Polkadot meldet Schlüssel-Leck bei Fearless Wallet, 17.286 DOT sind weg: So prüfst du deine Erweiterung

Belegt ist: Vier Versionen der Browser-Erweiterung Fearless Wallet haben beim Entsperren eine Kopie des privaten Schlüssels an einen Server geschickt, der einem Angreifer gehört. Acht Nutzer haben bisher nicht autorisierte Überweisungen gemeldet, zusammen 17.286 DOT. Unsere Einschätzung dazu folgt weiter unten: Die Zahl der gemeldeten Fälle ist der kleinere Teil des Problems.

Die Mitteilung stammt vom 21. Oktober 2026. Betroffen ist ein Fremdprodukt, nicht die offizielle Software des Netzwerks: Fearless Wallet war nie eine offizielle Wallet von Polkadot. Konkret heißt das trotzdem: Wenn diese Erweiterung seit Februar 2025 auf deinem Rechner lag, gilt jedes damit angelegte Konto als offen, egal ob bisher etwas abgeflossen ist oder nicht.

Was die Polkadot Community Foundation am 21. Oktober gemeldet hat

Die Sicherheitsmitteilung beschreibt weder einen Angriff auf die Blockchain noch einen Fehler im Netzwerk selbst. Im Mittelpunkt steht eine Erweiterung für den Browser, die gegenüber ihren Nutzern etwas anderes getan hat, als sie vorgab. Beim Entsperren der Wallet schickte die Erweiterung den privaten Schlüssel an eine fremde Adresse im Netz. Der Schlüssel ist der Hauptschlüssel eines Kontos: Wer ihn hat, kann jede Überweisung unterschreiben, ohne das Passwort zu kennen und ohne Zugriff auf den Rechner zu brauchen.

Über die Mitteilung berichtete am selben Tag unter anderem Cryptobriefing, die Meldung lief parallel über mehrere Branchendienste. Die Empfehlung der Stiftung ist in einem Satz zusammengefasst: Wer die betroffene Erweiterung seit Februar 2025 benutzt hat, soll alle damit verbundenen Konten als kompromittiert behandeln, in einer anderen Wallet frische Schlüssel erzeugen und das Guthaben dorthin schicken. Die Stiftung nennt dafür Nova Wallet als Ziel.

Diese vier Versionen der Erweiterung sind betroffen

Die Mitteilung nennt vier Ausgaben beim Namen: 3.0.1, 3.0.3, 3.0.4 und 3.0.5. Die Versionsnummer einer Chrome-Erweiterung findest du in der Erweiterungsübersicht des Browsers, erreichbar über die Adresszeile mit chrome://extensions und dort unter dem Eintrag der Wallet. In der Wallet selbst steht sie nicht. Wer die Erweiterung inzwischen gelöscht hat, findet die Nummer dort nicht mehr. In diesem Fall gilt die gleiche Regel wie bei allen Unsicheren: Februar 2025 als Stichtag nehmen und im Zweifel von einem offenen Schlüssel ausgehen.

Als die Warnung herausging, stand im Chrome Web Store noch eine betroffene Fassung zum Herunterladen. Der Eintrag wies rund 6.000 Nutzer aus. Diese Zahl ist keine Zahl der Geschädigten, sondern eine Zahl der Installationen, und genau darin liegt der Abstand zwischen acht gemeldeten Fällen und dem, was tatsächlich offen liegt.

Wie der Schadcode im Februar 2025 in das Projekt kam

Der Weg hinein ist ungewöhnlich gut dokumentiert. Der Code kam am 19. Februar 2025 über einen Pull Request in das Projekt, also über einen eingereichten Änderungsvorschlag auf GitHub, wie ihn jeder Außenstehende an ein offenes Projekt schicken kann. Der Vorschlag hing am Umfeld des TON-Ökosystems. Angenommen wurde er wie eine normale Erweiterung des Funktionsumfangs.

Diese Bauform des Angriffs trifft nicht die Blockchain, sondern die Lieferkette der Software davor. Wirksam ist sie deshalb, weil der schädliche Teil erst nach dem Zusammenbauen und Ausliefern wirkt und für den Nutzer nichts anders aussieht als vorher. Nach Angaben der Stiftung lief das Leck mit Unterbrechungen, und zwar mindestens bis zum 10. Oktober 2026. Zwischen dem Einbau und dem letzten belegten Abfluss liegen damit mehr als 19 Monate.

Ein zweiter Punkt gehört dazu, auch wenn er unbequem ist: Beschwerden mit demselben Muster, Geld weg nach einem Update, wurden bereits im Oktober 2025 in öffentlichen Foren des Netzwerks beschrieben. Die ausführliche technische Erklärung kam erst ein Jahr später. Diese Lücke zwischen den ersten Hinweisen und der vollständigen Aufklärung ist der Teil des Vorgangs, der über diesen einen Fall hinaus zählt.

