Polkadot警示：第三方钱包插件暴发长期私钥泄露危机
Polkadot社区基金会发出最高级别安全预警，确认第三方浏览器扩展程序Fearless Wallet存在严重隐私缺陷。该问题导致用户在解锁钱包时，其私钥可能被远程传输至攻击者服务器，所有依赖此插件的账户均被视为已遭入侵，需立即执行资产转移操作。
恶意代码隐蔽植入，暴露周期长达二十个月
经核查，版本号为3.0.1、3.0.3、3.0.4及3.0.5的Fearless Wallet扩展程序中嵌入了隐蔽的恶意脚本。该代码于2025年2月19日以‘TON生态系统集成’为名，伪装成常规更新提交至公开源码库，并持续在后台间歇性激活，直至2026年10月10日才被发现。
由于密钥数据可能长期处于未使用状态，攻击者可在任意时间点发起资金调用，因此实际受波及账户规模远超已确认被盗金额。目前已有八名用户报告异常交易，涉及总计17,286枚$DOT资产流失。
尽管官方强烈建议更换密钥，但数据显示仍约有6,000名用户在运行受影响版本，且该插件尚未从Chrome应用商店下架。值得注意的是，Fearless Wallet由独立团队开发，并非Polkadot官方支持项目。
应对策略：跨钱包迁移与特殊资金恢复方案
基金会明确要求自2025年2月以来使用过相关插件的用户立即生成全新密钥，并将资产转移至非关联钱包。仅修改密码或卸载重装无法消除风险，必须在不同平台创建新密钥并完成跨链转移。
移动端虽未检测到直接威胁，但曾将同一私钥导入浏览器端的用户同样面临安全隐患。此外，Firefox版本亦采用相同源码，存在同等风险。
针对处于质押、提名池或治理锁定状态的资金，KuCoin News援引polkadot-api团队消息称，现已推出名为PAPI Rescue的专用工具，可协助用户恢复受限资产。
核心教训：浏览器钱包依赖信任链的脆弱性
本次事件凸显基于浏览器扩展的钱包架构对代码可信度的高度依赖。任何一次未经充分审计的更新都可能导致整个账户体系崩溃。所有持有$DOT的用户应立即审查所安装的钱包扩展，评估自身密钥导入情况，主动防范潜在风险。
