Polkadot 安全警报：Fearless 钱包插件私钥泄露事件引发资产迁移潮

Polkadot 社区基金会近日发布紧急安全警告，指出第三方钱包扩展程序 Fearless Wallet 存在严重安全隐患，可能导致用户的私钥被远程窃取。基金会已建议所有相关用户立即将 $DOT 及其他资产转移至新创建的钱包，并将此前使用该插件的账户视为已不安全。

漏洞详情与影响范围

经调查确认，Fearless Wallet 的版本 3.0.1、3.0.3、3.0.4 和 3.0.5 中嵌入了恶意代码。当用户解锁钱包时，其私钥可能被发送至攻击者控制的服务器。该恶意代码于 2025 年 2 月 19 日以“TON 生态系统”更新名义被加入开源代码库，并在后续长达二十个月的时间内间歇性激活，直至 2026 年 10 月 10 日才被发现。

由于部分密钥长期未被使用，攻击者可能在暗中等待最佳时机行动，因此实际暴露的账户数量远高于已发生损失的账户数。目前已有八名用户报告未经授权的交易行为，累计损失达 17,286 枚 DOT。尽管基金会已多次提醒，但 Chrome 应用商店仍显示有约 6,000 名用户在运行受影响版本。

需特别说明的是，Fearless Wallet 并非 Polkadot 官方开发的钱包产品，而是由独立团队维护，这进一步凸显了用户对第三方工具信任度的风险。

用户应对措施与修复方案

基金会强烈建议自 2025 年 2 月以来使用过上述版本的用户立即生成全新密钥，并将资产转移至可信的新钱包。仅更改密码或重新安装插件无法消除风险，必须通过创建独立密钥实现彻底隔离。

移动端用户虽尚未发现恶意代码，但若曾将同一私钥导入浏览器端，则账户同样面临威胁。此外，Firefox 版本也使用了相同代码，存在同等风险。

对于处于质押、提名池或治理锁定状态的资金，用户可借助 KuCoin News 报道的 PAPI Rescue 工具进行恢复操作。该工具由 polkadot-api 团队开发，旨在帮助受困资产脱离锁定状态。

深层警示：浏览器钱包的安全边界

此次事件再次揭示基于浏览器的钱包对代码更新的信任依赖。一旦扩展程序被注入恶意逻辑，用户的资产安全将完全置于不可控环境之中。所有持有 $DOT 的用户应主动审查所安装的钱包插件及其导入的密钥来源，避免因信任偏差导致重大损失。