Fearless Wallet сливал приватные ключи: как защитить DOT и другие токены

21 октября 2026 года Polkadot Community Foundation предупредила об утечке приватных ключей из браузерного Fearless Wallet. Если вы использовали расширение с февраля 2025 года, официальный совет - считать аккаунты скомпрометированными, создать совершенно новые ключи и переместить средства. Ниже - практический порядок действий для владельцев DOT, включая случаи, когда монеты заблокированы в стейкинге.

Коротко: затронуты версии 3.0.1, 3.0.3, 3.0.4 и 3.0.5; на 21 октября поступили сообщения от восьми пользователей о подозрительных операциях на 17 286 DOT. Это не означает, что ровно такая сумма окончательно подтверждена как похищенная. Подробности и ссылки на оригинальные документы приведены ниже.

Что произошло с Fearless Wallet 21 октября 2026 года

21 октября 2026 года Polkadot Community Foundation (PCF) выпустила предупреждение о безопасности браузерного расширения Fearless Wallet. По результатам расследования в нескольких версиях расширения был обнаружен код, отправлявший приватные ключи пользователей на сервер, контролируемый злоумышленником. Это не просто ошибка отображения баланса или временная недоступность сервиса: раскрытие приватного ключа позволяет постороннему лицу подписывать транзакции от имени владельца. Восстановить секретность такого ключа сменой пароля невозможно. PCF рекомендует всем, кто использовал браузерное расширение начиная с февраля 2025 года, считать каждый заведённый в нём аккаунт скомпрометированным и перейти на новые ключи.

По состоянию на дату предупреждения восемь пользователей сообщили о несанкционированных транзакциях на общую сумму 17 286 DOT, которые могли быть связаны с уязвимостью. Это число отражает зарегистрированные сообщения, а не окончательный ущерб всей экосистеме: количество затронутых кошельков публично не установлено. Fearless Wallet создаётся независимой командой и не является официальным кошельком Polkadot.

Какие версии расширения опасны и когда появился код

В официальном предупреждении перечислены версии 3.0.1, 3.0.3, 3.0.4 и 3.0.5. Вредоносный фрагмент появился в открытом исходном коде 19 февраля 2025 года в рамках крупного изменения, обозначенного как «TON ecosystem». Код мог передавать приватный ключ при разблокировке расширения. По данным PCF, механизм работал в отдельные промежутки с февраля 2025 года по 10 октября 2026-го и потенциально мог быть включён повторно.

Поведение подтверждено для расширения Chrome. Вариант для Firefox использовал тот же код, хотя позже исчез из каталога; его прежним пользователям также следует считать ключи потенциально раскрытыми. Отсутствие несанкционированных списаний не доказывает безопасность кошелька: злоумышленник может не использовать полученный ключ сразу. Не стоит проводить «проверку» путём повторной разблокировки старого расширения - это способно увеличить риск.

Как понять, касается ли предупреждение именно вас

Ответьте на ключевой вопрос: вводили ли вы seed-фразу или создавали ли аккаунты в браузерном Fearless Wallet после февраля 2025 года? Если да, рассматривайте каждый такой аккаунт как потенциально скомпрометированный, даже если сейчас расширение удалено, баланс не изменился или установлено другое приложение. Важно не название кошелька на экране, а ключ, который подписывает операции.

Если вы пользовались только приложением Fearless на Android или iOS, PCF сообщает, что изученные мобильные версии не содержали описанного кода. Это не даёт абсолютной гарантии безопасности любого устройства. Главное исключение - одна и та же seed-фраза раньше использовалась в браузерном расширении: в таком случае мобильный кошелёк контролирует тот же скомпрометированный аккаунт. Если вы не уверены, лучше составить список адресов и источников их создания, не вводя секретные фразы в сайты и формы проверки.

Почему смена пароля или переустановка не помогут

Пароль приложения обычно нужен, чтобы локально разблокировать хранилище ключей. Seed-фраза и производные от неё приватные ключи управляют активами на блокчейне. Если чужой сервер получил ключ, у злоумышленника появляется независимая возможность распоряжаться средствами. Новый пароль в старом расширении не меняет криптографический ключ. Перенос той же seed-фразы в другой кошелёк также не помогает - адреса и контроль над ними остаются прежними.

