بنیاد جامعه‌ی پولکادات (Polkadot Community Foundation) روز ۲۱ اکتبر ۲۰۲۶ هشدار داد که در افزونه‌ی مرورگر کیف پول Fearless Wallet کد مخربی وجود داشته که از فوریه ۲۰۲۵ کلیدهای خصوصی کاربران را لو می‌داده است. تاکنون هشت کاربر از تراکنش‌های غیرمجاز به مجموع ۱۷,۲۸۶ DOT خبر داده‌اند.
کد مخرب چه می‌کرد؟
این کد در بررسی گروه فنی پولکادات (Polkadot Technical Fellowship) پیدا شد. Fearless Wallet یک کیف پول شخص ثالث است و محصول خود شبکه‌ی پولکادات نیست. به گفته‌ی یک شرکت امنیتی بلاکچین، نسخه‌های 3.0.1 و 3.0.3 تا 3.0.5 این افزونه هنگام باز کردن قفل کیف پول، عبارت بازیابی، کلید خصوصی و فایل keystore را جمع می‌کردند و از طریق HTTP به یک سرور بیرونی می‌فرستادند. این رفتار با یک تنظیم از راه دور روشن و خاموش می‌شد.
- کد مخرب در ماه ژوئن از سورس افزونه حذف شد و کلید روشن و خاموش کردن آن از راه دور در اکتبر از کار افتاد.
- در اپلیکیشن‌های موبایلی که بررسی شدند، همین کد پیدا نشد.
توصیه‌ی بنیاد و بحث زمان خروج از استیکینگ
بنیاد از کاربران آسیب‌دیده خواست هر چه زودتر با یک کیف پول دیگر جفت‌کلید تازه بسازند و دارایی خود را به آن منتقل کنند. این بنیاد همچنین هشدار داد که به پیشنهادهای ناخواسته برای بازگرداندن دارایی اعتماد نکنند و کلید خصوصی را به هیچ‌کس، حتی تیم‌های بازیابی، ندهند.
این ماجرا حدود سه ماه پس از اجرای رفراندوم ۱۹۱۰ پولکادات رخ داد. این رفراندوم از ۶ ژوئیه ۲۰۲۶ حداکثر زمان آزاد شدن DOT از استیکینگ را از ۲۸ روز به حدود یک تا دو روز رساند و جریمه‌ی نامزدها (nominators) را هم حذف کرد. یک سرویس بازیابی وابسته به تیم polkadot-api روز ۳۰ ژوئن هشدار داده بود که این زمان کوتاه، فرصت کافی برای واکنش به حساب‌های لو رفته باقی نمی‌گذارد. با این حال کریپتواسلیت می‌نویسد که هنوز ثابت نشده کوتاه شدن این زمان دلیل هیچ‌یک از انتقال‌های غیرمجاز گزارش‌شده بوده است.
اگر قرار است روی ترون یا BNB Smart Chain از آدرسی ناشناس دارایی بگیرید، می‌توانید ارتباط آن با وجوه سرقتی را در بررسی ریسک کیف پول SafeON ببینید.
منبع: CryptoSlate