Polkadot Community Foundation 21 октября предупредила всех, кто с февраля 2025 года пользовался браузерным расширением Fearless Wallet: каждый добавленный туда аккаунт следует считать скомпрометированным. Версии 3.0.1, 3.0.3, 3.0.4 и 3.0.5 при разблокировке могли отправлять приватные ключи на внешний сервер. Проверенные приложения для Android и iOS такого кода не содержат, но ключ, когда-либо импортированный в расширение, остаётся раскрытым. Сеть Polkadot при этом не взламывали.

Разбор публичного кода показывает, что расширение собирало фразы восстановления либо файлы ключей вместе с паролем, шифровало их с пустым паролем и передавало на tonscanner.org. В версиях 3.0.3–3.0.5 адрес сервера и включение механизма задавались удалённой конфигурацией в другом репозитории GitHub. Переключатель выключен с 10 октября, а сам код удалили из исходников 25 июня, однако уже установленные копии этих версий всё ещё содержат его и проверяют конфигурацию при каждом открытии кошелька.

Фонд сообщил о восьми пользователях и 17 286 DOT в несанкционированных переводах, которые могут быть связаны с утечкой. При этом приложенный реестр случаев сейчас суммирует 15 571,99 DOT и 54 450,36 DED. Его авторы отдельно оговаривают: записи подтверждают публичные жалобы и найденные в блокчейне переводы, но сами по себе не доказывают, каким способом был раскрыт ключ в каждом случае. Поэтому масштаб ущерба остаётся предварительным, даже если механизм утечки в коде уже установлен.

Смена пароля, переустановка расширения или перенос той же фразы восстановления в другое приложение проблему не решают. Пользователям рекомендуют создать новую пару ключей в другом кошельке и перевести туда активы во всех сетях, где применялся старый ключ. Для средств, заблокированных в стейкинге или управлении, фонд предлагает обратиться к PAPI Rescue — не передавая команде приватные ключи. Fearless Wallet разработан независимой командой и не является официальным кошельком Polkadot.