Polkadot 钱包漏洞致私钥泄露，用户资金安全受威胁

Polkadot 社区基金会周三发布安全警报，指出自2025年2月以来，部分用户在使用 Fearless Wallet 浏览器扩展程序时，其私钥可能已被恶意代码窃取。该漏洞存在于版本3.0.1、3.0.3、3.0.4及3.0.5的扩展程序中，攻击者可在用户解锁钱包时将私钥发送至远程服务器。

恶意代码植入与影响范围

据披露，这段恶意代码于2025年2月19日作为“TON 生态系统”更新的一部分，被添加至公开源代码。尽管该功能未被实际启用，但其长期处于激活状态，直至2026年10月10日仍在部分已安装版本中存在。目前确认已有八名用户遭遇资金损失，总计价值17,286 DOT，约合20,500美元。

基金会强调，所有在2025年2月至2026年10月期间使用过该扩展程序的用户，其账户均视为已遭入侵。即使重新安装或更改密码也无法恢复安全，必须通过迁移至其他钱包并生成全新密钥对来保障资产。

为何更换应用无法解决问题

基金会特别指出，仅更换钱包应用或重置密码并不能消除风险。因为一旦密钥被泄露，无论后续在何处使用，都可能面临被操控的风险。因此，唯一有效措施是将资产转移至可信钱包，并放弃原有密钥。

为帮助用户过渡，基金会推荐使用 Nova Wallet 作为替代方案。同时提醒，若资金存于质押池、提名节点或参与治理投票，需先完成退出流程才能实现资金转移。

此外，基金会明确表示，官方不支持任何社交媒体账号提供资金恢复服务，用户应警惕冒充官方人员的诈骗行为。

行业背景与安全警示

此次事件紧随 Ledger 和 CryptoBill 等知名钱包安全事件之后，凸显去中心化生态中第三方工具存在的潜在风险。此前，有犯罪团伙利用钱包插件植入木马，通过LTE网络传输助记词，造成数百万美元损失。

当前，DOT 价格约为1.18美元，24小时内上涨约0.9%。尽管市场表现平稳，但安全事件仍引发投资者对热钱包使用的高度关注。