Polkadot (DOT) Topluluk Vakfı, Fearless Wallet'in 20 Aylık Özel Anahtar Sızıntısı Uyarısı Yaptı

Anahtarlar 19 Şubat 2025'ten Beri Kopyalanıyor

Polkadot (DOT) Topluluk Vakfı, 19 Şubat 2025 tarihinden bu yana herhangi bir noktada Fearless Wallet tarayıcı eklentisini kullanan herkesin, eklenti içinde Polkadot (DOT) ya da başka bir varlık tutan tüm hesaplarını ele geçirilmiş sayması ve fonlarını hemen taşıması çağrısında bulundu. 21 Ekim 2026'da yayımlanan uyarı, eklentinin içinde özel anahtarları saldırgan kontrollü bir sunucuya kopyalayan ve 10 Ekim 2026'ya kadar aralıklarla aktif kalan bir kodun ortaya çıkarılmasından sonra geldi; söz konusu pencere neredeyse 20 aydır açık. Dört sürümde bu kod vardı: 3.0.1, 3.0.3, 3.0.4 ve 3.0.5. Kod, kullanıcı cüzdanı doğru parolayla açtığında devreye giriyordu. Bildirimde bağlantısı verilen teknik inceleme mekanizmayı anlatıyor: eklenti, her hesabın kurtarma ifadesini, bir HD cüzdan yapısının ana tohumunu ya da yedek dosyasını cüzdan parolasıyla birlikte topluyordu. Daha sonra bu paketi boş bir parolayla şifreliyordu; yani herkesin geri açabileceği bir adım, ve sonucu tonscanner.org adresine yüklüyordu. Kod projeye GitHub üzerindeki pull request #1022 aracılığıyla, eklentinin herkese açık kaynak koduna yapılan "TON ekosistemi" başlıklı daha geniş bir değişikliğin parçası olarak girdi. 3.0.3'ten 3.0.5'e kadar olan sürümler ayrı bir açık depodaki yapılandırma dosyasını da okuyordu; bu dosya uzaktan açıp kapatma anahtarı işlevi görüyordu. Vakfın önerisi koşulsuz: özel anahtar bir hesap üzerinde tam yetki verdiği için parola değiştirmek ya da eklentiyi yeniden kurmak hiçbir şeyi değiştirmiyor; anahtarı elinde tutan kişi transfer imzalayıp bakiyeyi boşaltabilir. Vakıf, farklı ve iyi bakılan bir kripto cüzdan ile taze bir anahtar çifti oluşturulmasını, fonların eski hesabın değdiği her zincirden çekilmesini ve mümkünse Fearless'ın bir daha açılmamasını önerdi. Yeni hesap için Nova Wallet'ı bir seçenek olarak isimlendirdi. Bildirim dolaşımdayken Polkadot fiyatı 1,17 dolardaydı; yedi günde yüzde 3 artmış, yıllık bazda yüzde 62,7 gerilemiş durumdaydı.

Sekiz Bildirim, 17.286 DOT Henüz Doğrulanmadı

GitHub'ın herkese açık etkinlik kayıtları, uzaktan anahtarın 7 Mart 2025 Cuma gününden 10 Ekim 2026'daki bitiş noktasına kadar dokuz ayrı dönemde açık olduğunu, toplamda kabaca 571 gün gösteriyor. Kod, 25 Haziran 2026 Perşembe günü projenin kaynak kodundan çıkarıldı; ancak kurulmuş olan 3.0.3, 3.0.4 ve 3.0.5 kopyaları onu hâlâ taşıyor. Bu kopyalarda her açılışta uzaktan anahtar kontrol ediliyor; anahtar şu anda kapalı ama yeniden açılabilir. Vakıf kullanıcılara önce fonları taşımasını, sonra eklentiyi kaldırmasını söyledi. Firefox sürümü de aynı kodu çalıştırıyordu ve artık listede görünmüyor; bu sürümde pencere içinde kullanılan anahtarların da ele geçirilmiş sayılması gerekiyor. İncelenen Android ve iOS uygulamalarında bu kodun hiçbir izi yok; yine de bildirim, eklentide bir kez bulunmuş bir özel anahtarın, o anahtar nerede kullanılırsa kullanılsın ele geçirilmiş olduğunu ekliyor. Bir tarayıcı eklentisi tasarımı gereği hot wallet sınıfına giriyor; anahtarları internete bağlı bir cihazda tutuyor ve 21 Ekim itibarıyla 3.0.5 sürümü Chrome mağazasından indirilebilir durumdaydı, 6.000 kullanıcısı vardı. Sekiz kullanıcı, saldırıyla bağlantılı olabilecek yetkisiz transferler bildirdi; bildirilen toplam 17.286 Polkadot (DOT). Vaka kaydı, bu bildirimlerin hırsızlığı kanıtlamadığını belirtiyor. İlk vaka 30 Eylül 2025 Salı günü tarihli; 6 Ekim 2025 Pazartesi'de bir Reddit gönderisi geldi ve birkaç kullanıcı, cüzdanı açtıkları anda fonların hareket ettiğini yazdı. Stake edilmiş coinler, adaylık havuzu mevduatları ve yönetişim için kilitli coinler hemen hareket edemiyor. Aday verenler en kısa bir ila iki günlük kilit açma (unbonding) süresiyle karşılaşıyor; bildirim, herhangi bir unstake adımından önce polkadot-api ekibinin aracı olan PAPI Rescue'ya yönlendiriyor. Vakıf, PAPI Rescue ekibi dahil kimsenin kullanıcının özel anahtarlarına ihtiyacı olmadığını; fon kurtarma teklifiyle ilk mesajı atan herkesin meşru olmadığını ekledi. Fearless Wallet bağımsız bir ekip tarafından geliştiriliyor ve bildirime göre hiçbir zaman resmi bir Polkadot cüzdanı olmadı. Bu ay zincir için başka gelişmeler de var: dotUSD stablecoin ekim ayının başlarında canlıya alındı ve dotUSD üzerindeki DAO birinciliği referandumu ayrı bir haberin konusu.

Uzaktan Anahtar Şu An Kapalı, Şimdilik

Sızıntı tasarım gereği kalıcı: ele geçmiş bir özel anahtar döndürülemiyor, tek çözüm fonları o anahtardan uzaklaştırmak. Henüz eksik olan ise ölçek. Vakıf etkilenen hesap sayısını yayımlamadı ve dosyada duran 17.286 Polkadot (DOT) bildirilmiş bir rakam, doğrulanmış bir hırsızlık tutarı değil. Tabloyu değiştirecek iki gözlem, bildirimde de tanımlanıyor: uzaktan anahtarın yeniden açılması ya da sekiz kullanıcının anlattığı türden açılış anı transferlerinin yeni bir dalgası. 10 Ekim 2026'dan bu yana ikisi de kayda geçmedi. Göç sonrası anahtarların çevrimdışı kalması gerekiyorsa pratik uğrak noktası bir cold wallet; kurulum örneklerinden birini Cypherock X1 rehberimizde anlattık.