币圈界报道：

Polkadot 揭露重大安全漏洞：多版本钱包插件涉私钥外泄

Polkadot 社区基金会发布紧急通告，确认第三方浏览器扩展程序 Fearless Wallet 在多个版本中植入恶意代码，存在持续性私钥泄露风险。该漏洞自 2025 年初起被利用，至今已超过二十个月，迫使所有相关用户将账户视为已被攻破，并尽快将 $DOT 等资产转移至新生成的密钥所关联的钱包。

受感染版本隐匿运行长达两年，攻击窗口期极长

经核查，Fearless Wallet 浏览器插件的 3.0.1、3.0.3、3.0.4 及 3.0.5 版本均包含隐蔽的远程执行代码。当用户解锁钱包时，其私钥可能被实时上传至攻击者控制的服务器。该恶意逻辑于 2025 年 2 月 19 日以“TON 生态系统”更新名义嵌入开源代码库，并在后续数月间间歇激活，直至 2026 年 10 月 10 日才停止传播。

由于部分密钥未被立即使用，攻击者可长期潜伏，导致实际受损账户数量远高于已报告的被盗金额。目前已有八名用户确认遭遇异常交易，涉及 17,286 枚 DOT 资产流失。尽管官方已推动用户迁移，但数据显示仍有约 6,000 名用户仍在使用受影响版本，且 Chrome 应用商店仍显示其活跃状态。

需特别说明的是，Fearless Wallet 并非 Polkadot 官方开发项目，由独立团队维护，因此其安全性不属基金会直接监管范畴。

应对措施明确：密钥重置与跨链迁移为唯一安全路径

基金会强调，仅更换密码或卸载重装插件无法消除风险。所有自 2025 年 2 月以来使用过上述版本的用户必须立即生成全新密钥，并通过不同钱包平台完成资产转移。建议采用异构钱包环境，避免重复导入同一私钥。

移动端虽暂未发现恶意代码，但若此前曾将相同私钥同步至浏览器端，则账户同样处于高危状态。当前，Chrome 与 Firefox 版本均基于相同源码构建，均存在同等风险。

针对质押、提名池及治理锁定中的资产持有者，KuCoin News 报道称 polkadot-api 团队已推出名为 PAPI Rescue 的专用恢复工具，协助用户在不破坏原有权益的前提下提取被锁定资金。

核心警示：浏览器钱包依赖信任链，用户须主动审查权限

此次事件凸显了基于浏览器扩展的钱包架构固有缺陷——其安全性高度依赖每次代码更新的可信度。任何未经验证的插件更新都可能成为攻击入口。所有 $DOT 持有者应立即审查已安装钱包列表，确认是否引入过外部私钥，并评估自身账户的安全状态。