Кратко

1. Компания Polkadot предупредила, что расширение для браузера Fearless Wallet в течение почти 20 месяцев передавало личные ключи пользователей, подвергая владельцев DOT риску кражи.
2. Обновление, выпущенное в июле, сократило время ожидания вывода средств DOT с 28 дней до всего одного дня, что уменьшило время, доступное для восстановления средств из скомпрометированных кошельков.
3. Специалисты по восстановлению данных за несколько месяцев до публикации информации об утечке предупреждали об уменьшении времени, необходимого для принятия мер, что вызывает вопросы о защите заблокированных активов.

Сделать CryptoSlate предпочтительным источником в Google

Поделиться

Поделиться в XПоделиться в FacebookПоделиться в TelegramПоделиться в LinkedInПоделиться по электронной почте

Поделиться

Поделиться в XПоделиться в FacebookПоделиться в TelegramПоделиться в LinkedInОтправить по электронной почте

Взлом системы безопасности кошелька Polkadot выявил потенциальную уязвимость в недавно сокращенном сроке вывода средств из системы стейкинга.

Фонд Polkadot Community Foundation сообщил 21 октября, что расширение для браузера Fearless Wallet с февраля 2025 года утекало приватные ключи пользователей, что могло подвергать их активы риску несанкционированных переводов.

Эта информация последовала за расследованием, проведенным техническим подразделением Polkadot, которое выявило вредоносный код, способный извлекать учетные данные кошельков. Фонд призвал пользователей, на которых повлияло это событие, создать новые приватные ключи с использованием другого кошелька и немедленно перевести свои средства.

Polkadot заявила:

"Если вы использовали расширение для браузера Fearless Wallet, пожалуйста, создайте новую пару ключей с использованием другого кошелька и как можно скорее переведите свои средства."

Этот инцидент также вызвал вопросы относительно обновления сети, проведенного в июле, которое сократило время, необходимое для вывода средств DOT из системы стейкинга, с 28 дней до примерно одного или двух дней.

Хотя это изменение улучшило ликвидность для держателей токенов, оно также сократило период времени, в течение которого можно было восстановить средства с скомпрометированных учетных записей стейкинга, прежде чем эти активы станут доступными для передачи.

Фонд сообщил, что восемь пользователей сообщили о несанкционированных транзакциях, связанных с 17 286 DOT.

Компания SlowMist, специализирующаяся на безопасности блокчейн-технологий, выявила затронутые версии расширения, а именно 3.0.1 и от 3.0.3 до 3.0.5.

По данным компании, вредоносный код мог собирать фразы восстановления, закрытые ключи и файлы хранилища ключей, когда пользователи разблокировали свои кошельки, передавая эту информацию через HTTP-запросы на внешний сервер.

Механизм удаленной конфигурации также позволял включать или отключать вредоносное поведение, что могло затруднить пользователям обнаружение взлома.

Расследователи сообщили, что вредоносный код был удален из исходного кода в июне, а удаленный переключатель был отключен в октябре. Однако эти изменения не могут свести на нет данные, которые злоумышленники уже получили.

Обновление системы стейкинга Polkadot сокращает период восстановления

Информация об уязвимости в кошельке Fearless Wallet появилась спустя три месяца после того, как Polkadot внесла значительные изменения в свою инфраструктуру стейкинга.

В соответствии с Референдумом 1910, сеть отменила штрафы за "слэшинг" для номинеторов и сократила максимальный период "анбондинга" с 28 дней до двух дней.

Это изменение, которое вступило в силу 6 июля, было направлено на то, чтобы сделать стейкинг более привлекательным, позволяя участникам получать доступ к своим средствам быстрее, не подвергаясь таким же рискам "слэшинга", как валидаторы.

Однако более быстрые снятия средств создают компромисс в области безопасности, когда закрытые ключи кошелька попадают в руки злоумышленников.

Ранее, злоумышленник, инициирующий запрос на снятие средств, мог столкнуться с периодом ожидания до четырех недель, прежде чем активы станут доступными для передачи. Эта задержка могла предоставить законному владельцу или специалистам по восстановлению больше времени для выявления подозрительной активности и вмешательства.

В соответствии с новыми правилами, новые запросы на снятие средств номинеторами могут быть доступны примерно через 24-48 часов, в зависимости от графика стейкинга в сети.

Разница имеет значение для пользователей, чьи скомпрометированные кошельки содержат застейканные DOT, особенно когда злоумышленник уже начал процесс разблокировки до того, как владелец обнаружил взлом.

The Catalyst

Ежедневная рассылка новостей

Будьте в курсе событий в мире криптовалют.

Начните с новостей, которые действительно важны. Получите контекст, стоящий за заголовками, и четкое представление о том, что следует ожидать дальше.

Выберите рассылки:

The Catalyst: Новости и аналитика о криптовалютах • Ежедневно The Oracle: Тенденции на рынке прогнозов • 2 раза в неделю The Shortlist: Обзоры продуктов • Еженедельно

Адрес электронной почты:

Подписаться бесплатно

Оставьте это поле пустым.

Спасибо за регистрацию.

Спасибо за подписку на The Catalyst. Следите за своим первым ежедневным письмом. Если вы уже получаете его, все в порядке.

Бесплатные рассылки. Вы можете отписаться в любое время.

Риск был выявлен до публикации информации о проблемах в кошельке Fearless Wallet.