Warum ein Update oder eine Neuinstallation nichts rettet

Hier liegt der Punkt, an dem die meisten Betroffenen falsch abbiegen. Ein privater Schlüssel ist keine Zugangsdaten-Kombination, die man austauschen kann. Er ist die mathematische Grundlage des Kontos selbst. Wer ihn einmal hat, behält eine funktionierende Kopie, auch wenn die Erweiterung gelöscht, neu installiert oder auf eine saubere Version aktualisiert wird. Ein neues Passwort schützt nur den lokalen Tresor auf dem eigenen Rechner, nicht das Konto in der Blockchain.

Daraus folgt der einzige wirksame Schritt: ein neues Schlüsselpaar in einer anderen Wallet erzeugen und das Guthaben dorthin überweisen. Die alte Adresse bleibt für immer unsicher, auch wenn Monate nichts passiert. Ein Angreifer mit einer Schlüsselkopie kann warten, bis sich der Griff lohnt, und genau dieses Warten erklärt, warum acht gemeldete Fälle bei rund 6.000 Installationen keine Entwarnung sind.

Die Mitteilung weist ausdrücklich auch auf Mobilgeräte hin. Der Schadcode wurde dort nicht gefunden. Wer denselben privaten Schlüssel aber einmal in die Browser-Erweiterung importiert hat, muss ihn trotzdem als offen behandeln, egal wo er sonst noch liegt. Für die langfristige Verwahrung größerer Bestände bleibt ein Gerät sinnvoll, das den Schlüssel gar nicht erst an einen Browser weitergibt. Welche Modelle wie viel kosten und welche Blockchains sie führen, steht im Hardware-Wallet-Vergleich.

Gestakte und gesperrte DOT: 28 Tage Entsperrfrist stehen dazwischen

Der Umzug ist einfach, solange das Guthaben frei verfügbar ist. Bei Polkadot ist es das oft nicht. Wer seine DOT verstakt hat, kommt nicht sofort an sie heran: Zwischen dem Abmelden und der freien Verfügbarkeit liegt die Entsperrfrist von 28 Tagen, die wir am 11. Oktober in der Rechnung zur Staking-Rendite aufgeschlüsselt haben. In dieser Zeit steht das Guthaben auf einer Adresse, deren Schlüssel möglicherweise in fremder Hand liegt.

Die Stiftung räumt ein, dass gesperrte und gestakte Bestände zusätzliche Schritte brauchen, und verweist für bestimmte Fälle auf Werkzeuge wie PAPI Rescue. Praktisch heißt das: Erst die frei verfügbaren Bestände umziehen, parallel das Abmelden vom Staking anstoßen und den Kalender auf den Tag setzen, an dem die Frist abläuft. Wer das Abmelden aufschiebt, verlängert nur das Fenster, in dem ein fremder Schlüssel nutzbar bleibt. Wie andere Netzwerke ihre Sperrfristen ansetzen, zeigt der Vergleich der Staking-Anbieter.

Der DOT-Kurs liegt bei 1,16 Dollar, die Meldung bewegt ihn kaum

DOT notierte am Mittwochnachmittag bei rund 1,16 Dollar, nach Daten von CoinGecko ein Minus von etwa 1,8 Prozent binnen 24 Stunden. Das Tageshoch lag bei 1,18 Dollar, das Tagestief bei 1,14 Dollar. Der Marktwert liegt bei knapp 2 Milliarden Dollar, was Rang 51 entspricht.

Am 17. Oktober, als wir über die Obergrenze von 2,1 Milliarden DOT geschrieben haben, stand der Kurs bei 1,18 Dollar. Seitdem hat sich also wenig bewegt, und die Meldung vom Mittwoch hat daran bisher nichts geändert. Das ist erklärbar: 17.286 DOT entsprechen zum heutigen Kurs rund 20.000 Dollar. Gegen ein tägliches Handelsvolumen von etwa 139 Millionen Dollar fällt diese Menge am Markt nicht auf.

Die Marken, die heute zählen, sind deshalb dieselben wie vor der Meldung. Nach unten ist das Tagestief bei 1,14 Dollar die erste Linie, darunter das Monatstief vom 9. Oktober bei knapp 1,09 Dollar. Nach oben steht das Tageshoch bei 1,18 Dollar, und erst darüber kommt der Bereich um 1,24 Dollar wieder in Sicht, auf dem der Kurs am 11. und 12. Oktober zuletzt gestanden hat.

