Quem já usou a extensão de navegador da Fearless Wallet deve considerar a chave privada armazenada nela comprometida: trocar de carteira não basta — é preciso criar uma nova frase-semente e transferir os fundos.
A Polkadot Community Foundation publicou um aviso de segurança em 21/10, às 22:00 (UTC+8) / 14:00 UTC: as versões 3.0.1, 3.0.3, 3.0.4 e 3.0.5 da extensão Fearless continham código malicioso. Bastava desbloquear a carteira para que a chave privada fosse enviada ao servidor dos atacantes. O código foi inserido no código-fonte em 19/02/2025 e ativado em etapas entre essa data e 10/10/2026; também pode ser reativado remotamente.
Até agora, 8 usuários relataram roubos, totalizando 17.286 DOT (cerca de US$ 20 mil, calculados com o DOTUSDT a aproximadamente 1,158 — esse é apenas o valor já relatado).
Diferentemente do golpe de ontem, em que tentavam fazer você inserir a frase-semente, desta vez você pode ser afetado sem clicar em nada. O que fazer:
・Trocar a senha ou reinstalar a extensão não adianta; a frase-semente antiga deve ser considerada comprometida
・Use apenas o aplicativo móvel da Fearless: as versões para Android/iOS verificadas oficialmente não contêm esse código. Mas, se a mesma frase-semente já foi importada para a extensão, ela também deve ser considerada comprometida
・Crie uma nova chave privada em outra carteira e transfira os fundos de cada rede; se possível, importe a chave privada antiga para outra carteira e faça a transferência por lá. Não desbloqueie novamente a extensão Fearless
・Se você tiver fundos em staking, em um pool de nominadores ou bloqueados para governança, não poderá transferi-los imediatamente. A recomendação oficial é procurar o PAPI Rescue; para nominadores de DOT, o desbloqueio pode levar cerca de 1 a 2 dias, no mínimo
・Remova a extensão depois de transferir os fundos
Se você não fez nenhuma ação, mas percebe que o staking foi interrompido, que o desbloqueio foi iniciado, que o endereço de recompensas foi alterado ou que houve uma pequena transferência de teste, isso é um sinal de alerta. Transfira primeiro o máximo que puder.
Minha avaliação (inferência): o problema foi causado pela inserção de código malicioso em uma carteira de terceiros. A Fearless nunca foi uma carteira oficial, e não há indícios de que o problema esteja na própria blockchain Polkadot. Quem entrar em contato por mensagem privada dizendo que pode ajudar a recuperar os fundos quase certamente está aplicando um segundo golpe. A equipe oficial também informa que a Polkadot não tem uma conta de atendimento ao cliente no X.
$DOT｜Fonte: aviso de segurança no Polkadot Forum (Polkadot Community Foundation), X oficial da Polkadot｜Não é recomendação de investimento
A Polkadot Community Foundation publicou um aviso de segurança em 21/10, às 22:00 (UTC+8) / 14:00 UTC: as versões 3.0.1, 3.0.3, 3.0.4 e 3.0.5 da extensão Fearless continham código malicioso. Bastava desbloquear a carteira para que a chave privada fosse enviada ao servidor dos atacantes. O código foi inserido no código-fonte em 19/02/2025 e ativado em etapas entre essa data e 10/10/2026; também pode ser reativado remotamente.
Até agora, 8 usuários relataram roubos, totalizando 17.286 DOT (cerca de US$ 20 mil, calculados com o DOTUSDT a aproximadamente 1,158 — esse é apenas o valor já relatado).
Diferentemente do golpe de ontem, em que tentavam fazer você inserir a frase-semente, desta vez você pode ser afetado sem clicar em nada. O que fazer:
・Trocar a senha ou reinstalar a extensão não adianta; a frase-semente antiga deve ser considerada comprometida
・Use apenas o aplicativo móvel da Fearless: as versões para Android/iOS verificadas oficialmente não contêm esse código. Mas, se a mesma frase-semente já foi importada para a extensão, ela também deve ser considerada comprometida
・Crie uma nova chave privada em outra carteira e transfira os fundos de cada rede; se possível, importe a chave privada antiga para outra carteira e faça a transferência por lá. Não desbloqueie novamente a extensão Fearless
・Se você tiver fundos em staking, em um pool de nominadores ou bloqueados para governança, não poderá transferi-los imediatamente. A recomendação oficial é procurar o PAPI Rescue; para nominadores de DOT, o desbloqueio pode levar cerca de 1 a 2 dias, no mínimo
・Remova a extensão depois de transferir os fundos
Se você não fez nenhuma ação, mas percebe que o staking foi interrompido, que o desbloqueio foi iniciado, que o endereço de recompensas foi alterado ou que houve uma pequena transferência de teste, isso é um sinal de alerta. Transfira primeiro o máximo que puder.
Minha avaliação (inferência): o problema foi causado pela inserção de código malicioso em uma carteira de terceiros. A Fearless nunca foi uma carteira oficial, e não há indícios de que o problema esteja na própria blockchain Polkadot. Quem entrar em contato por mensagem privada dizendo que pode ajudar a recuperar os fundos quase certamente está aplicando um segundo golpe. A equipe oficial também informa que a Polkadot não tem uma conta de atendimento ao cliente no X.
$DOT｜Fonte: aviso de segurança no Polkadot Forum (Polkadot Community Foundation), X oficial da Polkadot｜Não é recomendação de investimento