Плагин-кошелёк с февраля 2025 года тайно отправлял приватные ключи на сторону. Его обнаружили лишь примерно через 20 месяцев.
Проблема затронула браузерное расширение Fearless Wallet — сторонний кошелёк для экосистем $DOT и Kusama, который поддерживает независимая команда. На странице в магазине Chrome указано 6000 пользователей.
Вчера около десяти вечера Polkadot опубликовал предупреждение о безопасности. Техническая команда выяснила, что 19 февраля 2025 года в код под видом изменений для «экосистемы TON» внедрили вредоносный фрагмент. В последующих версиях 3.0.1, 3.0.3, 3.0.4 и 3.0.5 при каждом вводе пароля для разблокировки кошелька приватные ключи могли отправляться на сервер злоумышленников. Код срабатывал не всегда — так продолжалось до 10 октября этого года.
На данный момент известно о 8 пострадавших. У них похитили в общей сложности 17 286 DOT — примерно 19 тысяч долларов по нынешнему курсу около 1,11 доллара за монету. Сумма невелика. Но вредоносный код незаметно пролежал в кошельке полтора года, и никто не знает, сколько людей за это время его разблокировали. В мобильной версии такого кода не обнаружили, но если вы импортировали ту же секретную фразу и в расширение, считайте, что она скомпрометирована.
Официальная рекомендация проста: создать новый кошелёк с новыми ключами и перевести туда все активы. Просто сменить пароль или перейти на другое приложение-кошелёк не поможет — приватные ключи уже утекли.
Именно это и заставляет кровь стынуть в жилах. Пострадавшие не переходили по фишинговым ссылкам и не подписывали никаких подозрительных разрешений — они просто открыли расширение и ввели пароль.
Проблема затронула браузерное расширение Fearless Wallet — сторонний кошелёк для экосистем $DOT и Kusama, который поддерживает независимая команда. На странице в магазине Chrome указано 6000 пользователей.
Вчера около десяти вечера Polkadot опубликовал предупреждение о безопасности. Техническая команда выяснила, что 19 февраля 2025 года в код под видом изменений для «экосистемы TON» внедрили вредоносный фрагмент. В последующих версиях 3.0.1, 3.0.3, 3.0.4 и 3.0.5 при каждом вводе пароля для разблокировки кошелька приватные ключи могли отправляться на сервер злоумышленников. Код срабатывал не всегда — так продолжалось до 10 октября этого года.
На данный момент известно о 8 пострадавших. У них похитили в общей сложности 17 286 DOT — примерно 19 тысяч долларов по нынешнему курсу около 1,11 доллара за монету. Сумма невелика. Но вредоносный код незаметно пролежал в кошельке полтора года, и никто не знает, сколько людей за это время его разблокировали. В мобильной версии такого кода не обнаружили, но если вы импортировали ту же секретную фразу и в расширение, считайте, что она скомпрометирована.
Официальная рекомендация проста: создать новый кошелёк с новыми ключами и перевести туда все активы. Просто сменить пароль или перейти на другое приложение-кошелёк не поможет — приватные ключи уже утекли.
Именно это и заставляет кровь стынуть в жилах. Пострадавшие не переходили по фишинговым ссылкам и не подписывали никаких подозрительных разрешений — они просто открыли расширение и ввели пароль.