ポルカドット系ウォレットで秘密鍵流出、財団が資金移動を要請

Polkadot Community Foundationは10月21日、外部開発のウォレット「Fearless Wallet」のブラウザ拡張機能が、2025年2月から利用者の秘密鍵を流出させていたと警告しました。

Security Alert for Fearless Wallet

Fearless Wallet is a third-party application, built and maintained by an independent team.

Following an investigation by the Polkadot Technical Fellowship on behalf of the @PCF_org, it was found that the Fearless Wallet browser extension had been compromised and had been leaking users’ private keys since February 2025.

If you have used the Fearless Wallet browser extension, please create a new keypair with a different wallet and move your funds as soon as possible.

Remember to never share your private keys.

— Polkadot (@Polkadot) October 21, 2026

Polkadot Technical Fellowshipの調査で、認証情報を抜き取る悪意あるコードが見つかったとしています。財団は利用者に対し、別のウォレットで新しい鍵を作成し、資金を速やかに移すよう呼びかけました。これまでに8人の利用者が、計1万7286DOTの不正送金を報告しています。

セキュリティ企業SlowMistによると、影響を受けたのはバージョン3.0.1と3.0.3〜3.0.5です。ウォレットのロック解除時に、リカバリーフレーズ（ウォレット復元用の単語列）や秘密鍵などを収集し、外部サーバーに送信していたとされています。遠隔設定で悪意ある動作をオン・オフでき、発見を難しくしていた可能性があります。問題のコードは6月に削除され、遠隔スイッチも10月に無効化されましたが、すでに流出した鍵を無効にすることはできない点に注意が必要です。

今回の件は、7月6日に実施されたステーキング仕様の変更との関係でも注目されています。住民投票1910により、ノミネーター（バリデーターに資産を委任する参加者）のアンボンディング（引き出し待ち）期間は、最大28日から2日程度に短縮されました。

以前は攻撃者が引き出しを始めても対応する時間がありましたが、その猶予が大きく縮まったことになります。ただし、期間の短縮が今回の不正送金の原因と確認されたわけではありません。

財団はステーキング中などでロックされた資産を持つ利用者に対し、引き出し前に復旧サービスPAPI Rescueの利用を検討するよう勧めています。同じリカバリーフレーズを別のウォレットに移すだけでは、流出のリスクは解消されないとしています。資金の移動速度と安全性のバランスを、改めて問う事例になりそうです。