Dans une alerte de sécurité publiée le 21 octobre, Polkadot indique que l’extension de navigateur Fearless Wallet a exposé les clés privées de ses utilisateurs. Toute personne ayant utilisé l’extension depuis février 2025 doit considérer ses comptes comme compromis. Les versions concernées seraient les 3.0.1, 3.0.3, 3.0.4 et 3.0.5. Les utilisateurs sont invités à créer une nouvelle paire de clés dans un autre portefeuille, à transférer les fonds disponibles et à recourir à PAPI Rescue pour les actifs encore bloqués en staking ou dans des positions liées à la gouvernance.

Quelles versions de Fearless Wallet sont concernées ?

Les versions concernées de l’extension de navigateur seraient les 3.0.1, 3.0.3, 3.0.4 et 3.0.5. Selon des extraits d’un avis de sécurité publié sur le forum Polkadot, elles pouvaient envoyer la clé privée d’un utilisateur vers un serveur contrôlé par un attaquant lors du déverrouillage du portefeuille. Ces mêmes extraits relient l’incident à du code qui aurait été ajouté le 19 février 2025, dans le cadre d’une modification intitulée "TON ecosystem", avec une activité constatée à différentes dates entre février 2025 et le 10 octobre 2026.

Les données disponibles ne permettent pas d’évaluer l’ampleur totale de l’exposition. Le rapport actuel fait état d’au moins huit utilisateurs ayant signalé des transactions non autorisées pour un total de 17 286 DOT, soit environ 20 500 dollars. Ce chiffre doit toutefois être compris comme le volume des incidents déclarés, et non comme un recensement de tous les comptes compromis.

Pourquoi créer une nouvelle paire de clés ?

Comme l’exposition signalée concernait la clé privée elle-même, la recommandation est de créer une paire de clés entièrement nouvelle dans un autre portefeuille, puis d’y transférer les fonds. Changer de mot de passe, réinstaller l’extension ou continuer à utiliser la même clé ne résoudrait pas le problème si un attaquant en détient déjà une copie.

C’est la différence pratique entre un incident classique de sécurité de compte et la compromission d’une clé de portefeuille. Un mot de passe protège l’accès à une application, tandis qu’une clé privée permet d’autoriser des transactions sur le compte. La réponse consiste donc à remplacer intégralement les identifiants du compte, plutôt qu’à tenter de nettoyer l’installation existante.

Que faire si des DOT sont stakés ou verrouillés ?

L’alerte de Polkadot recommande de transférer immédiatement vers un nouveau portefeuille tous les actifs disponibles. Pour les positions en staking ou verrouillées par la gouvernance, elle renvoie vers PAPI Rescue. Cette distinction est importante, car les actifs placés en staking, dans des pools ou liés au vote ne sont pas toujours retirables immédiatement, même lorsqu’un compte est considéré comme compromis.

La même alerte recommande également de ne pas faire confiance aux offres de récupération non sollicitées et de ne jamais partager ses clés privées. Le rapport précise par ailleurs que Polkadot ne dispose pas de compte d’assistance officiel sur X : tout message direct prétendant permettre de récupérer des fonds doit donc être abordé avec prudence.