Безопасная миграция означает создание НОВОЙ seed-фразы или отдельного нового ключа в надёжном приложении или аппаратном кошельке, а затем отправку активов на новый адрес. Не копируйте старую мнемоническую фразу как «резервную» для нового кошелька. Старый адрес следует считать небезопасным даже после того, как он опустел.

Пошагово: как защитить доступные DOT и другие токены

Шаг 1. На устройстве и через источник, которому вы доверяете, установите поддерживаемый кошелёк, совместимый с нужными сетями. В предупреждении PCF в качестве примера указан Nova Wallet. Проверьте официальный сайт проекта, издателя приложения и домен: мошенники часто создают поддельные страницы миграции.

Шаг 2. Создайте новый аккаунт с НОВОЙ seed-фразой. Запишите резервную копию офлайн и никому её не передавайте. При возможности используйте аппаратный кошелёк. Убедитесь, что новый адрес действительно соответствует нужной сети и доступен вам для получения средств.

Шаг 3. Проверьте активы на каждом адресе и в каждой сети, которую контролировал старый ключ: DOT, другие токены, позиции в протоколах, остатки для комиссий. Для проверки публичного адреса можно использовать обозреватель блокчейна без подключения кошелька.

Шаг 4. По возможности управляйте старым аккаунтом через другое надёжное приложение, не разблокируя опасное расширение снова. Импортировать старый ключ можно только как временную техническую меру для исходящих операций, понимая, что он уже считается скомпрометированным. Никогда не передавайте его человеку, «специалисту поддержки» или на сайт.

Шаг 5. Переведите доступные активы на новый адрес. Перед крупной операцией проверьте адрес и комиссию, при необходимости сделайте небольшой тестовый перевод, если это не создаст чрезмерной задержки. После подтверждения транзакций сверьте поступление в обозревателе. Не считайте миграцию завершённой, пока не проверены все сети, позиции и аккаунты, использовавшие прежний ключ.

Что делать, если DOT находятся в стейкинге

Самая сложная ситуация - заблокированные DOT: обычный перевод не выполняется до завершения предусмотренных сетью операций. Это касается прямого стейкинга, nomination pools и некоторых блокировок, связанных с управлением сетью. При этом злоумышленник с раскрытым ключом тоже может инициировать действия со стейкингом и попытаться первым забрать освобождённые средства.

Проверьте, не появились ли без вашего участия операции unbond, изменения адреса получения наград, выход из пула или отмена голосования. PCF отмечает, что на Polkadot некоторые nominators могут завершить unbonding за один-два дня, однако точные условия зависят от механизма и текущих правил сети. Нельзя обещать универсальный срок каждому пользователю.

До самостоятельного вывода заблокированных средств ознакомьтесь с PAPI Rescue - инструментом, рекомендованным PCF и созданным командой polkadot-api. Его назначение - помощь в спасении активов из скомпрометированного аккаунта. Переходите к инструменту только через ссылку из официального предупреждения, изучайте его ограничения и не передавайте никому приватные ключи, включая людей, представляющихся его разработчиками. Никакой инструмент не гарантирует восстановление всех средств.

Какие признаки говорят, что кошельком уже воспользовался посторонний

В истории аккаунта могут появиться незнакомые переводы, мелкие тестовые списания, прекращение стейкинга, начатый без вашего согласия unbond, изменение адреса для выплат наград, выход из nomination pool или снятие governance-голоса. Это индикаторы опасности, но их отсутствие не подтверждает, что ключ остался секретным.

Сверяйте операции по публичному адресу через обозреватель сети: дата, хеш, тип вызова, получатель, сумма. Не устанавливайте случайные расширения для «поиска следов взлома». Сохраняйте скриншоты и ссылки на транзакции, но никогда не публикуйте seed-фразы или файлы ключей.

Что если токены есть в нескольких сетях

Одну seed-фразу можно использовать для нескольких адресов и сетей. Даже если проблема замечена только на Polkadot, важно составить перечень всех аккаунтов, которые могли быть созданы из того же секрета или импортированы в Fearless. Проверьте также Kusama и другие совместимые сети, если вы ими пользовались.

