Как сменить кошелёк после утечки ключа: пошаговый гайд по следам Fearless Wallet

Разбираем с нуля, как сменить кошелёк, если ключ мог утечь, и не потерять деньги по дороге. Повод свежий: 21 октября Polkadot Community Foundation предупредила, что расширение Fearless Wallet больше полутора лет сливало приватные ключи на сервер атакующего. Главный урок этой истории касается любого кошелька: поменять приложение — не значит сменить кошелёк.

Что случилось с Fearless Wallet

По TSN, вредоносный код попал в открытый исходник расширения 19 февраля 2025 года внутри большого изменения с безобидным названием «TON ecosystem». При каждом успешном вводе пароля расширение собирало сид-фразу или файл бэкапа с паролем для всех основных аккаунтов, «шифровало» их пустым паролем и отправляло наружу. В поздних версиях код включался удалённо через конфиг в отдельном репозитории. Из исходников его убрали 25 июня 2026 года, но установленные копии продолжали проверять «рубильник», и тот был включён до 10 октября.

Fearless — сторонний кошелёк, а не официальный кошелёк Polkadot, подчёркивает фонд. По Coindaro, в момент предупреждения Chrome Web Store всё ещё показывал заражённую версию примерно у 6 000 пользователей. Первые жалобы на похожие списания появились ещё в октябре 2025 года.

Почему новое приложение не спасает

Аккаунт в блокчейне — это ключ, а приложение — только окно к нему. Если ключ утёк, атакующий может подписывать транзакции из любого кошелька, и ему не нужен твой телефон или пароль от расширения. В журнале случаев, на который ссылается фонд, есть люди, которые после Fearless перешли в Nova или SubWallet, но импортировали туда старую сид-фразу. Деньги у них всё равно ушли.

Сменить приложение и сменить кошелёк — разные вещи: пока у тебя старый ключ, у атакующего тоже есть доступ.

То же правило работает за пределами Polkadot. Мы видели его на взломе Qubic, где сиды были слабыми с самого начала, и в фишинге с «миграцией сида». Как создать надёжный ключ с нуля, мы разбирали в гайде как создать сид-фразу.

Как сменить кошелёк: пошагово

Шаги ниже собраны по уведомлению фонда и разбору CryptoWatchDesk, но подходят для любой утечки ключа. Порядок важен.

1. Создай новый ключ в другом кошельке. Не в том же приложении и не из старой сид-фразы. Фонд советует поддерживаемый кошелёк вроде Nova Wallet, а новый ключ по возможности держать офлайн. Запиши новую сид-фразу на бумаге и проверь восстановление.
2. Переведи средства сразу. Проверь все сети, где жил старый аккаунт, а не только основную. Если можно, подписывай перевод через другое приложение со старым ключом, а не открывай заражённое расширение ещё раз — оно сливает ключ именно при разблокировке.
3. Отправь сначала тестовую сумму. Убедись, что она дошла на новый адрес, и только потом переводи остальное. Проверь адрес по символам — подмена адресов никуда не делась.
4. Разберись с застейканным. Стейкинг, пулы номинаторов и голоса в governance мгновенно не перевести: в Polkadot вывод из стейка идёт один-два дня, и в этот момент монеты становятся доступны и тебе, и тому, у кого твой ключ. Фонд советует до анстейка обратиться в PAPI Rescue — инструмент команды polkadot-api — и никому не передавать ключ, в том числе им.
5. Удали старое приложение только после перевода. У Fearless в установленных копиях 3.0.3–3.0.5 код остаётся и может включиться снова.
6. Отзови разрешения на старом адресе. Если старым кошельком ты подписывал approve в DeFi, отзови их — как это сделать, есть в гайде про отзыв approve.

Признаки, что ключ уже используют

По данным фонда, кража часто начинается не с перевода всего баланса. Тревожные сигналы: стейкинг остановлен или начался вывод из стейка, сменился адрес для наград, аккаунт вышел из пула номинаторов, удалён твой голос, ушли маленькие тестовые переводы. Если видишь такое и это делал не ты, переводи всё, что можешь, немедленно.

Если деньги уже ушли, сохрани адрес, хэши транзакций, даты и суммы. Фонд советует сообщить в SEAL 911 и подать заявление в полицию — его, скорее всего, попросит биржа, если монеты дошли до неё. И главное: тебе обязательно напишут «спасатели». Никому не нужен твой ключ, а у Polkadot нет аккаунта поддержки в X.

FAQ

Как сменить кошелёк, если ключ мог утечь? Создай новый ключ в другом кошельке, переведи все средства на новый адрес со всех сетей и только потом удаляй старое приложение.

Поможет ли импорт старой сид-фразы в другое приложение? Нет. Утёкший ключ остаётся утёкшим в любом приложении — нужна новая сид-фраза.

Что делать со стейкингом? Анстейк занимает время, и в этот момент монеты уязвимы. Для DOT фонд советует сначала обратиться в PAPI Rescue и никому не передавать ключ.

Итог: как сменить кошелёк правильно — значит сменить ключ, а не иконку на экране. Создай новую сид-фразу в другом кошельке, переведи всё с тестовой суммой вперёд, отдельно разберись со стейкингом и только потом удаляй старое приложение.

Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.