مؤسسة مجتمع Polkadot (DOT) تحذر من تسريب مفاتيح محفظة Fearless Wallet لمدة 20 شهرًا

نسخ المفاتيح منذ فبراير 2025

دعت مؤسسة مجتمع Polkadot (DOT) كل من استخدم إضافة Fearless Wallet في المتصفح، في أي وقت منذ يوم الأربعاء 19 فبراير 2025، إلى اعتبار كل حساب يحتفظ بـPolkadot (DOT) أو بأي أصل آخر داخلها حسابًا مكشوفًا، ونقل الأموال فورًا دون انتظار. جاء التحذير، الصادر يوم الأربعاء 21 أكتوبر 2026، بعد اكتشاف شيفرة برمجية داخل الإضافة تنسخ المفاتيح الخاصة إلى خادم يتحكم به المهاجم، وتظل تعمل على فترات متقطعة حتى يوم السبت 10 أكتوبر 2026، أي في نافذة زمنية تقارب 20 شهرًا. أربعة إصدارات حملت هذه الشيفرة هي 3.0.1 و3.0.3 و3.0.4 و3.0.5، وتنشط لحظة فتح المستخدم للمحفظة بكلمة المرور الصحيحة. يصف تحليل تقني أشار إليه الإشعار آلية العمل: تجمع الإضافة عبارة الاسترداد لكل حساب، وهي البذرة الرئيسية لـمحفظة HD، أو ملف النسخ الاحتياطي الخاص به، إلى جانب كلمة مرور المحفظة. ثم تشفر الحزمة بكلمة مرور فارغة، وهي خطوة يستطيع أي شخص التراجع عنها، وترفع النتيجة إلى الموقع tonscanner.org. ودخلت الشيفرة المشروع عبر طلب الدمج رقم 1022 على GitHub، أُدمج ضمن تغيير أكبر حمل عنوان «منظومة TON» في الشيفرة المصدرية العامة للإضافة. كما تقرأ الإصدارات من 3.0.3 إلى 3.0.5 ملف تهيئة موجود في مستودع عام منفصل، يعمل كمفتاح تشغيل وإيقاف عن بُعد. والإرشاد هنا غير مشروط: المفتاح الخاص يمنح سيطرة كاملة على الحساب، فتغيير كلمة المرور أو إعادة تثبيت الإضافة لا يغير شيئًا، ومن يملك المفتاح يستطيع توقيع التحويلات وتفريغ الرصيد. نصحت المؤسسة بإنشاء زوج مفاتيح جديد في محفظة عملات رقمية مختلفة وموثوقة، مع نقل الأموال من الحساب القديم على كل سلسلة تعامل معها، ويُفضَّل ذلك دون فتح Fearless مرة أخرى. وذكرت محفظة Nova Wallet خيارًا واحدًا للحساب الجديد. أما سعر Polkadot فبلغ 1.17 دولار أثناء تداول الإشعار، بارتفاع 3% على مدى سبعة أيام وانخفاض 62.7% خلال العام.

ثمانية تقارير و17,286 رمز DOT غير مؤكدة

يسجل سجل النشاط العام على GitHub أن المفتاح عن بُعد كان يعمل خلال تسع فترات منفصلة بين يوم الجمعة 7 مارس 2025 ونقطة النهاية يوم 10 أكتوبر 2026، بإجمالي يقارب 571 يومًا. أُزيلت الشيفرة من المصدر المشروع يوم الخميس 25 يونيو 2026، لكن النسخ المثبتة من الإصدارات 3.0.3 إلى 3.0.5 ما تزال تحملها، وكل عملية فتح تدفع تلك النسخ لفحص المفتاح عن بُعد، وهو متوقف حاليًا لكنه قابل لإعادة التشغيل. لذلك طلبت المؤسسة من المستخدمين نقل الأموال أولًا، ثم إلغاء تثبيت الإضافة. وقد شغّل إصدار Firefox الشيفرة نفسها ولم يعد مدرجًا، فالمفاتيح المستخدمة فيه داخل النافذة الزمنية تُعد مكشوفة أيضًا. أما تطبيقَي Android وiOS اللذان روجعت فلا يحملان أي جزء من الشيفرة، مع أن الإشعار يضيف أن المفتاح الخاص وصل يومًا إلى الإضافة يُعد مكشوفًا أينما استُخدم. الإضافة المتصفحة بطبيعتها محفظة ساخنة، تحتفظ بالمفاتيح على جهاز متصل بالإنترنت، واستمر الإصدار 3.0.5 قابلًا للتنزيل في متجر Chrome حتى يوم 21 أكتوبر مع قاعدة مستخدمين تبلغ 6,000 مستخدم. ثمانية مستخدمين تقدموا ببلاغات عن تحويلات غير مصرح بها قد ترتبط بالثغرة، بإجمالي مبلغ عنه 17,286 رمز Polkadot (DOT)؛ ويوضح سجل الحالات أن هذه البلاغات لا تثبت السرقة بذاتها. يعود أول حالة إلى يوم الثلاثاء 30 سبتمبر 2025، ثم نُشر منشور على Reddit يوم الاثنين 6 أكتوبر 2025، فيه عدة مستخدمين قالوا إن أموالهم تحركت لحظة فتحهم المحفظة. أما العملات المقيدة وودائع مجمعات الترشيح والرموز المقفلة للحكم لا تتحرك فورًا؛ ويواجه المرشحون فترة فك ربط من يوم إلى يومين كحد أدنى، ويوجه الإشعار المستخدمين إلى أداة PAPI Rescue من فريق polkadot-api قبل أي إلغاء للاستلام. وأضافت المؤسسة أن أحدًا، بما في ذلك فريق PAPI Rescue، لا يحتاج إلى المفاتيح الخاصة للمستخدم، ومن يراسلك أولًا بعرض لاستعادة أموالك فهو غير شرعي. تبني Fearless Wallet فريق مستقل، وذكر الإشعار أنها ليست محفظة Polkadot رسمية ولم تكن يومًا كذلك. وفي المقابل، كان الشهر مزدحمًا أخبارًا للسلسلة: إطلاق العملة المستقرة dotUSD في وقت سابق من أكتوبر، ويُغطى استفتاء أولوية dotUSD في تقرير منفصل.

المفتاح عن بُعد متوقف، في الوقت الراهن

الكشف هنا دائم بحكم التصميم: المفتاح الخاص المسرب لا يمكن تدويره، والحل الوحيد هو نقل الأموال بعيدًا عنه. ما لا يحتويه السجل حتى الآن هو حجم الأثر؛ فالمؤسسة لم تنشر عدد الحسابات المتأثرة، و17,286 رمز Polkadot (DOT) المدرجة بلاغًا لا تأكيدًا لعملية سرقة. وملاحظتان ستحولان الصورة، وقد حدد الإشعار كلتيهما: إعادة تشغيل المفتاح عن بُعد، أو موجة جديدة من التحويلات لحظة الفتح على النمط الذي وصفه المستخدمون الثمانية. ولم يُسجل أي من الأمرين منذ يوم 10 أكتوبر 2026. وبالنسبة إلى المفاتيح التي يلزم إبقاؤها دون اتصال بعد الهجرة، تظل المحفظة الباردة الخيار العملي، ويغطي دليلنا لجهاز Cypherock X1 أحد هذه الإعداد.