币圈界报道：

Polkadot 生态重大安全事件：恶意扩展致私钥外泄

Polkadot 社区基金会周三发布紧急通告，指出2025年2月期间通过不同时间点更新的Fearless Wallet浏览器扩展程序中植入了恶意代码，该代码在用户解锁钱包时会将私钥自动发送至攻击者控制的服务器，造成严重资产风险。

已确认损失超17,000 DOT，涉及金额约2万美元

根据基金会通报，已有八名用户报告其账户出现未经授权的资金转移，累计损失达17,286 DOT。按当前市场汇率估算，约合20,500美元。这一数字仍在持续上升中，反映出漏洞利用范围可能更广。

漏洞嵌入于特定版本扩展，至今仍可激活

经核查，版本号为3.0.1、3.0.3、3.0.4及3.0.5的Fearless Wallet扩展程序包含恶意脚本。该代码于2025年2月19日作为“TON生态系统”整合更新的一部分，被注入公开源码。该恶意模块自2025年2月起处于活跃状态，并在2026年10月10日前持续存在，且仍保留在部分已安装的旧版副本中，具备随时重新启用的风险。

尽管此次问题已在Chrome浏览器环境中验证，但同样适用于同一时期使用的Firefox用户。基金会强调，该扩展由第三方独立团队开发，非Polkadot官方项目。值得注意的是，Android与iOS原生应用未受影响，但任何曾导入该扩展的密钥，无论后续在何处使用，均视为已暴露。

仅更换应用无法根除风险，必须生成全新密钥对

基金会明确指出，更改密码或卸载重装扩展程序无法消除隐患。真正有效的防护措施是将资金转移至其他钱包应用，并创建全新的密钥对。推荐用户采用Nova Wallet作为替代方案。同时提醒，质押、提名池及治理投票中的资产无法即时提取，需提前规划迁移路径。

此外，基金会严正警告公众：切勿轻信声称可恢复被盗资金的个人或服务。官方声明称，其并未在X平台设立任何认证账号，任何相关宣传均为虚假信息。

此次事件紧随Ledger披露的多起钱包植入攻击以及CryptoBill钱包助记词通过LTE传输的案例，凸显去中心化生态中第三方工具的安全脆弱性日益突出。

据CoinMarketCap数据，截至发稿，DOT价格约为1.18美元，24小时内上涨约0.9%。