Fearless Wallet: Erweiterung schickte private Schlüssel an Angreifer

Wer die Browser-Erweiterung der Fearless Wallet seit Februar 2025 benutzt hat, soll alle darin geführten Konten als kompromittiert behandeln. Das schreibt die Polkadot Community Foundation in einer Sicherheitswarnung vom Mittwoch: Vier Versionen der Erweiterung schickten nach ihren Angaben beim Entsperren den privaten Schlüssel an einen Server des Angreifers. Gemeldet sind bisher acht Diebstähle über zusammen 17.286 DOT.

Die Warnung erschien am 21. Oktober um 16:00 Uhr MESZ im Forum des Polkadot-Netzes. Betroffen sind die Versionen 3.0.1, 3.0.3, 3.0.4 und 3.0.5 der Erweiterung für Chrome; die Firefox-Fassung beruhte nach Angaben der Stiftung auf demselben Code, ist aber nicht mehr im Angebot.

Ein neues Passwort oder eine Neuinstallation hilft nicht, weil der Angreifer die Schlüssel womöglich längst hat.

Die gemeldeten 17.286 DOT waren am Mittwochnachmittag rund 20.000 Dollar wert. Ein DOT kostete um 16:35 Uhr MESZ 1,16 Dollar, 1,3 Prozent weniger als 24 Stunden zuvor. Der Schaden muss damit nicht vollständig sein: Wer einen abgeflossenen Schlüssel noch nicht verloren hat, kann ihn jederzeit verlieren. Quelle: CoinGecko

Ein Paket namens “TON ecosystem” brachte den Abfluss

Der Code kam am 19. Februar 2025 in den öffentlichen Quellcode der Erweiterung, als Teil einer großen Änderung mit dem Titel “TON ecosystem” (Pull Request 1022 im Repository von Soramitsu, unter dem die Wallet entwickelt wird). Wer ihn geschrieben hat und warum, lässt die Warnung offen.

Eine technische Auswertung, auf die die Stiftung verweist, beschreibt den Ablauf. Nach jedem Entsperren sammelte eine Funktion mit dem harmlos klingenden Namen fetchJettonInfo für jedes Hauptkonto die Wiederherstellungsphrase oder die Schlüsseldatei samt Passwort. Verschlüsselt war das nur zum Schein, mit einem leeren Kennwort, und es ging an die Adresse tonscanner.org; Fehler endeten still, der Nutzer sah nichts.

Ab Version 3.0.3 hing der Abfluss an einem Schalter in einer Konfigurationsdatei, die die Erweiterung aus dem Netz nachlud. Nach der Auswertung war er zwischen dem 7. März 2025 und dem 10. Oktober 2026 in neun Zeiträumen eingeschaltet, zusammen rund 571 Tage. Aus dem Quellcode verschwand die Funktion am 25. Juni 2026, aus den installierten Kopien nicht.

Genau darauf zielt der schärfste Satz der Warnung: Der Code stecke weiter in den Versionen 3.0.3 bis 3.0.5, “and it could be switched on again”.

Polkadot rät zu neuen Schlüsseln in einer anderen Wallet

Die Stiftung betont, dass Fearless von einem unabhängigen Team stammt und “not, and has never been, an official Polkadot wallet” sei. Ihre Anweisung: ein neues Schlüsselpaar in einer anderen, gepflegten Wallet anlegen, sie nennt Nova Wallet, und das Guthaben sofort umziehen, auf jeder Kette, die das alte Konto nutzt. Ein bloßer Wechsel der App schützt nicht, solange dieselbe Seed-Phrase weiterläuft.

Die Apps für Android und iOS enthalten den Code nach der Prüfung nicht. Wer dieselbe Phrase aber je in der Erweiterung hatte, etwa über eine Sicherung aus Google Drive, soll auch sie als verloren betrachten.

Schwierig wird es bei gebundenem Guthaben. DOT im Staking, in einem Nominierungspool oder in einer laufenden Abstimmung lässt sich nicht sofort bewegen, und nach Angaben der Stiftung flossen bei manchen Nutzern Mittel ab, sobald sie die Erweiterung entsperrten. Vor dem Entbinden empfiehlt sie deshalb den Dienst PAPI Rescue der Entwickler von polkadot-api, der Guthaben aus kompromittierten Konten bergen soll, und erinnert daran, dass Nominatoren auf Polkadot nach ein bis zwei Tagen wieder frei sind.

Gestoppte Nominierungen verraten den Zugriff

Als Warnzeichen nennt die Stiftung Vorgänge, die der Nutzer nicht selbst ausgelöst hat: ein beendetes Staking, eine geänderte Zieladresse für Belohnungen, ein verlassener Pool, eine zurückgezogene Stimme oder kleine Testüberweisungen.

Beschwerden über ähnliche Abflüsse nach einem Update standen nach Angaben von Crypto Briefing schon seit Oktober 2025 im Polkadot-Forum. Der Fall reiht sich in eine Woche ein, in der auch eine gefälschte Ngrave-Warnung Wallet-Nutzer Geld gekostet hat, dort über einen gekaperten Benachrichtigungsdienst.

Wer Geld verloren hat, soll Adressen, Transaktionen und Beträge sichern und den Fall dem Notdienst SEAL 911 melden. Dazu rät die Stiftung zur Anzeige, denn das Aktenzeichen wird gebraucht, sobald gestohlenes Geld bei einer zentralen Börse landet. Hilfsangebote per Direktnachricht sind nach den Worten der Stiftung immer Betrug, und ein Support-Konto auf X hat Polkadot gar nicht.