• 21 октября Фонд сообщества Polkadot предупредил пользователей Fearless Wallet, что их аккаунты следует считать скомпрометированными

• Вредоносный код в сборках 3.0.1, 3.0.3, 3.0.4 и 3.0.5 отправлял приватные ключи на tonscanner.org

• Удалённый переключатель поддерживал утечку данных примерно 571 день в течение девяти периодов

Ключи копировались с февраля 2025 года

Фонд сообщества Polkadot призвал всех, кто пользовался расширением Fearless Wallet для браузера начиная с 19 февраля 2025 года, считать скомпрометированными все аккаунты с Polkadot (DOT) или любыми другими активами и немедленно перевести средства. Предупреждение, опубликованное 21 октября 2026 года, последовало за обнаружением в расширении кода, который копировал приватные ключи на сервер, контролируемый злоумышленником, и периодически оставался активным вплоть до 10 октября 2026 года — почти 20 месяцев. Этот код содержался в четырёх сборках: 3.0.1, 3.0.3, 3.0.4 и 3.0.5. Он активировался, когда пользователь разблокировал кошелёк с правильным паролем. В опубликованном вместе с предупреждением техническом анализе описан механизм атаки: расширение собирало фразу восстановления каждого аккаунта, мастер-сид HD-кошелька или файл резервной копии, а также пароль от кошелька. Затем оно шифровало эти данные с пустым паролем — такую защиту может снять кто угодно — и загружало результат на tonscanner.org. Код попал в проект через pull request № 1022 на GitHub, включённый в состав более крупного изменения под названием «экосистема TON» в открытом исходном коде расширения. Версии с 3.0.3 по 3.0.5 также считывали файл конфигурации из отдельного публичного репозитория, который служил удалённым переключателем для включения и отключения кода. Рекомендация однозначна. Приватный ключ даёт полный контроль над аккаунтом, поэтому смена пароля или переустановка расширения ничего не изменит: владелец ключа может подписывать переводы и опустошить баланс. Фонд рекомендовал создать новую пару ключей в другом, регулярно обновляемом криптокошельке и перевести средства со старого аккаунта во всех сетях, где он использовался, — по возможности не разблокируя Fearless повторно. В качестве одного из вариантов для нового аккаунта фонд назвал Nova Wallet. На момент распространения предупреждения Polkadot стоил 1,17 доллара: за семь дней цена выросла на 3%, а за год снизилась на 62,7%.

Восемь сообщений; кража 17 286 DOT не подтверждена

Публичный журнал активности GitHub показывает, что удаленный переключатель был включен в течение девяти отдельных периодов между 7 марта 2025 года и конечной датой — 10 октября 2026 года, в общей сложности примерно 571 день. Код удалили из исходного кода проекта 25 июня 2026 года, однако в установленных копиях версий с 3.0.3 по 3.0.5 он всё еще присутствует. При каждой разблокировке эти копии проверяют удаленный переключатель, который сейчас выключен, но его могут включить снова. Фонд посоветовал пользователям сначала перевести средства, а затем удалить расширение. Версия для Firefox выполняла тот же код и больше не указана в списке; ключи, использовавшиеся в ней в этот период, также следует считать скомпрометированными. Проверенные приложения для Android и iOS не содержат этого кода, однако в уведомлении добавлено, что любой приватный ключ, когда-либо находившийся в расширении, скомпрометирован везде, где он используется. По своей сути браузерное расширение — это горячий кошелек, хранящий ключи на устройстве с подключением к интернету. По состоянию на 21 октября версию 3.0.5 всё еще можно было скачать в магазине Chrome, а число ее пользователей составляло 6 000. Восемь пользователей сообщили о несанкционированных переводах, которые могут быть связаны с эксплойтом; заявленная общая сумма составляет 17 286 DOT. В журнале обращений отмечается, что эти сообщения не доказывают факт кражи. Первое обращение датировано 30 сентября 2025 года; затем, 6 октября 2025 года, появилась публикация на Reddit, где несколько пользователей написали, что средства переместились сразу после разблокировки кошелька. Стейкнутые монеты, депозиты в пулах номинаций и монеты, заблокированные для участия в управлении, нельзя вывести немедленно. Для номинаторов минимальный период разблокировки составляет от одного до двух дней, и в уведомлении перед отменой стейкинга пользователям рекомендуют воспользоваться PAPI Rescue — инструментом команды polkadot-api. Фонд добавил, что никому, включая команду PAPI Rescue, не нужны приватные ключи пользователя; любой, кто первым пишет и предлагает вернуть средства, не заслуживает доверия. Fearless Wallet создана независимой командой и, как указано в уведомлении, не является и никогда не была официальным кошельком Polkadot. Между тем для сети месяц выдался насыщенным: стейблкоин dotUSD запустили в начале октября, а референдум DAO о первенстве dotUSD рассматривается в отдельном материале.

Удаленный переключатель пока выключен

Утечка необратима по самой своей природе: утекший приватный ключ нельзя заменить — можно лишь перевести средства с него. Пока что в отчетах не хватает данных о масштабах проблемы. Фонд не опубликовал число затронутых аккаунтов, а указанные в материалах 17 286 DOT — это заявленная, а не подтвержденная сумма украденного. Два наблюдения изменили бы эту картину, и в уведомлении названы оба: повторное включение удаленного переключателя или новая серия переводов при разблокировке, подобных тем, о которых сообщили восемь пользователей. Ни того ни другого не фиксировали после 10 октября 2026 года. Для ключей, которые после перевода средств должны оставаться офлайн, практичным решением будет холодный кошелек; в нашем руководстве по Cypherock X1 описана одна из таких конфигураций.