A chave privada foi roubada por 20 meses. Só perceberam quando 8 carteiras foram esvaziadas
⚡ 有大动静群里说
Uma extensão de navegador chamada Fearless Wallet começou a enviar as frases-semente e as chaves privadas dos usuários para terceiros em fevereiro de 2025, e continuou fazendo isso até outubro deste ano. A Fundação da Comunidade Polkadot só emitiu um alerta de segurança em 21 de outubro. Oito usuários já registraram queixa, e um total de 17.286 DOT foi transferido, o equivalente a cerca de US$ 17,7 mil ao preço atual 💥
O método não é exatamente novo, mas estava muito bem escondido. No momento em que o usuário desbloqueava a carteira, o código malicioso da extensão reunia a frase-semente, a chave privada e o arquivo keystore e os enviava a um servidor externo por meio de uma solicitação HTTP. Para piorar, havia um interruptor remoto: os invasores podiam ativá-lo ou desativá-lo a qualquer momento. Uma pessoa comum não teria como perceber que estava sendo monitorada 🦖
A empresa de segurança SlowMist identificou em seguida que as versões afetadas eram a 3.0.1 e as versões de 3.0.3 a 3.0.5. O código malicioso já havia sido removido do código-fonte em junho, mas o interruptor remoto só foi desativado em outubro. O que já foi levado, porém, não pode ser recuperado ⚠️
O que tornou esse caso ainda mais grave foi o Referendum 1910, que entrou em vigor em 6 de julho. A Polkadot reduziu o período de desvinculação dos nominadores de até 28 dias para cerca de 2 dias. Nos casos mais rápidos, os fundos podem ser retirados em 24 a 48 horas. A experiência de staking melhorou, mas, se a chave privada cair nas mãos de outra pessoa, a janela para a vítima perceber algo errado, buscar ajuda e impedir a transferência dos ativos encolheu de 4 semanas para apenas dois dias 📉
É importante deixar claro: as autoridades afirmaram que, até o momento, não há evidências de que a redução do período de desvinculação tenha causado esse roubo. Alguns pedidos de desvinculação das contas foram feitos antes da atualização de julho e ainda seguiram as regras antigas. Mesmo assim, o risco já estava evidente. Em 30 de junho, a PAPI Rescue alertou que reduzir o período de 28 dias para dois eras deixaria pouco tempo para intervir. Esse serviço de recuperação afirma já ter recuperado mais de US$ 250 mil.
Na minha opinião, esse não é um problema exclusivo da Polkadot. É uma conta que todas as blockchains públicas que tornam os saques mais rápidos e o desbloqueio mais simples precisam fazer. Liquidez é um diferencial do produto; a janela para recuperação é parte do orçamento de segurança. Uma coisa é sacrificada em favor da outra, e os usuários geralmente só veem a primeira.
Há ainda algo que muita gente faz errado: trocar a senha, reinstalar a extensão ou importar a mesma frase-semente para uma carteira nova. Nada disso resolve o problema da exposição. Se a chave privada já foi enviada para terceiros, a única solução é criar um novo par de chaves e transferir os ativos. As autoridades também alertaram para não confiar em equipes de recuperação que entram em contato por iniciativa própria e, principalmente, para nunca entregar a chave privada a ninguém.
Quantas extensões você ainda tem instaladas no celular e no navegador sem saber direito o que fazem? Conte nos comentários.
Toque no avatar para assistir à transmissão ao vivo.
Todos os dias, ajudamos você a acompanhar os principais temas de segurança cripto. Não apenas mostramos o que está acontecendo, mas também explicamos a lógica e as oportunidades por trás das notícias 👀🚀
⚡ 有大动静群里说
Uma extensão de navegador chamada Fearless Wallet começou a enviar as frases-semente e as chaves privadas dos usuários para terceiros em fevereiro de 2025, e continuou fazendo isso até outubro deste ano. A Fundação da Comunidade Polkadot só emitiu um alerta de segurança em 21 de outubro. Oito usuários já registraram queixa, e um total de 17.286 DOT foi transferido, o equivalente a cerca de US$ 17,7 mil ao preço atual 💥
O método não é exatamente novo, mas estava muito bem escondido. No momento em que o usuário desbloqueava a carteira, o código malicioso da extensão reunia a frase-semente, a chave privada e o arquivo keystore e os enviava a um servidor externo por meio de uma solicitação HTTP. Para piorar, havia um interruptor remoto: os invasores podiam ativá-lo ou desativá-lo a qualquer momento. Uma pessoa comum não teria como perceber que estava sendo monitorada 🦖
A empresa de segurança SlowMist identificou em seguida que as versões afetadas eram a 3.0.1 e as versões de 3.0.3 a 3.0.5. O código malicioso já havia sido removido do código-fonte em junho, mas o interruptor remoto só foi desativado em outubro. O que já foi levado, porém, não pode ser recuperado ⚠️
O que tornou esse caso ainda mais grave foi o Referendum 1910, que entrou em vigor em 6 de julho. A Polkadot reduziu o período de desvinculação dos nominadores de até 28 dias para cerca de 2 dias. Nos casos mais rápidos, os fundos podem ser retirados em 24 a 48 horas. A experiência de staking melhorou, mas, se a chave privada cair nas mãos de outra pessoa, a janela para a vítima perceber algo errado, buscar ajuda e impedir a transferência dos ativos encolheu de 4 semanas para apenas dois dias 📉
É importante deixar claro: as autoridades afirmaram que, até o momento, não há evidências de que a redução do período de desvinculação tenha causado esse roubo. Alguns pedidos de desvinculação das contas foram feitos antes da atualização de julho e ainda seguiram as regras antigas. Mesmo assim, o risco já estava evidente. Em 30 de junho, a PAPI Rescue alertou que reduzir o período de 28 dias para dois eras deixaria pouco tempo para intervir. Esse serviço de recuperação afirma já ter recuperado mais de US$ 250 mil.
Na minha opinião, esse não é um problema exclusivo da Polkadot. É uma conta que todas as blockchains públicas que tornam os saques mais rápidos e o desbloqueio mais simples precisam fazer. Liquidez é um diferencial do produto; a janela para recuperação é parte do orçamento de segurança. Uma coisa é sacrificada em favor da outra, e os usuários geralmente só veem a primeira.
Há ainda algo que muita gente faz errado: trocar a senha, reinstalar a extensão ou importar a mesma frase-semente para uma carteira nova. Nada disso resolve o problema da exposição. Se a chave privada já foi enviada para terceiros, a única solução é criar um novo par de chaves e transferir os ativos. As autoridades também alertaram para não confiar em equipes de recuperação que entram em contato por iniciativa própria e, principalmente, para nunca entregar a chave privada a ninguém.
Quantas extensões você ainda tem instaladas no celular e no navegador sem saber direito o que fazem? Conte nos comentários.
Toque no avatar para assistir à transmissão ao vivo.
Todos os dias, ajudamos você a acompanhar os principais temas de segurança cripto. Não apenas mostramos o que está acontecendo, mas também explicamos a lógica e as oportunidades por trás das notícias 👀🚀