Fearless Wallet / Polkadot Community… · Divulgada

Extensão Fearless Wallet vazou chaves privadas; Polkadot orienta mover fundos

18 de fev. de 2025 · 1 min de leitura

Código malicioso nas versões 3.0.1, 3.0.3, 3.0.4 e 3.0.5 da extensão Fearless Wallet para Chrome enviava a chave privada do usuário a um servidor controlado por um atacante sempre que a carteira era desbloqueada. Segundo o aviso da Polkadot Community Foundation, de 21 de outubro de 2026, o código entrou via pull request no GitHub em 19 de fevereiro de 2025 e o vazamento ocorreu de forma intermitente até pelo menos 10 de outubro de 2026. Não há versão corrigida: é preciso criar novas chaves em outra carteira e transferir os fundos.

Por Redação HIFY Radar Atualizado 26/10/2026 13:38 Receba isso todo dia →← Voltar ao feed 2 fontes

AltaFalhaDivulgadaSem correção

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

Quatro versões da extensão Fearless Wallet para Chrome (3.0.1, 3.0.3, 3.0.4 e 3.0.5) enviavam a chave privada do usuário a um servidor do atacante sempre que a carteira era desbloqueada. A Polkadot Community Foundation publicou o aviso de segurança em 21 de outubro de 2026. O código malicioso entrou em 19 de fevereiro de 2025, via pull request no GitHub, e o vazamento ocorreu de forma intermitente até pelo menos 10 de outubro de 2026.

Por que importa

Quem tem a chave privada controla a carteira; atualizar a extensão não resolve, porque o atacante mantém uma cópia funcional da chave. Oito usuários já relataram transações não autorizadas somando 17.286 DOT, e a versão afetada ainda listada na Chrome Web Store tinha cerca de 6.000 usuários. A exposição potencial ultrapassa 19 meses.

O que fazer

Tratar como comprometidas todas as contas que usaram a extensão desde fevereiro de 2025. Criar novas chaves em outra carteira e transferir os fundos imediatamente; a Polkadot recomenda a Nova Wallet e aponta o PAPI Rescue para fundos em stake ou travados. Atenção a golpes de recuperação: a Polkadot alerta para falsos ajudadores que prometem resgatar fundos.

Para o time técnico

Afetados: Fearless Wallet / Polkadot Community Foundation Extensão Fearless Wallet (Chrome; build Firefox retirado da loja) · Fearless Wallet browser extension (Chrome): versões 3.0.1, 3.0.3, 3.0.4 e 3.0.5. Build para Firefox removido da loja. Na data do aviso, a Chrome Web Store ainda listava uma versão afetada, com cerca de 6.000 usuários.
Exploração: Exploração confirmada: oito usuários relataram transações não autorizadas somando 17.286 DOT (Polkadot Community Foundation, aviso de 21/10/2026). Vazamento ativo de forma intermitente de 19/02/2025 até pelo menos 10/10/2026. O número de contas expostas pode superar o de contas drenadas, pois a chave vazada pode ficar sem uso até o atacante agir.
Correção: Sem versão corrigida. Mitigação: criar novos pares de chaves em outra carteira (recomendação da Polkadot: Nova Wallet) e transferir os fundos. Fundos em stake ou travados podem exigir passos adicionais, como a ferramenta PAPI Rescue.
Vetor: Código malicioso no build da extensão, inserido via pull request no GitHub ligado ao ecossistema TON em 19/02/2025. Ao desbloquear a carteira, a extensão enviava a chave privada a um servidor controlado pelo atacante. O envio era intermitente, não contínuo.
Mais detalhes: Fearless Wallet é produto de terceiros; nunca foi carteira oficial da rede Polkadot. Queixas de usuários descrevendo problemas semelhantes após uma atualização foram registradas já em outubro de 2025; a explicação pública detalhada só veio em outubro de 2026. A Polkadot alerta para golpes de recuperação explorando o incidente.