Brecha de 20 meses na Fearless Wallet expõe riscos de saques mais rápidos de DOT

A brecha de 20 meses na Fearless Wallet expôs uma possível vulnerabilidade de segurança no período mais curto de retirada de staking da Polkadot. A Polkadot Community Foundation alertou em 21 de outubro que a extensão de navegador de terceiros havia exposto as chaves privadas dos usuários desde fevereiro de 2025, possibilitando potencialmente transferências não autorizadas. A investigação da Polkadot Technical Fellowship identificou código malicioso capaz de extrair credenciais de carteiras. A fundação afirmou que oito usuários haviam relatado transações não autorizadas que totalizaram 17.286 DOT. A fundação recomendou que os usuários afetados criem novas chaves privadas usando outra carteira e transfiram imediatamente os fundos restantes.

A empresa de segurança em blockchain SlowMist identificou as versões 3.0.1 e 3.0.3 a 3.0.5 da extensão como afetadas. A SlowMist afirmou que o código malicioso podia capturar frases de recuperação, chaves privadas e arquivos de armazenamento de chaves durante o desbloqueio da carteira e enviar essas credenciais a um servidor externo por meio de solicitações HTTP. Um recurso de configuração remota podia ativar ou desativar o comportamento malicioso, dificultando potencialmente sua detecção. Os investigadores disseram que o código malicioso foi removido da origem em junho. Também disseram que o mecanismo remoto foi desativado em outubro. No entanto, essas mudanças não podem invalidar credenciais que os atacantes já obtiveram.

A Polkadot implementou o Referendo 1910 em 6 de julho, reduzindo de 28 dias para dois dias o período máximo de desvinculação dos nominadores. O referendo também eliminou as penalidades de slashing para nominadores. As mudanças buscavam atrair participantes para o staking, oferecendo acesso mais rápido aos fundos sem a mesma exposição ao slashing enfrentada pelos validadores. Saques mais rápidos aumentaram a liquidez para os detentores de tokens, mas reduziram o tempo disponível para proteger contas de staking comprometidas antes que os fundos pudessem ser transferidos. Saques de nominadores iniciados recentemente podem ficar disponíveis em aproximadamente 24 a 48 horas, dependendo do cronograma de staking.

O período de espera anterior, de até quatro semanas, poderia dar aos titulares das contas ou a especialistas em recuperação mais tempo para detectar solicitações suspeitas de retirada do staking e intervir. O período mais curto afeta especialmente contas comprometidas com DOT em staking quando os atacantes começam a desbloquear fundos antes de os titulares descobrirem a brecha. Em 30 de junho, a PAPI Rescue, desenvolvida pela equipe polkadot-api, alertou que reduzir o período de desvinculação de 28 dias para duas eras poderia deixar tempo insuficiente para intervenção, a menos que os usuários contatassem especialistas em recuperação prontamente. O alerta foi feito antes tanto da implementação em julho quanto do aviso de segurança da Polkadot em outubro. Desde então, a fundação recomendou que detentores afetados com ativos restritos considerem recorrer à PAPI Rescue antes de retirar os fundos do staking, pois as opções de recuperação podem mudar quando os fundos se tornarem transferíveis.

Não foi estabelecido que o período mais curto de desvinculação tenha causado qualquer uma das transferências não autorizadas relatadas por usuários da Fearless Wallet. Solicitações de desvinculação enviadas antes da atualização de julho mantiveram os cronogramas anteriores. Validadores e alguns outros saldos bloqueados continuam sujeitos a restrições diferentes.

A PAPI Rescue afirma que o serviço recuperou mais de US$ 250.000 em ativos de contas comprometidas e anuncia uma taxa de sucesso de 100% nos casos elegíveis que atende. O processo de recuperação verifica a titularidade legítima e avalia se as regras de transação e de staking da Polkadot ainda podem proteger os fundos restantes bloqueados ou reservados. A posse de uma chave privada geralmente dá ao atacante autoridade para assinar transações equivalente à do titular legítimo. Portanto, a recuperação depende de as restrições da rede ainda impedirem transferências e de a intervenção continuar tecnicamente possível. As mudanças de julho aumentam a importância do momento da intervenção, mas a PAPI Rescue não pode garantir a recuperação e talvez não consiga ajudar depois que os ativos ultrapassarem as restrições aplicáveis do protocolo.

Os investigadores da Polkadot não encontraram código malicioso correspondente nos aplicativos móveis analisados. No entanto, os usuários continuam vulneráveis se credenciais expostas tiverem sido importadas para outro aplicativo, pois os atacantes talvez já conheçam essas chaves privadas. Alterar senhas, reinstalar a extensão e reutilizar a mesma frase de recuperação em outra carteira não resolveria a exposição subjacente. A fundação também alertou contra ofertas de recuperação não solicitadas e instruiu os usuários a nunca compartilhar chaves privadas, nem mesmo com equipes de recuperação. Os detentores afetados de DOT em staking ou de outra forma bloqueados precisam avaliar as restrições restantes para saque antes de agir, pois iniciar a retirada pode antecipar o momento em que os atacantes poderão transferir os fundos. Serviços de recuperação não garantem que os fundos ainda possam ser protegidos depois que essa oportunidade terminar.