Polkadot 警告 Fearless Wallet 扩展遭入侵：私钥泄露一年半，8 名用户被盗 17,286 枚 DOT

Aiying 艾盈是一家专注于传统金融及Web3的合规咨询服务机构，本文为团队原创，转载需授权。

10 月 22 日，Polkadot 一纸安全警告，把一个安静躺了一年半的雷给掀了出来：第三方钱包 Fearless Wallet 的浏览器扩展被黑了，从 2025 年 2 月开始，就断断续续地把用户私钥往外泄。最要命的是，恶意代码是在用户解锁钱包那一刻，把私钥偷偷发到攻击者手里的服务器——等于这 18 个月里，攻击者一直攥着这些私钥的副本，就等着挑日子下手。目前已经有 8 名用户报告疑似相关的盗币，金额 17,286 枚 DOT。

5 点摘要

1. Polkadot 10 月 22 日警告，第三方钱包 Fearless Wallet 浏览器扩展被入侵，私钥泄露长达一年半。
2. 恶意代码趁用户解锁钱包时把私钥上传到攻击者服务器，8 名用户疑似被盗 17,286 枚 DOT。
3. Fearless Wallet 是独立团队做的，不是 Polkadot 官方钱包——这恰恰戳中了第三方扩展的信任软肋。
4. Polkadot 喊话用户赶紧用别的钱包建新密钥对、把资产转走，光改密码、换软件都没用。
5. 继 Slope、Ledger Connect Kit 之后又一起钱包供应链事故，非托管钱包的「安全」到底靠不靠得住，再次被打上问号。

一、一场藏了一年半的「静默盗币」

跟那种「一次入侵、当场清空」的黑客戏码不同，这件事最瘆人的地方在于「细水长流」。恶意代码没有急着转钱，而是选择在用户解锁钱包的瞬间，把私钥安安静静地传出去。18 个月，足够攻击者攒下大量私钥，再分批、择机收割。现在报案的 8 个人、17,286 枚 DOT，很可能只是第一波浮出水面的，那些还没触发交易、或者早就被慢慢搬空的钱包，风险根本没出清。

还有个细节值得玩味：Fearless Wallet 是独立团队开发，压根不是 Polkadot 的官方钱包。可用户往往分不清这层关系——觉得能装上、能转账，就等于官方背书、绝对安全。这种「第三方扩展」和「底层公链」之间的信任错位，正是这次事故能被放大这么久的原因之一。

二、非托管钱包的「安全」，到底谁兜底

很多人有个误会：非托管钱包「私钥在自己手里」，所以出事了责任全在用户自己。其实没那么简单。钱包安全至少分三层：密钥是怎么生成的、软件是怎么分发到你设备上的、出事之后团队有没有及时披露和止损。这次恶意代码是借着浏览器扩展的自动更新混进来的，直接打穿的是「软件供应链」这一层——这也是最防不胜防的一层，因为你信任的是「自动更新」，等于把家门钥匙交给了更新机制。

换句话说，钱包团队要是被证实发布流程有漏洞、第三方依赖没管好、代码没审计，那用户反过来找它索赔，法律上并非没戏；可要是像 Ledger Connect Kit 那样，是上游的 npm 库被人劫持注入，责任就变成一条说不清的供应链烂账了。

三、黑客不攻链，专攻「中间商」

翻翻旧账你会发现，这已经不是第一回了。2022 年 Solana 的 Slope 钱包，把用户助记词明文传到了第三方日志服务器，8000 多个钱包被搬空；2023 年 Ledger Connect Kit 的 npm 库被劫持注入恶意代码，一堆主流 DApp 前端中招。三次事故有个共同点：黑客压根没去碰链上协议，专挑「用户和链之间的软件中介」下手——钱包扩展、SDK、依赖库。

这给所有做钱包、做前端、做 SDK 的团队提了个醒：你的风险地图，不能只画智能合约和私钥托管那一亩三分地，还得把软件供应链、第三方依赖、商店发布流程、出事后的应急预案统统圈进去。监管虽然还没给非托管钱包上牌照（欧盟 MiCA 就明确把非托管服务排除在 CASP 之外），但消费者保护和网络安全的板子，已经越来越往「软件交付环节的过失」上打了。

四、记住这一条就够了

对普通用户，这次事故最该记住的就一句话：非托管钱包的「安全」，高度取决于你信不信得过那套软件的供应链。所以 Polkadot 的提醒特别到位——光改密码、换钱包软件，救不了已经泄露的私钥；唯一正确的做法，是马上用别的钱包生成一套全新的密钥对，把资产转到可信的新地址。

对做产品和做合规的人，另一条同样重要：在「非托管」的招牌下，真正脆弱的往往不是链，而是那个帮你连上链的软件。把供应链盯死，比什么都实在。