Fearless Wallet làm lộ private key từ tháng 2/2025
Polkadot Community Foundation cảnh báo tiện ích trình duyệt của Fearless Wallet đã làm rò rỉ private key của người dùng kể từ tháng 2/2025, khiến tài sản có nguy cơ bị chuyển trái phép.
Cuộc điều tra của Polkadot Technical Fellowship phát hiện mã độc có khả năng thu thập recovery phrase, private key và file keystore khi người dùng mở khóa ví, sau đó gửi dữ liệu tới máy chủ bên ngoài.
SlowMist xác định các phiên bản bị ảnh hưởng gồm 3.0.1 và từ 3.0.3 đến 3.0.5.
Tính đến thời điểm công bố, 8 người dùng đã báo cáo giao dịch trái phép liên quan 17.286 DOT.
“Nếu bạn từng sử dụng tiện ích trình duyệt Fearless Wallet, hãy tạo một cặp khóa mới bằng ví khác và chuyển tài sản càng sớm càng tốt.”
Thời gian unstake giảm từ 28 ngày xuống 1–2 ngày
Vụ việc cũng khiến thay đổi staking của Polkadot hồi tháng 7 được chú ý trở lại.
Theo Referendum 1910, từ ngày 6/7, thời gian unbonding tối đa dành cho nominator được giảm từ 28 ngày xuống khoảng 1–2 ngày, đồng thời loại bỏ hình phạt slashing đối với nhóm này.
Thay đổi giúp người staking tiếp cận tài sản nhanh hơn, nhưng cũng làm thu hẹp khoảng thời gian xử lý khi private key bị đánh cắp.
Trước đây, tài sản có thể bị khóa tới bốn tuần sau khi bắt đầu unstake, tạo thêm thời gian để chủ ví phát hiện bất thường và tìm phương án khôi phục.
Hiện nay, một số yêu cầu rút staking có thể hoàn tất chỉ trong 24–48 giờ.
Security Alert for Fearless Wallet
Fearless Wallet is a third-party application, built and maintained by an independent team.
Following an investigation by the Polkadot Technical Fellowship on behalf of the @PCF_org, it was found that the Fearless Wallet browser extension had…
— Polkadot (@Polkadot) October 21, 2026
Người dùng cần tạo khóa hoàn toàn mới
Polkadot nhấn mạnh việc rút ngắn thời gian unstake chưa được xác định là nguyên nhân của các giao dịch trái phép trong vụ Fearless Wallet.
Rủi ro phụ thuộc vào từng tài khoản, loại tài sản bị khóa và thời điểm quá trình unstake được khởi tạo.
Người dùng bị ảnh hưởng được khuyến cáo không chỉ đổi mật khẩu hay cài lại ứng dụng. Nếu recovery phrase hoặc private key đã bị lộ, việc nhập lại cùng khóa đó vào một ví khác vẫn không an toàn.
Giải pháp quan trọng nhất là tạo keypair hoàn toàn mới bằng một ví khác rồi chuyển phần tài sản còn lại sang địa chỉ mới.
Với DOT đang staking hoặc bị khóa, người dùng cần đặc biệt thận trọng trước khi unstake, bởi việc mở khóa có thể đồng thời khiến tài sản trở nên dễ chuyển hơn đối với kẻ đã nắm private key.
