یک آسیب‌پذیری در افزونه مرورگر کیف پول Fearless Wallet می‌تواند کلیدهای خصوصی کاربران پولکادات را از فوریه ۲۰۲۵ در اختیار مهاجمان قرار داده باشد. بنیاد جامعه پولکادات در ۲۱ اکتبر هشدار داد که کاربران این افزونه باید با استفاده از کیف پولی دیگر، کلیدهای تازه بسازند و دارایی‌های باقی‌مانده خود را منتقل کنند.
این رخداد هم‌زمان توجه‌ها را به تغییرات اخیر در سازوکار برداشت از استیکینگ پولکادات جلب کرده است. در ارتقای ماه ژوئیه، دوره انتظار برداشت DOT برای برخی مشارکت‌کنندگان از حداکثر ۲۸ روز به حدود یک یا دو روز کاهش یافت؛ تغییری که نقدشوندگی دارایی‌های استیک‌شده را افزایش می‌دهد، اما در صورت افشای کلید خصوصی، زمان واکنش مالک یا متخصصان بازیابی را نیز محدودتر می‌کند.
جزئیات نفوذ به افزونه Fearless Wallet
این افشاگری پس از بررسی انجمن فنی پولکادات انجام شد. محققان در کد افزونه مرورگر، برنامه‌ای مخرب شناسایی کردند که می‌توانست اطلاعات حساس کیف پول را استخراج کند. شرکت امنیت بلاک‌چین SlowMist نسخه‌های ۳.۰.۱ و ۳.۰.۳ تا ۳.۰.۵ را در میان نسخه‌های آسیب‌دیده اعلام کرده است.
بر اساس یافته‌های این شرکت، کد مخرب هنگام بازکردن قفل کیف پول می‌توانست عبارت بازیابی، کلیدهای خصوصی و فایل‌های keystore را جمع‌آوری و از طریق درخواست‌های HTTP به یک سرور خارجی ارسال کند. وجود یک سازوکار پیکربندی از راه دور نیز به مهاجم اجازه می‌داد این رفتار را فعال یا غیرفعال کند؛ قابلیتی که می‌توانست شناسایی آلودگی را برای کاربران دشوارتر کند.
کد مسئله‌دار در ماه ژوئن از منبع نرم‌افزار حذف شد و کلید کنترل از راه دور نیز در اکتبر غیرفعال شد. با این حال، این اقدامات کلیدها و اطلاعاتی را که پیش‌تر افشا شده‌اند بی‌اعتبار نمی‌کنند. بنیاد جامعه پولکادات از کاربران افزونه خواسته است در یک کیف پول دیگر، جفت‌کلید جدید ایجاد کنند و وجوه باقی‌مانده را هرچه سریع‌تر جابه‌جا کنند.
این بنیاد اعلام کرده است که هشت کاربر، تراکنش‌های غیرمجاز مربوط به مجموع ۱۷٬۲۸۶ واحد DOT را گزارش کرده‌اند. طبق گزارش CryptoSlate، هنوز نمی‌توان کوتاه‌شدن دوره برداشت استیکینگ را علت این انتقال‌های غیرمجاز دانست؛ ارتباط اصلی این رخداد با افشای کلیدهای خصوصی در افزونه Fearless Wallet است.
چرا تغییر دوره برداشت DOT اهمیت دارد؟
پولکادات در قالب همه‌پرسی ۱۹۱۰، جریمه‌های اسلشینگ برای نامینیتورها را حذف و حداکثر دوره آن‌باندینگ آنان را از ۲۸ روز به دو روز کاهش داد. این تغییر از ۶ ژوئیه اجرایی شد و هدف آن، جذاب‌ترکردن استیکینگ از طریق دسترسی سریع‌تر مشارکت‌کنندگان به دارایی‌هایشان بود.
در سازوکار پیشین، اگر مهاجمی با دسترسی به کیف پول، درخواست خارج‌کردن DOT از استیکینگ را ثبت می‌کرد، ممکن بود انتقال‌پذیرشدن دارایی‌ها تا چهار هفته زمان ببرد. چنین فاصله‌ای فرصت بیشتری برای شناسایی رفتار مشکوک، تماس با متخصصان بازیابی و تلاش برای جلوگیری از انتقال نهایی فراهم می‌کرد.
