币圈界报道：

Polkadot警示：第三方钱包扩展程序存长期私钥外泄隐患

Polkadot社区基金会发布紧急安全通告，确认第三方浏览器扩展程序Fearless Wallet在多个版本中植入恶意代码，导致用户私钥可能被远程窃取。该漏洞自2025年2月起持续至2026年10月，影响范围广泛，建议所有相关用户立即转移资产并生成新密钥。

受感染版本覆盖周期长达二十个月，攻击行为隐蔽

经核实，Fearless Wallet的3.0.1、3.0.3、3.0.4及3.0.5版本均包含恶意脚本。当用户解锁账户时，其私钥会被自动上传至攻击者控制的服务器。该代码以“TON生态系统”更新为掩护，在2025年2月19日被集成至公开源码，并在后续数月间间歇性激活，造成潜在暴露期长达约两百天。

由于部分密钥未被立即使用，攻击者可长期潜伏待机，因此实际受影响账户数量远超已报告被盗金额的用户数。目前已有八名用户确认遭遇未经授权的交易，损失共计17,286枚DOT。

尽管基金会已推动移除，但数据显示仍有约6,000名用户在Chrome应用商店运行着受影响版本。值得注意的是，Fearless Wallet由独立团队开发，并非Polkadot官方支持项目。

应对策略明确：仅重装无法消除风险，需跨钱包迁移

基金会强调，用户若在2025年2月后曾使用过上述版本，必须立即创建全新密钥并完成资产转移。单纯更改密码或卸载重装不足以保障安全，因私钥一旦暴露即不可逆。

移动端虽暂未发现恶意代码，但此前将相同私钥导入浏览器端的用户仍被视为高危状态。此外，Firefox版本同样采用相同代码基底，亦处于风险之中。

针对处于质押、提名池或治理锁定状态的资产，KuCoin News披露polkadot-api团队已推出PAPI Rescue工具，协助用户恢复受限资金。

核心教训：浏览器钱包依赖源代码可信度，需定期审查插件

本次事件凸显了基于浏览器扩展的钱包在安全性上的固有缺陷——用户的私钥存储于一个高度依赖每次更新真实性的环境中。任何未经验证的代码变更都可能带来灾难性后果。所有持有$DOT的用户应主动检查当前安装的钱包插件清单，并评估是否导入过敏感密钥。