Не следует автоматически предполагать, что каждая криптовалюта в любом кошельке скомпрометирована: риск определяется конкретными ключами и их связью с затронутым расширением. Но если один и тот же ключ использовался где-либо ещё, PCF рекомендует перевести и те средства. Действуйте отдельно для каждой сети, проверяя формат адреса, комиссии и особенности активов.

Если деньги уже украдены: что сохранить и куда сообщить

Если на адресе прошла несанкционированная транзакция, сохраните публичные адреса, хеши операций, приблизительное время, суммы, сведения о браузере и версии расширения. По возможности сделайте локальные копии переписки со злоумышленниками и страниц, по которым переходили. Эти данные могут пригодиться для обращения в правоохранительные органы и при расследовании движения средств.

PCF предлагает сообщать об инциденте через SEAL 911 и допускает обращение в полицию. Если следы ведут на централизованную биржу, официальное заявление иногда требуется для взаимодействия с её службой безопасности. Не обещайте себе или читателю гарантированное возмещение: подтверждённая запись в блокчейне обычно не может быть отменена. Никогда не платите «агенту по возврату» за обещание разблокировать криптовалюту.

Как избежать фальшивой помощи и повторной утечки

После громких инцидентов появляются сайты с объявлениями «Fearless recovery», боты якобы от Polkadot и сообщения с предложениями проверить seed-фразу. Настоящая служба поддержки не должна запрашивать вашу мнемоническую фразу, приватный ключ или удалённый доступ к компьютеру. Предупреждение PCF отдельно отмечает, что у Polkadot нет аккаунта поддержки в X, который должен писать пользователям с предложениями помощи.

Ссылки открывайте через первоисточники и закладки, проверяйте адреса доменов посимвольно. Не подписывайте непонятные транзакции и не вводите старые ключи на сторонних сайтах. Для дальнейшего хранения значимых сумм полезно разделять повседневный кошелёк и холодное хранение, регулярно проверять установленные расширения и не считать отзыв разрешений смарт-контрактов заменой смены раскрытого приватного ключа.

Частые вопросы

Можно ли просто обновить Fearless Wallet? Нет. Обновление не делает уже раскрытый ключ секретным. Нужен новый ключ и перевод средств.

Мобильный Fearless тоже заражён? В изученных PCF версиях Android и iOS описанного кода не обнаружено. Но аккаунт мобильного приложения остаётся под угрозой, если его seed-фраза импортировалась в затронутое браузерное расширение.

Если баланс цел, значит всё безопасно? Нет. Возможное раскрытие ключа не всегда приводит к немедленной краже.

Можно ли перенести ту же seed-фразу в Nova Wallet? Технически импорт возможен, но как постоянное решение он не защищает средства. Создайте новый независимый аккаунт.

Что делать с заблокированными DOT? Проверить активность стейкинга, официальные рекомендации и PAPI Rescue; не начинать рискованные действия по совету неизвестных лиц.

Что с версией 3.0.2? Она не перечислена PCF среди подтверждённо опасных релизов. При этом общее предупреждение охватывает пользователей браузерного расширения с февраля 2025 года - не стоит использовать отсутствие версии в списке как единственную гарантию.

Есть ли гарантия возврата украденных DOT? Нет. Сохраняйте доказательства и обращайтесь в официальные каналы, но не доверяйте обещаниям вернуть средства за плату.

Вывод: главное действие - заменить ключ, а не приложение

История Fearless Wallet показывает, насколько важна разница между программой кошелька и криптографическим доступом к активам. При утечке приватного ключа недостаточно удалить расширение, сменить пароль или зайти с другого телефона. Основная задача - создать независимый новый ключ и перевести туда всё, чем вы ещё управляете. Если DOT заблокированы, действовать нужно с учётом механики стейкинга, используя только подтверждённые инструкции. Не откладывайте инвентаризацию адресов и не сообщайте секретные данные никому.

Первоисточники и дополнительные материалы

Официальное предупреждение Polkadot Community Foundation от 21 октября 2026 года - основной источник сроков, перечня версий и алгоритма защиты. Справочные материалы: что такое NFT, как устроены смарт-контракты и как отозвать разрешения смарт-контрактов. Последний приём не устраняет утечку приватного ключа.

Автор

Barbados