30 июня компания PAPI Rescue, сервис восстановления, разработанный командой polkadot-api, предупредила, что сокращение периода отмены участия в стейкинге с 28 дней до двух эпох может не оставить достаточного времени для вмешательства в случае взлома аккаунта, если пользователи не свяжутся со специалистами по восстановлению в кратчайшие сроки.

Это предупреждение предшествовало как внедрению изменений в июле, так и предупреждению о безопасности, опубликованному Polkadot в октябре.

С тех пор фонд рекомендовал владельцам аккаунтов, затронутых проблемой и имеющим ограниченные активы, рассмотреть возможность использования сервиса PAPI Rescue перед выводом средств из стейкинга, поскольку варианты восстановления могут измениться после того, как средства станут доступными для перевода.

Важно отметить, что сокращенный период отмены участия в стейкинге не был установлен в качестве причины каких-либо несанкционированных переводов, о которых сообщали пользователи кошелька Fearless Wallet.

Время также зависит от состояния конкретного аккаунта. Запросы на отмену участия в стейкинге, инициированные до обновления в июле, сохранили свои первоначальные сроки, в то время как валидаторы и определенные другие заблокированные средства по-прежнему подлежат другим ограничениям.

Сервисы восстановления сталкиваются с более узкими возможностями для защиты украденных средств.

Этот инцидент привлек внимание к специализированным инструментам восстановления, предназначенным для защиты цифровых активов в скомпрометированных кошельках.

Компания PAPI Rescue заявляет, что восстановила активы на сумму более 250 000 долларов США со скомпрометированных аккаунтов и рекламирует 100% успех в случаях, которые она обрабатывала.

Процесс восстановления включает в себя проверку законности владения и оценку того, могут ли правила транзакций и стейкинга Polkadot по-прежнему защищать любые оставшиеся заблокированные или резервированные средства.

Это различие имеет решающее значение, поскольку владение приватным ключом обычно дает злоумышленнику те же права на подпись, что и законному владельцу аккаунта.

В результате, варианты восстановления зависят от того, могут ли ограничения сети по-прежнему предотвращать перевод средств, и возможно ли техническое вмешательство.

Изменения в стейкинге, внесенные в июле, делают время таких вмешательств более важным, хотя сервис не может гарантировать восстановление и может оказаться не в состоянии помочь, если активы уже были переведены за пределы применимых протокольных ограничений.

Для пользователей кошелька Fearless Wallet первоочередной задачей является обеспечение безопасности любых оставшихся активов с использованием совершенно новых учетных данных.

Эксперты Polkadot обнаружили, что проверенные мобильные приложения не содержат тот же вредоносный код, который был обнаружен в расширении для браузера. Тем не менее, пользователи, которые импортировали скомпрометированные учетные данные в другое приложение, остаются уязвимыми, поскольку злоумышленники могли уже узнать эти приватные ключи.

Поэтому смена паролей, переустановка скомпрометированного расширения или перенос той же фразы восстановления в другой кошелек не устранят основную проблему.

Фонд также предупредил пользователей о нежелательных предложениях восстановления доступа и настоятельно рекомендовал никогда не раскрывать приватные ключи, в том числе сотрудникам служб восстановления.

Пользователи, владеющие DOT, заблокированными в стейкинге или другим способом, должны оценить оставшиеся ограничения на вывод средств, прежде чем предпринимать какие-либо действия, поскольку начало процедуры вывода может ускорить момент, когда злоумышленник сможет перевести активы.

После того, как этот период закончится, наличие службы восстановления не гарантирует, что средства все еще можно будет защитить.

Контекст статьи

Упомянуто в этой статье

[Связанный актив](Related AssetPolkadot#47DOT·$1.0424-изменение за час: снижение на 0.52%Загрузка истории цен…24 часаСнижение на 0.52%7DСнижение на 2.98%30 днейСнижение на 12.39%)(https://cryptoslate.com/coins/polkadot/)

Опубликовано в

Главные новости Взломы Кошельки Стейкинг Polkadot

Информация об авторах

Реклама

Реклама

Контекст

Другие публикации

ETF

Всего за 190 секунд Grayscale тихо прекратила работу трех крупных ETF, ориентированных на альткоины

2 минуты чтения3 месяца назад

Другие публикации

Старые адреса кошельков приводят к потерям для пользователей CoinDCX23 октября 2026 года Негативно

Moonbeam приостановила все пользовательские транзакции, оставив владельцев токенов GLMR, купивших их позже, в зависимости от службы поддержки, доступной по электронной почте, для восстановления средств. 1 августа 2026 г. Негативный прогноз

Шутка о Polkadot Hyperbridge, придуманная на 1 апреля, стала реальностью: на Ethereum было выпущено более 1 миллиарда поддельных токенов DOT. 13 апреля 2026 г. Негативный прогноз

Использование искусственного интеллекта

CryptoSlate может использовать искусственный интеллект для исследований, редактирования и производства контента. Наша журналистика остается под контролем людей, и наша редакторская команда несет ответственность за каждую статью. Ознакомьтесь с нашим отказом об использовании искусственного интеллекта.

Редакционная независимость

Мнения авторов являются их собственными и не отражают позицию CryptoSlate. Освещение определенных тем не подразумевает одобрение каких-либо проектов или активов, упомянутых или связанных в материале. Ознакомьтесь с нашей редакционной политикой.

Финансовые риски

Данный контент не является инвестиционной рекомендацией. Торговля криптовалютами сопряжена с высоким риском убытков. Проводите собственные исследования; CryptoSlate не несет ответственности за убытки, понесенные в результате торговли. Ознакомьтесь с нашими отзывами о компании.