Polkadot 安全警报：Fearless 钱包插件私钥泄露事件引发资产风险

Polkadot 社区基金会近日发布紧急安全通知，揭示第三方浏览器扩展程序 Fearless Wallet 存在严重安全隐患，可能导致用户私钥被远程窃取。该问题涉及多个版本的扩展程序，包括 3.0.1、3.0.3、3.0.4 和 3.0.5，攻击者通过伪装成“TON 生态系统”更新的方式植入恶意代码。

恶意代码潜伏近二十个月

分析显示，该恶意代码于2025年2月19日被整合进公开源码，并在后续版本中间歇性激活，最长暴露期达约20个月。由于私钥可能长期未被使用，攻击者可选择任意时间点发起交易，因此实际受影响账户数量远高于已确认被盗资金的账户数。

已有损失报告，影响范围广泛

截至目前，已有八名用户报告未经授权的交易行为，累计涉及17,286枚 $DOT 资产。尽管基金会已多次呼吁用户迁移资产，但数据显示，仍有约6,000名用户仍在运行受感染版本，且 Chrome 应用商店仍可见该插件存在。值得注意的是，Fearless Wallet 并非 Polkadot 官方开发，由独立团队维护，其安全性依赖于开源社区的信任机制。

用户应立即采取行动

所有自2025年2月以来使用过上述版本的用户，必须立即生成全新密钥并完成资产转移。仅更换密码或重新安装插件无法消除风险。建议将资金转移到不同钱包中，并通过跨链方式完成转移以确保安全。

移动端用户虽暂未发现恶意代码，但若曾将相同私钥导入浏览器插件，则账户同样处于风险之中。此外，Firefox 版本也采用了与 Chrome 相同的代码库，存在同等风险。

质押与锁定资产的特殊处理方案

对于处于质押、提名池或治理锁定状态的用户，资金恢复更为复杂。据 KuCoin News 报道，polkadot-api 团队已推出名为 PAPI Rescue 的专用工具，旨在协助受影响用户解锁并恢复其被锁定的资产。

此次事件再次凸显基于浏览器的钱包在安全性上的脆弱性——用户的私钥始终依赖于每次代码更新的可信度。任何 $DOT 持有者都应主动审查所使用的钱包扩展程序及其历史版本，避免因信任链条断裂而造成不可逆损失。