ポルカドット・コミュニティ財団（PCF）は、暗号資産ウォレット「Fearless Wallet」のブラウザー拡張機能において利用者の秘密鍵が漏えいする問題が判明したと公表しました。悪意あるコードによってロック解除時に秘密鍵が外部サーバーへ送信される状態となっており、すでに利用者から不正取引の報告も寄せられています。財団は資産の安全を確保するため、影響を受けるバージョンを利用したすべてのユーザーに対し、新しいウォレットで秘密鍵を再生成して資産を移転するよう強く呼びかけています。
株式会社Pacific Metaが運営する編集チームです。ステーブルコイン、RWA（リアルワールドアセット）、セキュリティトークン、NFTなどのトークン活用や、オンチェーン金融、AI×ブロックチェーン領域の事業開発・実装、暗号資産の基礎知識と国内取引所の使い方まで、ブロックチェーン事業の支援で得た知見をもとに記事の企画・執筆・監修を行っています。編集部や運営会社の詳細は公式サイトと編集方針をご覧ください。
不正コードの混入と漏えいの実態
財団の発表によると、秘密鍵の漏えいを引き起こすコードが含まれていたのは、Fearless Walletのブラウザー拡張機能におけるバージョン3.0.1、3.0.3、3.0.4、3.0.5です。利用者がウォレットのロックを解除した際に、秘密鍵が攻撃者の管理するサーバーへ送信される仕組みになっていました。
このコードは2025年2月19日に公開ソースコードへ追加され、2025年2月から2026年10月10日までの間に断続的に稼働していたと説明されています。技術調査報告では、インストール済みのバージョン3.0.3から3.0.5にコードが残存しており、外部の設定変更によって再び有効化されるリスクが指摘されています。
秘密鍵を外部送信する挙動はChrome版で確認されており、影響を受ける拡張機能バージョンにはChrome上で依然として6,000人の利用者がリストされていました。また、Firefox版も同じソースコードから構築されていたため、財団は該当期間にFirefox版を利用したユーザーに対しても秘密鍵が漏えいしたものとして対応を求めています。なお、調査対象となったAndroid版およびiOS版のアプリでは、同様のコードは見つかっていません。財団の公表時点において、この問題に起因する可能性がある不正取引が8人の利用者から報告されています。
利用者に求められる対応と移行時の注意点
財団は、2025年2月以降に該当する拡張機能を利用したユーザーに対し、登録されていたすべてのアカウントの秘密鍵が漏えいしたと想定して行動するよう促しています。今回の問題はパスワードの変更や拡張機能の再インストールだけでは解決できないため、別のウォレットで新しい秘密鍵を生成し、新しいアカウントへ資産を移動させる必要があります。
ポルカドット対応モバイルウォレット「Nova Wallet」の開発チームも注意喚起を行っており、Nova Walletのアプリ自体への直接的な影響はないとしつつも、過去にFearless Walletの拡張機能へシードフレーズ（ウォレット復元用の単語列）や秘密鍵を入力したことがある場合は、資産を即座に退避させるよう推奨しています。すでに他のウォレットアプリへ移行している場合であっても、同じシードフレーズや秘密鍵を継続して利用している限りは資産を操作されるリスクが残るため、同様の対応が求められます。
また、ステーキングやガバナンス投票などで資産がロックされていて即座に送金できない利用者に対しては、資産救出を支援する「PAPI Rescue」の活用を検討するよう案内されています。財団は、支援を受ける場合でも秘密鍵を他人に渡さないことや、資産回収を持ちかける不審なダイレクトメッセージ（DM）に十分警戒することを呼びかけています。
ポイント
- Fearless Walletのブラウザー拡張機能（バージョン3.0.1および3.0.3〜3.0.5）で、ロック解除時に秘密鍵が攻撃者のサーバーへ送信されるコードが混入していた点
- Chrome版では6,000人の利用者がリストされている拡張機能が影響を受け、公表時点で8件の不正取引の疑いが報告されている点
- パスワード変更や再インストールでは被害を防げず、新規ウォレットでの鍵生成と資産移転が必須とされている点
- Nova Walletなど別アプリに移行済みであっても、同一のシードフレーズや秘密鍵を使い回している場合は盗難リスクが継続する点
総研プライム
ブロックチェーンを、
徹底的に読み解く。
技術の仕組み、企業の戦略、市場の構造まで。独自の調査・分析で掘り下げる専門レポート。
初月無料で読む