Fearless Wallet拡張機能が18か月間秘密鍵を漏洩、8ユーザーが盗難を報告
TREE NEWS 報道： Polkadotは、サードパーティ製ウォレットFearless Walletのブラウザ拡張機能が侵害され、2025年2月以降断続的にユーザーの秘密鍵を攻撃者に漏洩していたとするセキュリティ警告を発令した。調査によると、悪意あるコードはユーザーがウォレットのロックを解除するたびに秘密鍵を外部に送信していた。これまでに8ユーザーが資産の盗難を報告しているが、影響を受けたユーザーの実際の数はさらに多い可能性がある。
インシデントの詳細と対応
この侵害はサプライチェーン攻撃によるものと考えられており、攻撃者はウォレットのアップデート機構に悪意あるコードを注入した。Polkadotエコシステムで人気のノンカストディアルウォレットであるFearless Walletは、DOT、KSM、その他のSubstrateベースのトークンを含む複数の資産をサポートしている。Polkadotチームは、ユーザーに対し直ちに資金を安全なウォレットへ移し、拡張機能に付与した権限をすべて取り消すよう促している。
これを受けて、Fearless Walletの開発者は修正版の拡張機能をリリースし、セキュリティ企業と協力して侵害の調査を進めている。しかし、18か月にわたる露出期間は、このウォレットのセキュリティ慣行とアップデート検証プロセスに深刻な疑問を投げかけている。
業界への影響
このインシデントは、ブラウザベースのウォレットに伴うリスクの増大と、厳格なセキュリティ監査の重要性を浮き彫りにしている。サプライチェーン攻撃は、信頼された配布チャネルを悪用するため、特に陰湿である。相互運用性とセキュリティを誇るPolkadotエコシステムにとって、この侵害はユーザーの信頼を損なう可能性がある。
さらに、18か月に及ぶ検出の遅れは、ウォレットソフトウェアにおける継続的な監視と異常検知の必要性を強調している。ユーザーが自らのセキュリティ態勢を見直す中で、TalismanやSubWalletといった競合ウォレットの採用が増える可能性がある。
今後の展望
暗号資産業界が成熟するにつれ、ウォレットのセキュリティは基本的な暗号化を超えて進化しなければならない。マルチパーティ計算（MPC）、ハードウェアセキュリティモジュール（HSM）、リアルタイムの脅威インテリジェンスの実装が不可欠となるだろう。ユーザーもまた、大口保有にはハードウェアウォレットを使用し、権限を定期的に見直すといったベストプラクティスを採用すべきである。
規制当局も注目する可能性があり、ウォレットプロバイダーに対するより厳格なセキュリティ基準を求める動きにつながるかもしれない。Fearless Walletのインシデントは、Web3エコシステム全体への警鐘である。信頼は利便性だけでなく、透明性と堅牢なセキュリティによって獲得されるものなのだ。
