Polkadot 披露钱包扩展程序存在安全漏洞
Polkadot 警告第三方浏览器扩展程序 Fearless Wallet 的用户，其私钥已被泄露给攻击者。八位用户报告称，共有 17,286 个 DOT 代币被盗用。
Polkadot 已就 Fearless Wallet 浏览器扩展程序发布安全警报，提醒用户转移资金。此前，Polkadot 发现该第三方钱包存在私钥泄露问题。依赖该扩展程序的用户被敦促将账户视为已被盗用，并将包括$DOT在内的资产转移到新的钱包。
警报内容
Polkadot 社区基金会发出警告，Fearless 浏览器扩展程序的 3.0.1、3.0.3、3.0.4 和 3.0.5 版本包含恶意代码，用户解锁钱包时，其私钥可能会被发送到攻击者的服务器。该恶意代码于 2025 年 2 月 19 日作为名为“TON 生态系统”的重大更新的一部分被引入到扩展程序的公共源代码中，并间歇性地激活至 2026 年 10 月 10 日。
这意味着，使用过受影响版本的用户可能面临长达二十个月的风险。由于泄露的密钥可能一直处于闲置状态，直到攻击者决定发起攻击，因此受威胁的账户数量可能超过被盗账户的数量。
已有用户报告损失。八名用户报告称，他们遭遇了可能与该漏洞相关的未经授权的交易，涉及金额达 17,286 个 DOT。Chrome 浏览器仍然列出了受影响的扩展程序版本，该版本拥有 6,000 名用户，基金会敦促持有者创建新的密钥。
值得注意的是，Fearless Wallet 是由一个独立团队开发的，并非 Polkadot 官方钱包。
用户应该做什么
基金会建议自 2025 年 2 月以来使用过受影响插件的用户立即生成新密钥并转移资产。仅仅更改密码或重新安装插件是不够的。密钥应在另一个钱包中创建，并将资产转移到该钱包。
移动用户的情况稍好一些，但也不完全清楚。虽然目前尚未在移动平台上检测到该代码，但之前将同一私钥导入浏览器插件的用户也应被视为已遭入侵。 已确认 Chrome 版本受到影响，而 Firefox 版本使用了相同的代码。
持有质押资产、提名池资产或治理锁资产的用户需要额外执行一个步骤。据 KuCoin News 报道， polkadot-api 团队开发了一款名为 PAPI Rescue 的工具，以帮助追回此类资金。
此次事件提醒我们，基于浏览器的钱包存储私钥的环境依赖于每一次代码更新的可靠性。持有 $DOT 且使用任何浏览器扩展程序的用户都应该检查已安装的钱包以及导入到这些钱包中的密钥。
来源
加密货币简报：Polkadot警告Fearless Wallet用户密钥泄露后转移资金
