1022

Плагин Fearless Wallet почти 20 месяцев похищал приватные ключи: у 8 пользователей украли 17,286 $DOT , фонд призвал перевести средства

Главный вывод: это была не обычная уязвимость, а вредоносный код, скрывавшийся в открытом исходном коде почти 20 месяцев. Самая опасная разновидность браузерного горячего кошелька — та, которая всё это время выглядит совершенно исправной.

Факты взяты из уведомления о безопасности, опубликованного Фондом сообщества Polkadot 21 октября (в тот же день об этом сообщили Cryptopolitan, Crypto Briefing и CoinMarketCap):

1. Вредоносный код попал в общедоступный исходный код плагина Fearless Wallet 19 февраля 2025 года через PR #1022 на GitHub — крупное обновление под названием «экосистема TON». Он периодически активировался вплоть до 10 октября 2026 года — в течение примерно 571 дня. Затронуты четыре версии браузерного плагина: 3.0.1, 3.0.3, 3.0.4 и 3.0.5.

2. Для срабатывания было достаточно обычной разблокировки кошелька: плагин собирал мнемоническую фразу или файл резервной копии вместе с паролем кошелька, «шифровал» их пустым паролем (такое шифрование может обратить кто угодно), а затем отправлял на внешний сервер. В день публикации уведомления, 21 октября, в магазине Chrome всё ещё была доступна версия 3.0.5 — по данным магазина, около 6 000 пользователей. Подтверждено, что в версии для Firefox был тот же код; версии для Android и iOS, прошедшие проверку, его не содержали.

3. Подтверждённые потери: 8 пользователей сообщили о связанных с этим несанкционированных переводах на общую сумму 17,286 DOT. По цене на момент публикации CoinMarketCap это около 20 500 долларов. Поскольку похищенные приватные ключи могут лежать без дела в ожидании удобного момента для кражи, фактическое число затронутых аккаунтов может намного превышать 8 уже сообщивших об инциденте пользователей.

Моя оценка:
Во-первых, смена пароля и переустановка плагина не спасут уже утёкшие приватные ключи — фонд прямо заявил: «Если приватный ключ утёк, его использование где бы то ни было больше небезопасно». Единственное решение: создать новый кошелёк, сгенерировать новую мнемоническую фразу и перевести средства.
Во-вторых, фонд особо подчеркнул, что Fearless «никогда не был официальным кошельком». Каждое автоматическое обновление стороннего плагина — это очередная передача доверия на сторону, о которой пользователи зачастую даже не подозревают.
В-третьих, вредоносный код удалили из исходного кода 25 июня 2026 года, но он всё ещё присутствует в старых версиях 3.0.3–3.0.5, которые уже установлены у пользователей; удалённый переключатель может снова активировать его в любой момент. Опасность не в репозитории, а в списке расширений вашего браузера.

Пользователям, которые долго хранят монеты без движения, особенно важно отнестись к этому инциденту настороженно: у утечки приватного ключа нет «периода для исправления последствий» — есть лишь «длительность уязвимости». Браузерный кошелёк-плагин подходит для мелких трат, но не для хранения капитала.

Это лишь личное мнение, а не инвестиционная рекомендация.

#Polkadot #钱包安全 $DOT