A Community Foundation do Polkadot alertou em 21 de outubro que a extensão de navegador Fearless Wallet estava a vazar as chaves privadas dos utilizadores desde fevereiro de 2025, expondo os detentores de DOT a transferências não autorizadas durante quase 20 meses. Uma investigação do Polkadot Technical Fellowship encontrou código malicioso que recolhia frases de recuperação, chaves privadas e ficheiros keystore sempre que os utilizadores desbloqueavam as suas wallets, enviando os dados para um servidor externo. Até agora, oito utilizadores reportaram transações não autorizadas envolvendo 17.286 DOT.
Porque é que isto importa
A revelação chegou três meses depois de o Referendo 1910 ter reduzido o unbonding dos nominadores de 28 dias para apenas dois, um ganho de liquidez que também encurtou a janela para intervir numa conta de staking comprometida antes de os fundos se tornarem transferíveis. O serviço de recuperação PAPI Rescue sinalizou precisamente esse risco em 30 de junho, semanas antes de a alteração entrar em vigor em 6 de julho e meses antes do alerta do Polkadot. A empresa de segurança blockchain SlowMist rastreou o comportamento malicioso até às versões 3.0.1 e 3.0.3 a 3.0.5 da extensão, e encontrou um interruptor de configuração remota que permitia aos atacantes ligar e desligar o roubo, tornando o comprometimento mais difícil de detetar. O código ofensivo foi removido do código-fonte em junho e o interruptor desativado em outubro, mas nenhuma das alterações invalida as credenciais já expostas.
Impacto no mercado
A PAPI Rescue afirma que já recuperou mais de 250.000 dólares em ativos de contas comprometidas, e a fundação está a orientar os detentores com DOT bloqueado ou em staking para a contactar antes de iniciar qualquer unstaking, já que as opções de recuperação se reduzem drasticamente assim que os fundos ficam livremente transferíveis. Os utilizadores afetados devem gerar um par de chaves totalmente novo com uma wallet diferente em vez de reutilizar a frase de recuperação exposta, o que deixa o comprometimento subjacente por resolver. Esteja atento a novos relatórios de perdas, já que a janela da violação abrange posições de staking que podem ainda estar a percorrer os seus calendários de unbonding.
Perguntas frequentes
-
Quais versões da Fearless Wallet foram afetadas pela fuga de chaves?
A SlowMist identificou o código malicioso nas versões 3.0.1 e 3.0.3 a 3.0.5 da extensão. O código recolhia frases de recuperação, chaves privadas e ficheiros keystore quando os utilizadores desbloqueavam as suas wallets e enviava-os para um servidor externo.
-
Quanto DOT foi roubado na violação da Fearless Wallet?
Oito utilizadores reportaram transações não autorizadas envolvendo 17.286 DOT, segundo a divulgação de 21 de outubro da Polkadot Community Foundation.
-
Porque é que o unstaking mais rápido do Polkadot agrava a violação?
O Referendo 1910 reduziu o período de unbonding dos nominadores de 28 dias para cerca de dois, pelo que os fundos comprometidos em staking se tornam transferíveis muito mais depressa. Isso deixa às equipas de recuperação uma janela muito mais estreita para intervir antes de um atacante poder mover os ativos.
-
O que devem fazer os utilizadores da Fearless Wallet para proteger os seus fundos?
Criem um par de chaves totalmente novo com uma wallet diferente e movam imediatamente os fundos restantes. Reutilizar a frase de recuperação exposta, mudar palavras-passe ou reinstalar a extensão não resolve o comprometimento.
-
O que é a PAPI Rescue e consegue recuperar fundos Polkadot roubados?
A PAPI Rescue é um serviço de recuperação da equipa polkadot-api que já recuperou mais de 250.000 dólares de contas comprometidas, com uma taxa de sucesso de 100% nos casos elegíveis. Os detentores com DOT em staking ou bloqueado devem contactá-la antes do unstaking, já que as opções se reduzem assim que os fundos…
CoinDesk
WuBlockchain
WatcherGuru
CoinTelegraph
CZ Binance
TheBlock
Lookonchain
Crypto News