ブラウザー拡張の利用者に新しいアカウントへの資産移動を要請
ポルカドット・コミュニティ財団（Polkadot Community Foundation：PCF）が、暗号資産（仮想通貨）ウォレット「フィアレスウォレット（Fearless Wallet）」のブラウザー拡張機能で、利用者の秘密鍵が漏えいする問題を10月21日に公表した。
これを受け、ポルカドット（Polkadot）などに対応するモバイルウォレット「ノヴァウォレット（Nova Wallet）」の開発チームも、10月22日（日本時間）にXで注意喚起した。同チームは、今回の問題はノヴァのアプリ自体には影響しないと説明している。
PCFによると、問題のコードが含まれていたのは、フィアレスウォレットのブラウザー拡張機能のバージョン3.0.1、3.0.3、3.0.4、3.0.5だ。利用者がウォレットのロックを解除すると、秘密鍵を攻撃者が管理するサーバーへ送信する仕組みだったという。
問題のコードは、2025年2月19日に公開ソースコードへ追加された。PCFは、同コードが2025年2月から2026年10月10日までの間に断続的に稼働していたと説明している。別添の技術調査報告では、インストール済みのバージョン3.0.3〜3.0.5にはコードが残っており、外部の設定変更によって再び有効になる可能性があると指摘された。
秘密鍵を外部送信する挙動はChrome版で確認された。Firefox版も同じソースコードから構築されていたとされる。 PCFは同期間にFirefox版を利用した人にも、秘密鍵が漏えいしたものとして対応するよう求めている。一方、調査対象となったフィアレスウォレットのAndroid・iOS版では、同コードは見つかっていない。
PCFの公表時点では、今回の問題に起因する可能性がある不正取引が、8人の利用者から報告されている。
PCFは、2025年2月以降に同拡張機能を利用した人に対し、登録していたすべてのアカウントの秘密鍵が漏えいしたと想定するよう呼びかけた。そのうえで、別のウォレットで新しい秘密鍵を生成し、新しいアカウントへ資産を移すよう求めている。
すでにノヴァなど別のウォレットアプリへ移行していても、同じシードフレーズや秘密鍵を引き続き使っている場合は、リスクが残るという。シードフレーズはウォレットの復元に使う単語列で、第三者に知られると資産を操作されるおそれがある。PCFは、パスワードの変更や拡張機能の再インストールだけでは対処できないと説明している。
また、ステーキングやガバナンス投票などで資産がロックされ、すぐに移動できない利用者には、資産救出を支援する「PAPI Rescue」の活用を検討するよう案内した。PCFは、支援を受ける場合でも秘密鍵を他人に渡さないよう求め、資産回収を持ちかける不審なDMにも注意を促している。
As per an investigation carried out on behalf of the Polkadot Community Foundation, it was found that the Fearless Wallet browser extension had been compromised and had been leaking users’ private keys since February 2025. This vulnerability does NOT impact Nova Wallet. However, Nova Wallet users who have also input their Seed Phrase/Private Key into the Fearless Wallet browser extension should immediately move their funds out of any wallets that they believe may have been affected. We recommend that everyone review the quoted announcement from the Polkadot account and take the necessary action if you have used the Fearless Wallet browser extension. If you believe that you are affected by this, you should create a new wallet in Nova Wallet and transfer your assets to that new wallet. You can find steps on how to do this here: https://t.co/fyN2J9fmLM To be clear, this vulnerability does not impact the Nova Wallet iOS or Android apps. As always, we recommend that users treat their Private Keys/Seed Phrase with great care, and ideally use a dedicated Hardware Wallet, such as Polkadot Vault, to ensure that their Seed Phrases are not compromised.
— Nova Wallet (@NovaWalletApp) October 21, 2026
参考：技術調査報告
画像：PIXTA