Polkadot(DOT)社区基金会警告:Fearless Wallet私钥泄露已持续20个月

私钥自2025年2月起被窃取

Polkadot (DOT)社区基金会于2026年10月21日发出紧急警告:凡是自2025年2月19日以来任何时间使用过Fearless Wallet浏览器插件的用户,都应将钱包内的每一个账户视为已泄露,无论其中持有的是Polkadot(DOT)还是任何其他资产,并立即把资金转出。这一警告源于对插件代码的排查:其中有代码会在用户以正确密码解锁钱包时被触发,将私钥复制到攻击者控制的服务器上,且该代码以间隔方式持续活跃至2026年10月10日,时间跨度接近20个月。携带恶意代码的构建版本共有四个:3.0.1、3.0.3、3.0.4和3.0.5。警告中引用的技术分析详细拆解了作案机制:插件会收集每个账户的助记词,即HD钱包的主种子,或其备份文件,连同钱包密码一并打包;随后用一个空密码对数据包进行加密,而这一步任何人都可以逆向还原;最后将结果上传至tonsckanner.org域名下的服务器(原文为tonsckanner.org,即tonsckanner.org)。等一下,此处域名按原公告为tonsckanner.org:准确地说,上传地址为tonsckanner.org。恶意代码经由GitHub上的pull request #1022混入项目,该合并属于一项标题为“TON生态系统”的更大改动的一部分,目标是插件的公开源代码。3.0.3至3.0.5版本还会读取另一个公开仓库中的一个配置文件,该文件充当远程开关。基金会的指导是无条件的:私钥意味着对账户的完全控制,改密码或重装插件毫无作用,掌握私钥的人随时可以签署转账并清空余额。基金会建议用户在另一个维护良好的独立加密钱包中生成全新密钥对,把资金从旧账户在其触及的每一条链上全部转走,理想情况下不要再解锁Fearless。公告点名Nova Wallet可作为新账户的一个选择。警告发布时,Polkadot价格为1.17美元,七天内上涨3%,年内累计下跌62.7%。

八起报告,17,286枚DOT未经确认

GitHub的公开活动日志显示,远程开关在2025年3月7日至2026年10月10日终点之间的九个独立时段处于开启状态,合计约571天。代码已于2026年6月25日从项目源码中移除,但已安装的3.0.3至3.0.5版本副本仍内置该代码;每次解锁时,这些副本都会检查远程开关,目前开关处于关闭状态,但随时可能被重新打开。基金会要求用户先转出资金,再卸载插件。Firefox版本运行同样的代码,目前已从商店下架,窗口期内使用过该版本的钱包密钥同样应视为已泄露。经审查的Android和iOS应用不包含恶意代码,但公告补充指出,只要私钥曾在插件中出现过,无论该私钥之后用于何处,都应视为已泄露。浏览器插件在架构上就是一台联网设备上保管密钥的热钱包,而3.0.5版本截至10月21日仍可从Chrome商店下载,用户数约6,000。目前已有八名用户报告了可能与该漏洞相关的未授权转账,累计报告数量为17,286枚Polkadot (DOT);案件日志明确说明,这些报告本身并不能证明被盗事实。首例案件记录日期为2025年9月30日;2025年10月6日Reddit上出现相关帖子,多名用户表示资金在他们解锁钱包的瞬间即被转走。质押中的币、提名池存款以及为治理锁定的代币无法立即转移:提名者最短也需要一到两天的解绑期,公告引导用户在进行任何解押操作前,先使用polkadot-api团队开发的PAPI Rescue工具。基金会强调,任何人,包括PAPI Rescue团队在内,都不需要用户的私钥;凡是主动发来消息声称可帮助追回资金的,都是骗子。Fearless Wallet由一个独立团队开发,公告声明它不是、也从来不是官方的Polkadot钱包。这条链本月事件密集:dotUSD稳定币已于10月上旬上线,此前关于dotUSD的DAO优先权公投则另文报道。

远程开关目前关闭,但风险仍在

这类泄露在设计上不可逆转:私钥一旦泄露就无法轮换,唯一可行的办法是把资金迁离该密钥。目前记录中缺失的,是受影响范围的真实规模。基金会尚未公布受影响账户的数量,在案的17,286枚DOT也只是用户报告数,而非经确认的被盗额。公告界定了两个会改变现状的观察点:一是远程开关被重新打开,二是再次出现上述八名用户所描述的解锁即转账行为。自2026年10月10日以来,两者均未发生。对于迁移后需要长期离线保管的密钥,冷钱包是现实的终点方案,我们的Cypherock X1上手指南介绍了其中一种配置。