时间线
- 7.5
Polkadot 基金会警告 Fearless Wallet 浏览器扩展泄露私钥
Polkadot 基金会发布警告称，Fearless Wallet 浏览器扩展泄露了用户的私钥，受影响钱包存在被入侵的风险。该警告直接点名了这款 Polkadot 生态的第三方钱包。 私钥是钱包发起转账的授权凭证，因此任何拿到泄露私钥的人都可以在无需所有者进一步批准的情况下转走对应资金。 Fearless Wallet 浏览器扩展面向 Kusama 和 Polkadot 网络，通过 Chrome 应用商店分发给 Chrome 及基于 Chromium 的浏览器用户。就目前报道的警告内容而言，并未包含已确认的损失金额、漏洞利用规模或受影响用户数量。
- 8.0
【Polkadot 社区基金会：Fearless Wallet 浏览器插件含泄露私钥代码，用户需立即转移资产】
Polkadot 社区基金会在 Polkadot 论坛发布安全警告称，第三方钱包 Fearless Wallet 浏览器插件的 3.0.1、3.0.3、3.0.4 及 3.0.5 版本含有恶意代码，用户解锁钱包时私钥会被发送至攻击者控制的服务器。该代码于 2025 年 2 月 19 日随一项名为「TON ecosystem」的大型代码变更加入插件公开源码，在 2025 年 2 月至 2026 年 10 月 10 日期间不定时生效，且随时可能被重新启用。 基金会建议，自 2025 年 2 月起使用过该插件的用户应将其中所有账户视为已泄露，立即在其他钱包中生成新密钥对并转移资产，并强调仅更换密码或重装插件无效。目前已有 8 名用户报告了可归因于此事件的未授权交易，共计 17,286 枚 DOT。 Chrome 版本已确认受影响，已下架的 Firefox 版本使用了相同代码；Android 和 iOS 移动端未发现该代码，但若同一私钥曾导入过浏览器插件，同样应视为已泄露。资产处于质押、提名池或治理投票锁定中的用户，可先借助 polkadot-api 团队开发的 PAPI Rescue 工具协助找回。