Fearless Walletのブラウザー拡張機能を使ったことがある人は、そこに保存されている秘密鍵はすでに漏えいしたものとして扱ってください。ウォレットを替えるだけでは不十分です。新しいシードフレーズを作成し、資産を移してください。
Polkadot Community Foundationは10/21 22:00（UTC+8）／14:00 UTCにセキュリティ通知を発表しました。Fearless拡張機能のバージョン3.0.1、3.0.3、3.0.4、3.0.5には悪意のあるコードが仕込まれており、ウォレットのロックを解除すると、秘密鍵が攻撃者のサーバーに送信されます。このコードは2025/2/19にソースコードへ混入し、2026/10/10までの間に段階的に有効化されていました。今後、遠隔操作で再び有効化される可能性もあります。
現在、8人のユーザーから盗難被害の報告があり、被害総額は17,286 DOTです。DOTUSDTのレート約1.158で換算すると約2万ドルですが、これはあくまで報告済みの金額です。
昨日の「自分でシードフレーズを入力させる」手口とは異なり、今回は何もクリックしていなくても被害に遭う可能性があります。取るべき対応は次のとおりです。
・パスワードの変更や拡張機能の再インストールでは解決しません。古いシードフレーズは無効にしてください
・Fearlessのモバイル版のみを使用してください。公式が確認したAndroid／iOS版にはこのコードはありません。ただし、同じシードフレーズを拡張機能版にインポートしたことがある場合は、やはり漏えいしたものとして扱ってください
・別のウォレットで新しい秘密鍵を作成し、すべてのチェーンで資産を移してください。可能であれば、別のウォレットに古い秘密鍵をインポートして送金し、Fearless拡張機能のロックは再度解除しないでください
・ステーキング、ノミネーションプール、ガバナンスによるロックアップがある場合、資産をすぐに移せないことがあります。公式はまずPAPI Rescueに相談することを推奨しています。DOTのノミネーターは、ロック解除まで最短で約1～2日かかります
・資産の移動が終わったら、拡張機能を削除してください
自分では何もしていないのに、ステーキングが停止された、ロック解除が始まった、報酬の送金先が変更された、少額のテスト送金が行われた、といった兆候があれば警戒してください。移せる分だけでも、すぐに移してください。
私の見解（推論）：問題はサードパーティー製ウォレットへのコード埋め込みにあり、Fearlessもそもそも公式ウォレットではありません。Polkadotのブロックチェーン自体に問題があることを示す兆候は、現時点でありません。資産を取り戻せると積極的にDMで連絡してくる相手は、ほぼ間違いなく二次詐欺です。公式も、PolkadotにはXのサポートアカウントはないと説明しています。
$DOT｜出典：Polkadot Forumのセキュリティ通知（Polkadot Community Foundation）、Polkadot公式X｜投資助言ではありません
Polkadot Community Foundationは10/21 22:00（UTC+8）／14:00 UTCにセキュリティ通知を発表しました。Fearless拡張機能のバージョン3.0.1、3.0.3、3.0.4、3.0.5には悪意のあるコードが仕込まれており、ウォレットのロックを解除すると、秘密鍵が攻撃者のサーバーに送信されます。このコードは2025/2/19にソースコードへ混入し、2026/10/10までの間に段階的に有効化されていました。今後、遠隔操作で再び有効化される可能性もあります。
現在、8人のユーザーから盗難被害の報告があり、被害総額は17,286 DOTです。DOTUSDTのレート約1.158で換算すると約2万ドルですが、これはあくまで報告済みの金額です。
昨日の「自分でシードフレーズを入力させる」手口とは異なり、今回は何もクリックしていなくても被害に遭う可能性があります。取るべき対応は次のとおりです。
・パスワードの変更や拡張機能の再インストールでは解決しません。古いシードフレーズは無効にしてください
・Fearlessのモバイル版のみを使用してください。公式が確認したAndroid／iOS版にはこのコードはありません。ただし、同じシードフレーズを拡張機能版にインポートしたことがある場合は、やはり漏えいしたものとして扱ってください
・別のウォレットで新しい秘密鍵を作成し、すべてのチェーンで資産を移してください。可能であれば、別のウォレットに古い秘密鍵をインポートして送金し、Fearless拡張機能のロックは再度解除しないでください
・ステーキング、ノミネーションプール、ガバナンスによるロックアップがある場合、資産をすぐに移せないことがあります。公式はまずPAPI Rescueに相談することを推奨しています。DOTのノミネーターは、ロック解除まで最短で約1～2日かかります
・資産の移動が終わったら、拡張機能を削除してください
自分では何もしていないのに、ステーキングが停止された、ロック解除が始まった、報酬の送金先が変更された、少額のテスト送金が行われた、といった兆候があれば警戒してください。移せる分だけでも、すぐに移してください。
私の見解（推論）：問題はサードパーティー製ウォレットへのコード埋め込みにあり、Fearlessもそもそも公式ウォレットではありません。Polkadotのブロックチェーン自体に問題があることを示す兆候は、現時点でありません。資産を取り戻せると積極的にDMで連絡してくる相手は、ほぼ間違いなく二次詐欺です。公式も、PolkadotにはXのサポートアカウントはないと説明しています。
$DOT｜出典：Polkadot Forumのセキュリティ通知（Polkadot Community Foundation）、Polkadot公式X｜投資助言ではありません