Fearless Wallet : l’extension a laissé fuiter des clés privées, la fondation Polkadot demande de déplacer les fonds

Quiconque a utilisé l’extension de navigateur Fearless Wallet depuis février 2025 doit considérer comme compromis tous les comptes qu’elle contenait, créer une nouvelle clé privée dans un autre portefeuille et y déplacer ses fonds dès maintenant. C’est la consigne que la Polkadot Community Foundation a publiée mercredi 21 octobre 2026 à 14 h 00 UTC dans un avis de sécurité sur le forum Polkadot. Les versions 3.0.1, 3.0.3, 3.0.4 et 3.0.5 de l’extension contenaient un code qui envoyait la clé privée à un serveur contrôlé par un attaquant au moment où l’utilisateur déverrouillait son portefeuille. Huit utilisateurs ont signalé à ce jour des transactions non autorisées pour un total de 17 286 DOT, selon l’avis.

Réinstaller l’extension ou changer son mot de passe ne sert à rien. « L’attaquant a peut-être déjà vos clés », écrit la fondation : une clé qui a fuité reste une clé qui a fuité. Seule une nouvelle paire de clés protège les fonds.

À 1,18 $ le DOT, le cours des données de marché de Coindaro à 16 h 17 UTC aujourd’hui, les 17 286 DOT déclarés volés vaudraient environ 20 400 $. C’est le prix du jour, pas la valeur au moment où les jetons ont quitté les comptes, et ce chiffre ne compte que les personnes qui se sont manifestées.

Fearless est un portefeuille tiers. La fondation insiste : blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il « n’est pas, et n’a jamais été, un portefeuille officiel de Polkadot ». Son code se trouve dans un dépôt GitHub public, sous l’organisation soramitsu. Ni l’avis ni son annexe technique ne disent qui a écrit le code litigieux, et nous n’avons trouvé aucune déclaration de Soramitsu ni de l’équipe Fearless à l’heure où nous écrivons.

Fearless Wallet : qui est concerné par la fuite de clés privées ?

L’avis range les utilisateurs en plusieurs cas. Lisez-les à la lumière de votre propre situation, car la réponse dépend de l’endroit où votre phrase de récupération est passée, pas de l’application que vous ouvrez aujourd’hui.

• Vous avez utilisé l’extension de navigateur Fearless à un moment quelconque depuis février 2025. Tous les comptes qui s’y trouvaient doivent être considérés comme compromis.
• Vous aviez la version Firefox. Elle reposait sur le même code et n’est plus listée, mais la fondation demande aux utilisateurs de Firefox de cette période de tenir eux aussi leurs clés pour compromises. La fuite n’est confirmée que pour la version Chrome.
• Vous n’utilisez que l’application mobile Fearless sur Android ou iOS. Les versions examinées ne contiennent pas le code. Mais si la même clé a déjà été chargée dans l’extension, par exemple en restaurant une sauvegarde Google Drive de Fearless, cette phrase est compromise partout où elle sert.
• Entre-temps, vous êtes passé à une autre application de portefeuille. Cela ne vous protège que si vous y avez créé une nouvelle paire de clés. Importer l’ancienne phrase de récupération dans une nouvelle application emporte l’exposition avec elle.

Ce dernier point piège beaucoup de monde. Sur Polkadot, comme sur la plupart des blockchains, le compte, c’est la clé. Une application de portefeuille n’est qu’une fenêtre ouverte dessus : changer de fenêtre ne change rien si la clé qui se trouve derrière a fuité. Notre entrée de glossaire sur la clé privée explique pourquoi celui qui la détient contrôle les fonds.

L’extension était encore téléchargeable quand l’alerte a été lancée. The Defiant rapporte que Chrome listait toujours une version touchée, avec environ 6 000 utilisateurs. Quand nous avons consulté la page du Chrome Web Store à 16 h 49 UTC, elle proposait encore la version 3.0.5, mise à jour pour la dernière fois le 9 avril 2025, avec 6 000 utilisateurs. La fiche donne une adresse de contact sur le domaine soramitsu.co.jp.

