关键事实

Polkadot 社区基金会于周三表示，2025年2月以不同时间段添加到 Fearless Wallet 浏览器扩展程序中的恶意代码，会在用户解锁钱包时将其私钥发送至攻击者控制的服务器。

据该基金会称，截至目前，已有八名用户报告了总计价值 17,286 DOT 的未经授权交易，这些交易可归因于此次漏洞利用。按照当前价格计算，这约合 20,500 美元。

基金会警告称，自 2025 年 2 月以来使用过该扩展程序的用户，应视其中所有账户均已遭到入侵，并立即在其他钱包中创建新的密钥对，转移其资金。

Fearless Wallet 扩展程序如何泄露密钥

根据安全公告，该浏览器扩展程序（一种热钱包）的版本 3.0.1、3.0.3、3.0.4 和 3.0.5 中包含恶意代码。当用户解锁钱包时，这段代码会将用户的私钥发送给攻击者运营的服务器。该代码于 2025 年 2 月 19 日作为名为“TON 生态系统”的大型更新的一部分，被添加到扩展程序的公开源代码中。

基金会指出，该代码在 2025 年 2 月至 2026 年 10 月 10 日期间处于激活状态，并且仍存在于已安装的 3.0.3 至 3.0.5 版本副本中，随时可能被重新启用。此次泄露已在 Chrome 版本中得到证实，该时期的 Firefox 用户也应视为其密钥已遭泄露。

基金会强调，Fearless Wallet 是由独立团队构建和维护的第三方应用程序，“它不是，也从未是 Polkadot 的官方钱包”。经过审查的 Android 和 iOS 应用未包含此恶意代码，但任何曾加载到扩展程序中的密钥，无论在哪里使用均被视为已泄露。

建议更换新密钥，而非仅更换应用

基金会表示，更改密码或重新安装扩展程序并不能解决问题；只有迁移到其他钱包应用并创建新的密钥对，才能保护用户资金。基金会建议用户使用 Nova Wallet，并提醒用户，存放在质押、提名池或治理投票中的资金无法立即转移。

Polkadot 警告用户要警惕任何声称可以恢复资金的个人，并补充称其“没有 X 平台的支持账号”。

此次警告发布之际，距离 Ledger 此前披露犯罪分子通过钱包植入攻击花费数百万美元，以及 CryptoBill 销售的钱包中发现植入物通过 LTE 发送助记词的事件仅过去一周左右。

据 CoinMarketCap 数据，截至发稿时，DOT 交易价格约为 1.18 美元，24 小时内上涨约 0.9%。