Polkadot orienta usuários da extensão Fearless Wallet a transferir fundos após vazamento de chaves por 20 meses

A Fundação da Comunidade Polkadot alertou qualquer pessoa que utilizou a extensão do navegador Fearless Wallet desde fevereiro de 2025 a considerar todas as contas na extensão comprometidas e a transferir os seus fundos imediatamente.

Em 19 de fevereiro de 2025, foi adicionado código que enviava chaves privadas para o servidor de um atacante e era executado em intervalos variados até 10 de outubro de 2026.

Quatro versões enviaram as frases de recuperação para tonscanner.org

O código estava presente em quatro versões: 3.0.1, 3.0.3, 3.0.4 e 3.0.5. De acordo com o aviso de segurança de 21 de outubro da fundação, ele foi ativado por uma desbloqueio com a senha correta.

Uma análise técnica vinculada ao aviso afirma que a extensão coletou a frase de recuperação de cada conta ou seu arquivo de backup e a senha da carteira. Elas foram criptografadas com uma senha vazia (o que é reversível por qualquer pessoa) e enviadas para toscanner.org.

Uma chave privada tem controle total sobre uma conta. Mesmo alterar a senha ou reinstalar a extensão não ajuda, pois qualquer pessoa com acesso pode assinar transferências e esvaziar o saldo, afirmou a fundação.

A versão para Firefox estava executando o mesmo código e já não está listada. E se alguém a utilizou na janela, essas chaves também devem ser consideradas comprometidas.

O código está ausente das aplicações Android e iOS revisadas. Mas qualquer chave privada que tenha estado na extensão em algum momento está comprometida onde quer que seja utilizada, segundo o aviso.

O código foi combinado do pull do GitHub request #1022 como parte de uma alteração significativa chamada "ecossistema TON" para a fonte pública da extensão. As versões 3.0.3 – 3.0.5 usavam um arquivo de configuração em um repositório público separado como um interruptor remoto de liga/desliga.

A chave está registrada como ligada no registro de atividades do GitHub por nove períodos entre 7 de março de 2025 e 10 de outubro de 2026. No total, foram cerca de 571 dias.

O código foi removido da fonte do projeto em 25 de junho de 2026, mas cópias instaladas das versões 3.0.3 a 3.0.5 ainda o carregam. Cada vez que a carteira é desbloqueada, elas verificam uma chave remota que está desligada por enquanto, mas pode ser reativada. A fundação orientou os usuários a transferirem seus fundos primeiro e a desinstalarem a extensão depois.

Oito usuários relatam 17,286 DOT em transferências não autorizadas

A fundação informou que oito usuários reportaram transações não autorizadas possivelmente vinculadas à exploração, totalizando 17.286 DOT. Seu registro de casos afirma que as denúncias não comprovam que algo tenha sido roubado.

O primeiro caso no registro é de 30 de setembro de 2025, com um post no Reddit em 6 de outubro de 2025. Alguns usuários disseram que os fundos foram movidos assim que desbloquearam a carteira, sem qualquer ação de sua parte.

A versão 3.0.5 ainda estava na Chrome Web Store com 6.000 usuários em 21 de outubro.

Fearless Wallet é um aplicativo de terceiros desenvolvido por uma equipe independente. A fundação afirmou que não é, e nunca foi, uma carteira oficial da Polkadot.

O conselho é gerar um novo par de chaves em uma carteira diferente e bem mantida. Sugere-se o uso da Nova Wallet.

Os fundos precisam ser transferidos para fora da conta antiga em cada cadeia onde foi utilizada, idealmente sem desbloquear o Fearless novamente.

Moedas staked, depósitos em pools de indicação e moedas bloqueadas para governança não podem ser movidas imediatamente. Nominadores da Polkadot podem desvincular (unbond) em tão pouco quanto um a dois dias. O anúncio direciona os usuários ao PAPI Rescue, desenvolvido pela equipe polkadot-api, antes do processo de desstake.

A fundação afirmou que ninguém, incluindo a equipe do PAPI Rescue, precisa das chaves privadas dos usuários. Alertou que nenhuma pessoa legítima entrará em contato primeiro oferecendo recuperar os fundos.

No início deste mês, o stablecoin dotUSD da Polkadot foi lançado.

No momento da redação deste artigo, o DOT estava sendo negociado a US$ 1,17, com alta de 3% nos últimos sete dias. A perda de valor do token em um ano foi de 62,7%.

Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.