Fearless Wallet 密钥泄露事件：6000用户受影响，旧密钥永久暴露风险警示

根据记录显示，四个版本的 Fearless Wallet 浏览器扩展程序在解锁时会将私钥副本发送至攻击者控制的服务器。截至目前，已有八名用户报告未经授权的转账，涉及总量为 17,286 DOT。然而，我们的评估指出：报告案例仅为问题冰山一角。

并非官方产品，风险覆盖广泛

该通知发布于 2026 年 10 月 21 日。需要明确的是，Fearless Wallet 并非 Polkadot 官方钱包，而是第三方开发的浏览器扩展。这意味着：自 2025 年 2 月以来，任何曾在设备上安装过该扩展程序的用户，其创建的所有账户均存在密钥泄露风险，无论是否发生实际盗刷。

核心问题：私钥被远程发送而非丢失

安全通知未指向区块链或网络本身的漏洞，而是揭示了一个浏览器扩展程序的行为与承诺功能严重不符。当用户解锁钱包时，该程序会将私钥传输至外部服务器。私钥是账户的数学基础，持有者可在无需访问设备的情况下签署任意交易。

受影响版本及识别方法

受影响版本包括 3.0.1、3.0.3、3.0.4 和 3.0.5。您可通过 Chrome 地址栏输入 chrome://extensions 查看扩展程序列表，但在钱包内部无法直接查看版本号。若已删除扩展，仍应以 2025 年 2 月为基准判断风险。当时，这些版本在 Chrome Web Store 中仍可下载，安装量约为 6,000 次，远超已报告的 8 起案件。

恶意代码如何潜入项目？

入侵路径有详细记录。2025 年 2 月 19 日，一条关联 TON 生态系统的拉取请求被合并进项目，外观如同正常功能更新。这种攻击不针对区块链本身，而是利用软件供应链，在构建阶段植入后门。由于行为隐蔽，攻击持续至少到 2026 年 10 月 10 日，长达逾 19 个月。

早期预警被忽视：社区论坛已有类似投诉

值得注意的是，具有相同特征（更新后资产消失）的用户反馈早在 2025 年 10 月就在公共论坛中出现。但直到一年后才获得完整披露。这一时间差表明，该事件不仅是技术问题，更反映安全响应机制的滞后性。

为何重装无法解决问题？

这是多数用户误解的关键点。私钥不是可更换的登录凭证，而是账户的底层密钥。一旦被复制，即便删除并重新安装干净版本，攻击者仍保留有效副本。新密码仅保护本地金库，不影响链上账户的安全性。

唯一有效应对方案：迁移至新钱包

唯一可靠措施是在其他钱包中生成新的密钥对，并将余额转移过去。旧地址始终不安全，即使长时间无异常活动。攻击者可能长期等待，选择高价值时机出手。因此，八个报告案例不能作为“安全”的依据。

移动设备虽未受感染，但导入即风险

恶意代码未在移动应用中发现，但凡曾将相同私钥导入浏览器扩展的用户，都必须视为密钥已暴露。对于长期保管大量资产，使用不向浏览器传递密钥的硬件钱包是更优选择。具体型号与支持情况详见硬件钱包对比。

质押锁定期带来额外挑战

在 Polkadot 上，质押的 DOT 需经历 28 天解绑期才能自由动用。在此期间，余额处于密钥可能已被他人持有的状态。基金会建议用户同时启动解绑流程，并参考 PAPI Rescue 等工具辅助处理。延迟解绑只会延长风险窗口。

市场影响微乎其微：价格波动未受事件冲击

据 CoinGecko 数据，DOT 当日价格约为 1.16 美元，24 小时下跌约 1.8%。市值略低于 20 亿美元，排名第 51 位。17,286 DOT 折合约 20,000 美元，占日交易量约 0.14%，对市场无实质影响。

报告数量≠真实风险范围

当前仅有 8 起报告，但潜在暴露用户达 6,000 人次。这说明大多数受害者尚未察觉。此外，部分用户可能仅短暂使用后弃用，实际持有余额者未知。因此，不能从报告数推断整体安全状况。

税务合规提醒：转移不构成出售

根据德国联邦财政部指引，同一所有者在不同钱包间转移资产不构成处置行为，不会触发纳税义务。持有期按原起始日期连续计算。建议保存交易记录，包括日期、金额、地址和收据，以便日后核对。

警惕二次诈骗：冒充恢复服务

基金会警告，每次重大安全事件后常伴随欺诈行为：有人声称可追回资金，要求预付款或索要助记词。需注意：区块链交易不可逆转，合法机构绝不会索取预付款或种子短语。一旦提出此类要求，应立即终止沟通，并向警方报案。

总结：暴露的不只是数据，更是信任

本次事件的核心并非技术故障，而是长达 19 个月的供应链漏洞未被及时发现。尽管区块链本身运行正常，但前端软件的失控导致大量用户面临长期风险。关键结论是：只要旧密钥未被替换，风险将持续存在。因此，‘已报告’不应等同于‘已解决’。

下一步行动指南

请检查浏览器扩展列表，确认是否安装了 3.0.1、3.0.3、3.0.4 或 3.0.5 版本。为长期安全，建议参考硬件钱包对比，选择不依赖浏览器存储密钥的设备。在新钱包中生成密钥对，并将所有自由可用的 DOT 转移。若持仓处于质押状态，请同步启动解绑流程，并关注 28 天解锁周期。妥善保存每笔交易记录，以维护持有期连续性。更多详情参见持有期改革状态报告。

PANews 收集了关于该事件的时间线与后续进展。（截至 2026 年 10 月 21 日。本文不构成投资建议。价格与条款可能发生变动，购买前请核实最新信息。）