币圈界报道：

Polkadot通报重大安全事件：多版本Fearless插件长期暴露私钥

Polkadot社区基金会于2026年10月21日发布紧急通告，揭示一款广受欢迎的浏览器扩展程序——Fearless钱包在多个版本中存在隐蔽后门，自2025年2月起便持续将用户的私钥信息上传至攻击者控制的远程服务器。此次事件波及版本包括3.0.1、3.0.3、3.0.4与3.0.5，影响范围广泛且持续时间极长。

恶意代码嵌入源码逾一年，远程控制机制仍存活性

技术溯源显示，该恶意功能通过一次涉及“TON生态系统”的大规模代码提交于2025年2月19日被引入公开GitHub仓库。当用户解锁插件时，系统会自动提取助记词、密钥库文件及密码，并以空密码加密后发送至外部服务器。由于加密方式可逆，数据极易被还原利用。

后续版本加入了远程配置开关机制，允许攻击者动态启用或停用恶意行为。尽管相关代码已于2026年6月25日从公共源码中清除，但其残留版本仍存在于已安装的3.0.3至3.0.5客户端中。截至10月10日，远程激活通道仍在多个时段内保持活跃，旧版副本可能随时重新触发漏洞。

八名用户遭遇非法转账，总金额达17,286 DOT

基金会确认已有八起独立报告，涉及共计17,286 DOT的未经授权交易，发生时间为2025年9月至2026年9月之间。其中单笔最大转移量约为8,996 DOT，发生于9月23日。经核查，所有案件均与受感染的Chrome扩展程序有关。

Firefox版本虽使用相同源码，但其打包流程不透明，无法进行安全审计。而Android与iOS原生应用未受此漏洞影响。然而，曾将恢复短语导入过该插件的移动用户仍面临风险。不同于依赖种子预测的Qubic钱包漏洞，本次事件直接造成现有凭据外泄。

强制迁移措施启动，建议采用Nova Wallet等替代方案

为防止进一步损失，基金会要求所有曾使用受影响版本的用户立即放弃原有密钥，通过信誉良好的钱包如Nova Wallet创建全新账户。仅更换密码、重装插件或重复导入同一助记词，均无法消除历史泄露带来的安全隐患。

类似此前Ill Bloom钱包缺陷事件，即便更换软件，若原始恢复短语已被窃取，风险依然存在。此外，用户应排查是否在其他网络上使用相同密钥持有资产，尤其是质押、提名池或治理参与状态中的资金。对于无法访问的资产，基金会已引导用户使用由polkadot-api团队开发的PAPI Rescue工具进行恢复。

遭受盗转的用户应妥善保存交易哈希、钱包地址及相关证据，以备未来执法调查。同时须警惕非主动发起的“恢复服务”及伪装成官方支持的账号。目前尚无公开信息表明恶意代码由何人植入，也未统计实际泄露的密钥总数。