Clé privée compromise : les six étapes de l’avis de Polkadot

Voici les étapes de la fondation en termes simples, dans l’ordre où elle les donne. Respectez cet ordre : l’extension ne se retire qu’une fois l’argent à l’abri.

1. Créez une nouvelle paire de clés dans un autre portefeuille, activement maintenu, et non dans Fearless. L’avis cite Nova Wallet et recommande de garder si possible la nouvelle clé hors ligne.
2. Déplacez vos fonds de l’ancien compte vers le nouveau dès que possible, et vérifiez chacune des chaînes que l’ancien compte utilise. Si vous le pouvez, faites-le depuis une autre application de portefeuille avec l’ancienne clé plutôt qu’en rouvrant l’extension Fearless.
3. Si vous utilisez l’application mobile Fearless, passez à un portefeuille mobile maintenu. Un téléphone resté longtemps hors ligne doit le rester pendant que vous exportez les clés ; ensuite seulement l’ancienne application peut être supprimée.
4. Si vos DOT sont en staking, dans un pool de nomination ou verrouillés dans un vote de gouvernance, ils ne peuvent pas bouger tout de suite. Les nominateurs peuvent débloquer leur mise en un à deux jours. Avant de retirer votre mise, l’avis suggère de demander de l’aide à PAPI Rescue, et de ne jamais communiquer votre clé privée à quiconque, PAPI Rescue compris.
5. Une fois vos fonds en sécurité, supprimez l’extension. Le code est toujours présent dans les copies installées des versions 3.0.3 à 3.0.5 et pourrait être réactivé.
6. Si vous avez utilisé les mêmes clés ailleurs, déplacez aussi ces fonds.

L’étape quatre est celle où le risque pèse sur les stakers. Certains utilisateurs ont signalé que des fonds avaient quitté le compte à l’instant même où ils déverrouillaient leur portefeuille, sans aucune action de leur part. Débloquer sa mise ouvre une fenêtre pendant laquelle les jetons deviennent libres de circuler, pour vous comme pour toute personne détenant la clé. PAPI Rescue, conçu par l’équipe polkadot-api, est l’outil vers lequel l’avis renvoie pour récupérer des fonds restés sur un compte compromis.

Les signes qu’un compte est en train d’être vidé

Certains changements sur la chaîne laissent penser que quelqu’un d’autre se sert de votre clé, selon la fondation. Si ce n’est pas vous qui les avez faits, déplacez tout ce que vous pouvez immédiatement et contactez PAPI Rescue.

• Votre staking s’est arrêté, ou votre mise a commencé à se débloquer.
• La destination de vos récompenses de staking a changé.
• Vous avez quitté un pool de nomination, ou un vote de gouvernance a été retiré.
• De petits transferts de test sont sortis du compte.
• Toute autre action sur la chaîne que vous n’avez pas effectuée.

Si vous avez déjà perdu des fonds : plainte et signalement

Conservez les preuves : l’adresse du compte, les hachages des transactions non autorisées, les dates et les montants. La fondation suggère de signaler le cas à SEAL 911, la ligne d’urgence de la Security Alliance, et de déposer plainte, ce qui sera très probablement nécessaire si les jetons volés ont atteint une plateforme d’échange centralisée. En France, cela passe par une plainte auprès de la police ou de la gendarmerie, avec ces mêmes pièces ; nous n’avons pas vérifié ici de plateforme publique de signalement précise et nous n’en citons donc aucune. Aux États-Unis, l’Internet Crime Complaint Center du FBI reçoit les plaintes pour vol de cryptoactifs sur ic3.gov. En Angleterre, au pays de Galles et en Irlande du Nord, le canal est Report Fraud (reportfraud.police.uk), qui a remplacé Action Fraud en décembre 2025.

Attendez-vous à des escrocs. Les vols de ce genre attirent de faux « agents de récupération » en quelques heures. Aucune personne légitime ne vous écrira la première pour vous proposer de retrouver vos fonds, et personne n’a besoin de votre clé privée, précise l’avis. Polkadot n’a pas de compte d’assistance sur X.