Haltefrist und Steuer: Der Umzug in eine eigene neue Wallet ist kein Verkauf

Viele zögern beim Umzug, weil sie einen steuerpflichtigen Vorgang fürchten. Nach dem Schreiben des Bundesfinanzministeriums zu Kryptowerten ist die Übertragung zwischen zwei eigenen Wallets keine Veräußerung: Es wechselt der Aufbewahrungsort, nicht der Eigentümer. Die einjährige Haltefrist nach Paragraf 23 des Einkommensteuergesetzes läuft damit weiter, sie beginnt nicht neu.

Wichtig ist allerdings die Dokumentation. Halte Datum, Betrag, Absender- und Empfängeradresse sowie den Transaktionsnachweis fest, damit sich die Anschaffungszeitpunkte später zuordnen lassen. Wer Staking-Erträge bezogen hat, führt diese Posten getrennt. Was sich an den Fristen gerade politisch bewegt, verfolgen wir laufend im Stand der Haltefrist-Reform.

Rückholbetrug: Die zweite Welle nach jedem Leck

Die Stiftung warnt in derselben Mitteilung vor einer Folgeerscheinung, die nach jedem größeren Vorfall auftritt: Personen, die sich als Helfer ausgeben und gegen Vorkasse versprechen, verlorene Bestände zurückzuholen. Technisch ist das ausgeschlossen. Eine bestätigte Überweisung in einer Blockchain lässt sich nicht rückabwickeln, und niemand kann sie rückgängig machen, der nicht über den Schlüssel des Empfängers verfügt.

Wer angeschrieben wird, sollte die Regel kennen: Seriöse Stellen verlangen nie eine Vorauszahlung für eine Rückholung und nie die Wiederherstellungswörter. Wird nach der Seed Phrase gefragt, ist der Fall entschieden. Der Vorgang gehört stattdessen zur Anzeige bei der örtlichen Polizei, und die Transaktionsnachweise gehören gesichert, bevor die alte Wallet gelöscht wird.

Unsere Einschätzung: Die Zahl der Meldungen taugt nicht als Maß

Aus Sicht der Redaktion ist der Schaden von 17.286 DOT nicht die Nachricht. Belegt sind drei Dinge, die zusammen schwerer wiegen: ein Zeitraum von mehr als 19 Monaten zwischen dem Einbau im Februar 2025 und dem letzten belegten Abfluss am 10. Oktober 2026, rund 6.000 Installationen im Chrome Web Store beim Erscheinen der Warnung, und erste öffentliche Beschwerden mit demselben Muster bereits im Oktober 2025. Wer daraus schließt, acht Meldungen seien das Ausmaß, verwechselt gemeldet mit betroffen.

Dagegen spricht eine ernstzunehmende Einschränkung: Niemand weiß, wie viele der 6.000 Installationen überhaupt Guthaben führten, und viele Erweiterungen bleiben nach dem Ausprobieren ungenutzt im Browser liegen. Eine Hochrechnung wäre deshalb unseriös. Belastbar ist nur die Richtung, und sie lautet: Die Zahl der offenen Schlüssel liegt über der Zahl der geleerten Konten, und sie bleibt es, solange diese Schlüssel nicht ersetzt sind.

Für das Netzwerk selbst folgt daraus keine Aussage über die Technik. Die Blockchain hat getan, was sie tun soll, und gültig unterschriebene Überweisungen ausgeführt. Das Problem saß in der Software davor, und es saß dort anderthalb Jahre lang. Genau deshalb ist die Frage, wie lange eine offene Erweiterung im Store eines Browser-Anbieters stehen bleibt, die interessantere Baustelle als der Kurs an diesem Mittwoch.

Fearless-Wallet-Leck: Alte Schlüssel bleiben für immer offen

Drei Schritte ordnen den Rest:

1. Prüfe in der Erweiterungsübersicht deines Browsers, ob eine der Versionen 3.0.1, 3.0.3, 3.0.4 oder 3.0.5 installiert war. Für die dauerhafte Verwahrung danach führt der Hardware-Wallet-Vergleich die Geräte auf, die den Schlüssel nie an einen Browser geben.
2. Erzeuge ein frisches Schlüsselpaar in einer anderen Wallet und überweise alle frei verfügbaren DOT dorthin. Wo verstakte Bestände liegen, startest du zusätzlich das Abmelden und rechnest die 28 Tage ein, die der Vergleich der Staking-Anbieter für Polkadot ausweist.
3. Dokumentiere jede Überweisung mit Datum, Betrag und beiden Adressen, damit die Haltefrist nachweisbar weiterläuft. Den aktuellen Stand der Gesetzeslage hältst du über den Haltefrist-Report nach.

Weitere Berichte zur Mitteilung und zum zeitlichen Ablauf hat PANews zusammengetragen.

(Stand: 21. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)