Polkadotの公式ウォレットではないと説明しました。