2025年2月から密かに秘密鍵を外部へ送信していたウォレット拡張機能が、発覚するまでにおよそ20か月かかりました。

被害に遭ったのはFearless Walletのブラウザー拡張機能です。$DOT とKusamaのエコシステムに対応するサードパーティ製ウォレットで、独立したチームが運営しており、Chromeウェブストアのページにはユーザー数6000人と記載されていました。

昨夜10時過ぎ、Polkadot側がセキュリティ警告を発表しました。技術チームが調査したところ、2025年2月19日に「TONエコシステム」を名目としたコード変更が行われ、その中に悪意のあるコードが仕込まれていたことが判明しました。その後の3.0.1、3.0.3、3.0.4、3.0.5の各バージョンでは、ユーザーがパスワードを入力してウォレットのロックを解除するたびに、秘密鍵が攻撃者のサーバーへ送信される可能性がありました。このコードは動作したりしなかったりしながら、今年の10月10日まで残っていました。

現時点で報告されている被害者は8人で、盗まれたDOTは合計17,286枚。現在の価格である1.11ドル前後で換算すると、およそ1万9000ドルです。金額は大きくありません。しかし、このコードは1年半もの間、ひっそりと潜伏していました。その間に何人がウォレットのロックを解除したのか、誰にも分かりません。モバイル版を調べたところ、このコードは見つかりませんでしたが、同じシードフレーズを拡張機能にもインポートしていた場合は、やはり危険にさらされていると考えられます。

公式が案内している対処法は明快です。別のウォレットを使って新しい鍵を生成し、資産をすべて移してください。パスワードを変えるだけでも、ウォレットアプリを変えるだけでも不十分です。秘密鍵はすでに外部へ流出しています。

何よりぞっとするのは、この点です。被害者たちはフィッシングリンクをクリックしたわけでも、怪しい承認を行ったわけでもありません。ただ普通に拡張機能を開いて、パスワードを入力しただけなのです。