Приватные ключи воровали 20 месяцев — пока не опустошили 8 кошельков и кто-то это не заметил
⚡ 有大动静群里说
Расширение для браузера под названием Fearless Wallet с февраля 2025 года отправляло пользовательские мнемонические фразы и приватные ключи на сторону. Это продолжалось до октября этого года. Лишь 21 октября Фонд сообщества Polkadot выпустил предупреждение о безопасности. Уже 8 пользователей подали заявления в полицию: в общей сложности было переведено 17 286 DOT — около 17 700 долларов по текущему курсу 💥
Метод не новый, но вредоносный код хорошо прятался. Стоило пользователю разблокировать кошелёк, как расширение собирало мнемоническую фразу, приватный ключ и файл keystore, а затем отправляло их на внешний сервер через HTTP-запрос. Ещё хуже то, что в нём был удалённый переключатель: злоумышленники могли в любой момент включать и выключать сбор данных. Обычный пользователь даже не подозревал, что за ним следят 🦖
Позже специалисты компании по кибербезопасности SlowMist установили, что пострадали версии 3.0.1 и 3.0.3–3.0.5. Вредоносный код удалили из исходников ещё в июне, а удалённый переключатель отключили только в октябре. Но украденное уже не вернуть ⚠️
Ситуацию усугубило то, что 6 июля вступил в силу референдум 1910. Polkadot сократил период разблокировки средств у номинаторов с максимальных 28 дней примерно до 2 дней. В удачном случае вывести средства можно за 24–48 часов. Стейкинг стал удобнее, но если приватный ключ попал в чужие руки, у пострадавшего стало гораздо меньше времени, чтобы заметить неладное, найти помощь и успеть остановить перевод активов: вместо четырёх недель осталось два дня 📉
Важно уточнить: официальные лица прямо заявили, что на данный момент нет доказательств того, что сокращение периода разблокировки стало причиной этой кражи. Запросы на разблокировку некоторых аккаунтов были поданы ещё до обновления в июле и обрабатывались по старым правилам. Но направление риска уже очевидно. Ещё 30 июня PAPI Rescue предупреждала, что сокращение периода с 28 дней до двух эра оставит слишком мало времени для вмешательства. По словам этой службы помощи, ей уже удалось вернуть активы на сумму более 250 000 долларов.
На мой взгляд, проблема касается не только Polkadot. Её должны учитывать все публичные блокчейны, которые ускоряют вывод средств и упрощают разблокировку. Ликвидность — это преимущество продукта, а время на спасение средств — часть бюджета безопасности. Улучшая одно, приходится сокращать другое, но пользователи обычно замечают только первое.
И ещё: многие допускают ошибку. Меняют пароль, переустанавливают расширение, импортируют ту же мнемоническую фразу в новый кошелёк — но это не устраняет сам факт утечки. Если приватный ключ хотя бы раз был отправлен посторонним, единственный выход — создать новую пару ключей и перевести активы. Официальные представители также предупреждают: не доверяйте тем, кто сам предлагает помощь, и ни при каких обстоятельствах не передавайте приватный ключ кому бы то ни было.
Сколько расширений, в работе которых вы не до конца уверены, установлено на вашем телефоне и в браузере? Давайте обсудим в комментариях.
Нажмите на аватар, чтобы посмотреть прямой эфир
Каждый день рассказываю о главных новостях в сфере криптобезопасности: не просто о том, что произошло, но и о логике и возможностях, которые за этим стоят 👀🚀
⚡ 有大动静群里说
Расширение для браузера под названием Fearless Wallet с февраля 2025 года отправляло пользовательские мнемонические фразы и приватные ключи на сторону. Это продолжалось до октября этого года. Лишь 21 октября Фонд сообщества Polkadot выпустил предупреждение о безопасности. Уже 8 пользователей подали заявления в полицию: в общей сложности было переведено 17 286 DOT — около 17 700 долларов по текущему курсу 💥
Метод не новый, но вредоносный код хорошо прятался. Стоило пользователю разблокировать кошелёк, как расширение собирало мнемоническую фразу, приватный ключ и файл keystore, а затем отправляло их на внешний сервер через HTTP-запрос. Ещё хуже то, что в нём был удалённый переключатель: злоумышленники могли в любой момент включать и выключать сбор данных. Обычный пользователь даже не подозревал, что за ним следят 🦖
Позже специалисты компании по кибербезопасности SlowMist установили, что пострадали версии 3.0.1 и 3.0.3–3.0.5. Вредоносный код удалили из исходников ещё в июне, а удалённый переключатель отключили только в октябре. Но украденное уже не вернуть ⚠️
Ситуацию усугубило то, что 6 июля вступил в силу референдум 1910. Polkadot сократил период разблокировки средств у номинаторов с максимальных 28 дней примерно до 2 дней. В удачном случае вывести средства можно за 24–48 часов. Стейкинг стал удобнее, но если приватный ключ попал в чужие руки, у пострадавшего стало гораздо меньше времени, чтобы заметить неладное, найти помощь и успеть остановить перевод активов: вместо четырёх недель осталось два дня 📉
Важно уточнить: официальные лица прямо заявили, что на данный момент нет доказательств того, что сокращение периода разблокировки стало причиной этой кражи. Запросы на разблокировку некоторых аккаунтов были поданы ещё до обновления в июле и обрабатывались по старым правилам. Но направление риска уже очевидно. Ещё 30 июня PAPI Rescue предупреждала, что сокращение периода с 28 дней до двух эра оставит слишком мало времени для вмешательства. По словам этой службы помощи, ей уже удалось вернуть активы на сумму более 250 000 долларов.
На мой взгляд, проблема касается не только Polkadot. Её должны учитывать все публичные блокчейны, которые ускоряют вывод средств и упрощают разблокировку. Ликвидность — это преимущество продукта, а время на спасение средств — часть бюджета безопасности. Улучшая одно, приходится сокращать другое, но пользователи обычно замечают только первое.
И ещё: многие допускают ошибку. Меняют пароль, переустанавливают расширение, импортируют ту же мнемоническую фразу в новый кошелёк — но это не устраняет сам факт утечки. Если приватный ключ хотя бы раз был отправлен посторонним, единственный выход — создать новую пару ключей и перевести активы. Официальные представители также предупреждают: не доверяйте тем, кто сам предлагает помощь, и ни при каких обстоятельствах не передавайте приватный ключ кому бы то ни было.
Сколько расширений, в работе которых вы не до конца уверены, установлено на вашем телефоне и в браузере? Давайте обсудим в комментариях.
Нажмите на аватар, чтобы посмотреть прямой эфир
Каждый день рассказываю о главных новостях в сфере криптобезопасности: не просто о том, что произошло, но и о логике и возможностях, которые за этим стоят 👀🚀