Comment le code envoyait les clés privées à un serveur

Une analyse technique liée depuis l’avis suit le code ligne par ligne, à partir du source public. Elle est prudente sur son périmètre : elle décrit un comportement et, selon ses propres termes, « ne dit rien de l’auteur du code ni de ses motifs ».

Dans les versions 3.0.3 à 3.0.5, chaque déverrouillage appelait une fonction nommée d’après les jetons TON, ce qui laissait croire qu’elle récupérait des informations sur des jetons. Elle faisait autre chose. Elle lisait un fichier de configuration dans un autre dépôt GitHub public, lui aussi sous l’organisation soramitsu. Si ce fichier contenait une adresse de serveur, le code collectait le secret de chaque compte principal du portefeuille : la phrase de récupération, ou le fichier keystore du compte accompagné du mot de passe du portefeuille en clair.

Ces valeurs étaient chiffrées avec un mot de passe vide, ce que n’importe qui peut défaire, puis placées dans l’adresse d’une requête web vers tonscanner.org. Rien ne s’affichait à l’écran. Seul un déverrouillage avec le bon mot de passe produisait des données à envoyer, et chaque compte n’était envoyé qu’une fois, puis consigné dans le stockage local de l’extension pour ne pas l’être de nouveau.

Ce fichier de configuration jouait le rôle d’interrupteur à distance. Selon l’analyse, le journal d’activité de GitHub montre qu’il a été activé pendant neuf périodes distinctes entre le 7 mars 2025 et le 10 octobre 2026, soit environ 571 jours au total, la dernière période ininterrompue courant du 15 mai 2025 au 10 octobre 2026. Les états antérieurs ont été écrasés par des force pushes, si bien que seule la dernière période apparaît dans l’historique ordinaire.

La version 3.0.1 utilisait une forme plus ancienne. L’adresse du serveur était écrite en dur dans le code, et un contrôle de date la retenait jusqu’au 26 février 2025 à 20 h 00 UTC. Elle s’exécutait au déverrouillage, mais aussi à la création ou à l’import d’un compte, et renvoyait les clés à chaque fois. La version 3.0.2 contenait le code sans que rien ne l’appelle, ce qui explique qu’elle ne figure pas sur la liste.

Vingt mois de chronologie, du changement « TON » à l’avis de sécurité

L’avis de mercredi fait remonter le code à une importante modification intitulée « TON ecosystem », ajoutée au source public de l’extension le 19 février 2025 par la pull request n° 1022. La page GitHub montre que la demande a été marquée comme prête et fusionnée dans la branche de développement le jour même, avec une seule approbation, après trois force pushes de sa branche en moins d’une demi-heure ; le champ de description était le modèle vide. Le dossier ne montre pas qui contrôlait le compte qui l’a ouverte, et l’avis ne le dit pas.

Le code a quitté le source le 25 juin 2026, mais les copies installées ont continué à consulter l’interrupteur, qui est resté activé pendant encore trois mois et demi, jusqu’au 10 octobre. L’alerte publique est arrivée onze jours après.

Huit cas déclarés, et pourquoi ce chiffre est un plancher

Un registre des cas signalés, lié depuis l’avis, ne recense que les utilisateurs qui ont publiquement fait état de transactions non autorisées, ont dit utiliser Fearless et dont les transferts ont été retrouvés sur la blockchain Polkadot. Il compte huit cas entre le 30 septembre 2025 et le 23 septembre 2026. Cinq d’entre eux tombent en septembre 2026, le plus important étant 8 995,56 DOT sortis le 23 septembre.

Les totaux ne concordent pas. L’avis chiffre les huit cas déclarés à 17 286 DOT. Le registre additionne ces mêmes huit cas à 15 571,99 DOT, plus 54 450,36 DED, un jeton mème de Polkadot. Aucun des deux documents n’explique l’écart d’environ 1 714 DOT ; nous donnons donc les deux chiffres, chacun avec sa source.

