Polkadotがウォレット拡張機能におけるセキュリティ侵害を公表
Polkadotは、サードパーティ製のブラウザ拡張機能「Fearless Wallet」のユーザーに対し、秘密鍵が攻撃者に漏洩したと警告した。8人のユーザーから、17,286 DOT相当の不正取引が報告されている。
Polkadotは、サードパーティ製ウォレットから秘密鍵が漏洩していたことが判明したため、Fearless Walletブラウザ拡張機能に関するセキュリティ警告を発令し、ユーザーに資金を移動するよう呼びかけた。この拡張機能を利用していたユーザーは、アカウントが侵害されたとみなし、$DOTを含む資産を新しいウォレットに移すよう強く求められている。
アラートの内容
Polkadot Community Foundationは、Fearlessブラウザ拡張機能のバージョン3.0.1、3.0.3、3.0.4、および3.0.5に悪意のあるコードが含まれており、ユーザーがウォレットのロックを解除する際に秘密鍵が攻撃者のサーバーに送信される可能性があると警告しました。このコードは、「TONエコシステム」と題されたメジャーアップデートの一環として、2025年2月19日に拡張機能の公開ソースコードに導入され、2026年10月10日まで断続的に有効化されていました。
これは、影響を受けたビルドを使用したユーザーにとって、潜在的なリスク期間が約20か月に及ぶことを意味します。漏洩したキーは攻撃者が攻撃を仕掛けるまで使用されずに放置される可能性があるため、リスクにさらされたアカウント数は、実際に資金が流出したアカウント数を上回る可能性があります。
既に被害が報告されている。8人のユーザーが、この脆弱性に関連する可能性のある不正取引を報告しており、被害総額は17,286 DOTに上る。Chromeは依然として影響を受ける拡張機能のバージョンを6,000人のユーザーとともに表示しており、財団はキー保有者に対し新たなキーを作成するよう促している。
また、Fearless Walletは独立したチームによって開発されたものであり、公式のPolkadotウォレットではない点にも留意すべきである。
ユーザーがすべきこと
財団は、2025年2月以降に該当プラグインを使用したユーザーに対し、直ちに新しいキーを生成し、資産を移転するよう勧告しています。パスワードの変更やプラグインの再インストールだけでは不十分です。キーは別のウォレットで作成し、資産を移動する必要があります。
モバイルユーザーは比較的安全な状況にあるものの、状況は完全には明らかではない。このコードはモバイルプラットフォームでは検出されていないが、以前に同じ秘密鍵をブラウザプラグインにインポートしたユーザーも、セキュリティ侵害を受けている可能性がある。 Chrome版に影響を受けることが確認されており、Firefox版も同じコードを使用している。
ステーキング、指名プール、ガバナンスロックに資産を持つユーザーは、追加の手順を踏む必要がある。KuCoin Newsのレポートによると、 polkadot-apiチームは、こうした資金の回収を支援するためにPAPI Rescueと呼ばれるツールを開発しました。
今回の事件は、ブラウザベースのウォレットが、すべてのコード更新の信頼性に依存する環境で秘密鍵を保持していることを改めて示すものです。ブラウザ拡張機能を使用している$DOT保有者は、インストールされているウォレットと、そこにインポートされている秘密鍵を確認する必要があります。
ソース
暗号通貨ニュース速報：Polkadot、鍵漏洩を受けFearless Walletユーザーに資金移動を警告
