币圈界报道：

Polkadot 紧急预警：多版本 Fearless 钱包插件曝私钥泄露风险

Polkadot 社区基金会发布高危安全通告，确认第三方浏览器扩展程序 Fearless Wallet 在多个版本中嵌入了恶意代码，存在用户私钥被远程窃取的严重隐患。基金会强烈建议所有相关用户立即将 $DOT 等资产转移至全新生成的密钥所对应的可信钱包，并将原账户视为已失守。

受影响版本含隐蔽后门，攻击持续超两年

经调查，Fearless Wallet 于 2025 年 2 月 19 日通过一次名为“TON 生态系统”的更新，将一段隐藏在公开源码中的恶意脚本植入版本 3.0.1、3.0.3、3.0.4 及 3.0.5 中。该代码在用户解锁钱包时会自动捕获私钥，并上传至攻击者控制的服务器。此行为持续至 2026 年 10 月 10 日，意味着潜在暴露窗口长达近二十个月。

由于部分密钥未被立即利用，实际被盗金额可能低于受影响账户总数。目前已有八名用户报告异常交易，涉及共计 17,286 枚 DOT 被非法转移。尽管官方已推动移除，但仍有约 6,000 名用户仍在运行受感染版本，且 Chrome 应用商店仍可见其残留记录。需注意，Fearless Wallet 并非 Polkadot 官方项目，由独立团队维护。

跨平台应对策略：新密钥生成与资产迁移是关键

基金会明确要求自 2025 年 2 月起使用过上述版本的用户立即创建新密钥并完成资产转移。仅重置密码或卸载重装无法消除风险，因私钥一旦导出即可能已被截获。用户应选择不同钱包产品生成新密钥，并通过跨链方式转移资金以确保安全。

移动端虽暂未发现直接攻击，但若曾将相同私钥导入浏览器端，则账户同样处于高危状态。当前，Chrome 和 Firefox 版本均使用同一套存在漏洞的代码库，必须同步处理。

对于正处在质押、提名池或治理锁定状态的资产持有者，可借助 polkadot-api 团队开发的 PAPI Rescue 工具进行恢复操作。该工具专为解决因密钥泄露导致的资金锁定问题而设计，有助于降低损失。

深层警示：浏览器钱包依赖信任链，须主动审查风险

此次事件凸显了基于浏览器扩展的钱包架构根本性弱点——用户的私钥安全性完全取决于每次代码更新的可信度。任何未经验证的第三方插件都可能成为攻击入口。因此，所有 $DOT 持有者应定期核查所安装钱包类型及其版本，并评估是否曾导入过敏感密钥，防范潜在长期威胁。