پس از اصلاحات، برداشت‌های جدید نامینیتورها بسته به برنامه استیکینگ شبکه، حدود ۲۴ تا ۴۸ ساعت بعد قابل دسترس می‌شوند. بنابراین اگر کلیدهای یک کیف پول افشا شده باشد و مهاجم پیش از اطلاع مالک فرایند برداشت را آغاز کند، زمان مداخله بسیار کوتاه‌تر خواهد بود.
این نگرانی پیش از افشای مشکل Fearless Wallet نیز مطرح شده بود. سرویس PAPI Rescue که توسط تیم polkadot-api توسعه یافته است، در ۳۰ ژوئن هشدار داد کاهش دوره آن‌باندینگ از ۲۸ روز به دو اِرا می‌تواند برای مداخله در حساب‌های آسیب‌دیده زمان کافی باقی نگذارد؛ مگر آنکه کاربر فوراً با متخصصان بازیابی تماس بگیرد.
با این حال، همه حساب‌ها شرایط یکسانی ندارند. درخواست‌های آن‌باندینگ ثبت‌شده پیش از ارتقای ژوئیه، برنامه زمانی قبلی خود را حفظ کردند و اعتبارسنج‌ها و برخی دارایی‌های قفل‌شده نیز همچنان تابع محدودیت‌های متفاوت هستند. بنیاد پولکادات به دارندگان دارایی‌های محدودشده توصیه نکرده، بلکه از آنان خواسته است پیش از برداشت، گزینه‌های بازیابی مانند PAPI Rescue را بررسی کنند؛ زیرا شروع خروج می‌تواند زمان انتقال‌پذیرشدن دارایی را جلو بیندازد.
پیامدها برای کاربران و تصویر فعلی بازار
در دارایی‌های رمزارزی، داشتن کلید خصوصی معمولاً به معنای داشتن اختیار امضای همان حساب است. به همین دلیل، انتقال عبارت بازیابی به یک کیف پول دیگر یا نصب دوباره افزونه آلوده، مشکل را حل نمی‌کند؛ چون کلید اصلی ممکن است قبلاً در اختیار مهاجم قرار گرفته باشد. کاربران آسیب‌دیده باید از اعتبارنامه‌ای کاملاً جدید استفاده کنند و نسبت به پیشنهادهای بازیابی ناخواسته محتاط باشند. بنیاد پولکادات همچنین هشدار داده است که کلید خصوصی نباید در اختیار هیچ فرد یا گروهی قرار گیرد، حتی کسانی که خود را تیم بازیابی معرفی می‌کنند.
PAPI Rescue اعلام کرده است که بیش از ۲۵۰ هزار دلار دارایی را از حساب‌های آسیب‌دیده بازیابی کرده و در پرونده‌های واجد شرایطی که رسیدگی کرده، نرخ موفقیت ۱۰۰ درصد داشته است. با این حال، نتیجه هر پرونده به وضعیت حساب، محدودیت‌های شبکه و انتقال‌پذیرشدن یا نشدن دارایی‌ها بستگی دارد و وجود یک سرویس بازیابی، تضمینی برای بازگرداندن وجوه پس از انتقال نیست.
بر پایه داده‌های بازار Moneyiar در ساعت ۲۲:۳۸ روز ۲۵ اکتبر ۲۰۲۶، قیمت پولکادات (DOT) برابر با ۱٫۰۳۳۰۶۶۷۹۰۲ دلار بوده است. این رمزارز در ۲۴ ساعت گذشته ۰٫۳۹ درصد و در هفت روز گذشته ۵٫۶۵ درصد کاهش داشته است. این ارقام صرفاً تصویر بازار در زمان اعلام‌شده را نشان می‌دهند و ارتباطی را میان نوسان قیمت و رخداد امنیتی اثبات نمی‌کنند.