Le registre est franc sur ses limites. Il affirme que les cas présentés ne sont « pas l’ampleur complète du problème », et ses auteurs disent avoir repéré d’autres comptes présentant le même schéma sur la chaîne, dont les titulaires ne se sont pas manifestés, et chercher à les joindre. Crypto Briefing fait la même remarque : le nombre de comptes exposés peut être bien supérieur à celui des comptes vidés, et personne n’a dit combien de clés ont atteint le serveur.

Certains des utilisateurs listés avaient changé d’outil. Trois disent avoir utilisé Fearless puis Nova, et un a importé son compte dans SubWallet. Cela cadre avec l’avertissement de l’avis : changer d’application sans changer de clés les laissait exposés. Un cas mentionne l’application iOS de Fearless, que le code mobile examiné ne couvre pas ; le registre précise lui-même qu’une mention n’établit pas comment les clés d’un compte donné ont été exposées.

Des utilisateurs avaient tiré la sonnette d’alarme un an plus tôt

Le premier signalement public date du 6 octobre 2025. Un utilisateur écrivait sur le forum Polkadot que 260,05 DOT lui avaient été pris trois jours plus tôt, juste après une mise à jour que l’application Fearless elle-même avait proposée, avec des transferts sortants espacés de 18 et de 36 secondes, et qu’un signalement envoyé par courriel à l’équipe Fearless était resté sans réponse. Le lendemain matin, une réponse sur le fil indiquait qu’« aucune vulnérabilité de l’application n’a été confirmée » et que le support Polkadot examinait le dossier.

D’autres signalements ont suivi. Le 30 octobre 2025, un autre utilisateur décrivait la perte de tous ses DOT juste après avoir retiré sa mise par Fearless ; le registre chiffre cette perte à 2 157,42 DOT. En janvier 2026, un membre de la communauté conseillait sur le même fil d’arrêter d’utiliser Fearless et de passer à Talisman, SubWallet ou Nova. La première victime a demandé sur le fil à être remboursée ; nous n’avons trouvé aucune trace d’un remboursement.

L’avis de mercredi est la première fois que la fondation relie ces pertes à du code présent dans l’extension. Elle formule encore ce lien avec prudence : les huit cas « pourraient être attribués » à l’exploit, sans être prouvés.

Ce que l’on ne sait toujours pas

• Qui a écrit le code et qui exploite le serveur récepteur. L’avis et l’analyse ne le disent pas, et l’analyse précise qu’elle ne traite pas cette question.
• Combien de clés ont été envoyées. Le serveur n’a pas été contacté et ses journaux ne sont pas disponibles, selon l’analyse.
• Qui maintient l’extension aujourd’hui. Les développeurs d’origine de Fearless sont partis et ont créé Nova Wallet à partir d’un fork du code, selon la propre proposition de Nova à la trésorerie de Kusama ; un commentateur du forum écrivait en janvier 2026 qu’on ne savait pas bien qui gérait désormais Fearless.
• Si Soramitsu ou l’équipe Fearless réagiront, et si Google retirera la fiche Chrome.
• Si une partie des fonds volés peut être gelée. Le registre liste les adresses de réception mais ne dit pas si l’une d’elles appartient à une plateforme d’échange.

Pour le réseau Polkadot lui-même, rien ne change : c’est un problème d’application, pas une faille de la chaîne, et le DOT progressait de 1,39 % sur 24 heures à 16 h 17 UTC. Les utilisateurs de portefeuilles de navigateur sur d’autres chaînes ont connu une défaillance comparable ce mois-ci avec le vol par fausse alerte chez Ngrave, où l’attaque est passée par l’application même du fabricant. Un portefeuille chaud exécute le code que ses mainteneurs publient, et une phrase de récupération ne se corrige pas une fois qu’elle a fuité. Notre guide de sécurité de la phrase de récupération explique comment en créer une nouvelle et la conserver.

Reste à surveiller la réponse de l’éditeur de l’extension et l’état de sa page sur le Chrome Web Store, qui proposait encore la version 3.0.5 en fin d’après-midi UTC mercredi.