Polkadot notifica una fuga de claves en Fearless Wallet, faltan 17.286 DOT: cómo comprobar tu extensión

Esto es lo que está documentado: cuatro versiones de la extensión de navegador Fearless Wallet enviaban, al desbloquearse, una copia de la clave privada a un servidor que pertenece a un atacante. Ocho usuarios han notificado hasta ahora transferencias no autorizadas, en conjunto 17.286 DOT. Nuestra valoración aparece más abajo: el número de casos notificados es la parte menor del problema.

El comunicado es del 21 de octubre de 2026. El producto afectado es de un tercero, no el software oficial de la red: Fearless Wallet nunca fue una cartera oficial de Polkadot. En concreto significa, de todos modos, lo siguiente: si esa extensión estuvo en tu equipo en algún momento desde febrero de 2025, toda cuenta creada con ella cuenta como expuesta, haya salido algo de ella hasta ahora o no.

Qué notificó la Polkadot Community Foundation el 21 de octubre

El comunicado de seguridad no describe ni un ataque a la blockchain ni un fallo de la red en sí. En el centro está una extensión de navegador que hizo, frente a sus usuarios, algo distinto de lo que decía hacer. Al desbloquear la cartera, la extensión enviaba la clave privada a una dirección ajena en la red. La clave es la llave maestra de una cuenta: quien la tiene puede firmar cualquier transferencia sin conocer la contraseña y sin necesitar acceso al equipo.

Ese mismo día informó del comunicado, entre otros, Cryptobriefing, y la noticia corrió en paralelo por varios servicios del sector. La recomendación de la fundación se resume en una frase: quien haya usado la extensión afectada desde febrero de 2025 debe tratar como comprometidas todas las cuentas vinculadas a ella, generar claves nuevas en otra cartera y enviar allí el saldo. La fundación señala Nova Wallet como destino.

Estas cuatro versiones de la extensión están afectadas

El comunicado nombra cuatro ediciones: 3.0.1, 3.0.3, 3.0.4 y 3.0.5. El número de versión de una extensión de Chrome lo encuentras en el resumen de extensiones del navegador, accesible desde la barra de direcciones con chrome://extensions y listado allí bajo la entrada de la cartera. En la cartera misma no aparece. Quien ya haya borrado la extensión no encontrará allí el número. En ese caso rige la misma regla que para todos los que tengan dudas: tomar febrero de 2025 como fecha de referencia y partir de una clave expuesta.

Cuando salió la advertencia, en la Chrome Web Store seguía disponible para descarga una versión afectada. La ficha indicaba unos 6.000 usuarios. Esa cifra no es un número de perjudicados, sino un número de instalaciones, y ahí está precisamente la distancia entre ocho casos notificados y lo que de hecho está expuesto.

Cómo entró el código malicioso en el proyecto en febrero de 2025

La vía de entrada está documentada con una precisión inusual. El código entró en el proyecto el 19 de febrero de 2025 mediante una pull request, es decir, una propuesta de cambio presentada en GitHub como la que cualquier persona ajena puede enviar a un proyecto abierto. La propuesta se apoyaba en el entorno del ecosistema TON. Se aceptó como una ampliación corriente de las funciones.

Esta forma de ataque no golpea a la blockchain, sino a la cadena de suministro del software que la precede. Resulta eficaz porque la parte dañina solo actúa después del montaje y de la distribución, y porque para el usuario nada parece distinto de antes. Según la fundación, la fuga funcionó de forma intermitente y, al menos, hasta el 10 de octubre de 2026. Entre la inserción y la última salida de fondos documentada median así más de 19 meses.

A ello se añade un segundo punto, aunque resulte incómodo: quejas con el mismo patrón, dinero desaparecido tras una actualización, ya se describían en octubre de 2025 en los foros públicos de la red. La explicación técnica detallada llegó un año después. Ese hueco entre los primeros indicios y el esclarecimiento completo es la parte del caso que cuenta más allá de este episodio concreto.

Por qué una actualización o una reinstalación no salva nada

Aquí está el punto en el que la mayoría de los afectados se equivoca de camino. Una clave privada no es una combinación de credenciales que se pueda cambiar. Es el fundamento matemático de la cuenta misma. Quien la obtiene una vez conserva una copia operativa, aunque la extensión se borre, se reinstale o se actualice a una versión limpia. Una contraseña nueva solo protege la caja fuerte local de tu propio equipo, no la cuenta inscrita en la blockchain.

De ahí queda un único paso eficaz: generar un nuevo par de claves en otra cartera y transferir allí el saldo. La dirección antigua queda insegura para siempre, aunque durante meses no ocurra nada. Un atacante con una copia de la clave puede esperar hasta que el golpe valga la pena, y esa espera explica precisamente por qué ocho casos notificados frente a unas 6.000 instalaciones no son ninguna señal de tranquilidad.

El comunicado menciona además de forma expresa los dispositivos móviles. Allí no se encontró el código malicioso. Pero quien haya importado alguna vez la misma clave privada en la extensión del navegador debe tratarla como expuesta, esté donde esté además. Para la custodia a largo plazo de importes mayores sigue siendo razonable un dispositivo que no entregue la clave a un navegador en ningún momento. Qué modelos cuestan cuánto y qué blockchains admiten está en la comparativa de carteras hardware.

DOT en staking y bloqueados: median 28 días de plazo de desbloqueo

El traslado es sencillo mientras el saldo esté libremente disponible. En Polkadot a menudo no lo está. Quien tiene sus DOT en staking no accede a ellos de inmediato: entre la salida del staking y la libre disposición media el plazo de desbloqueo de 28 días que desglosamos el 11 de octubre en nuestro cálculo del rendimiento del staking. Durante ese tiempo el saldo permanece en una dirección cuya clave puede estar en manos ajenas.

La fundación reconoce que las tenencias bloqueadas y en staking requieren pasos adicionales y, para determinados casos, remite a herramientas como PAPI Rescue. En la práctica eso significa: trasladar primero las tenencias libremente disponibles, iniciar en paralelo la salida del staking y anotar en el calendario el día en que expira el plazo. Posponer la salida solo alarga la ventana en la que una clave ajena sigue siendo utilizable. Cómo fijan otras redes sus plazos de bloqueo lo muestra la comparativa de plataformas de staking.

El precio de DOT está en 1,16 dólares y el comunicado apenas lo mueve

DOT cotizaba el miércoles por la tarde en torno a 1,16 dólares, un 1,8 % menos en 24 horas según datos de CoinGecko. El máximo del día fue de 1,18 dólares y el mínimo de 1,14 dólares. La capitalización ronda los 2.000 millones de dólares, lo que corresponde al puesto 51.

El 17 de octubre, cuando escribimos sobre el límite de 2.100 millones de DOT, el precio estaba en 1,18 dólares. Desde entonces, por tanto, se ha movido poco, y el comunicado del miércoles no lo ha cambiado hasta ahora. Tiene explicación: 17.286 DOT equivalen al precio de hoy a unos 20.000 dólares. Frente a un volumen diario de negociación de unos 139 millones de dólares, esa cantidad no destaca en el mercado.

Los niveles que cuentan hoy son por eso los mismos que antes del comunicado. A la baja, el mínimo del día en 1,14 dólares es la primera línea y, por debajo, el mínimo mensual del 9 de octubre, en algo menos de 1,09 dólares. Al alza se sitúa el máximo del día en 1,18 dólares, y solo por encima vuelve a asomar la zona de los 1,24 dólares, donde el precio estuvo por última vez el 11 y el 12 de octubre.

Plazo de tenencia e impuestos: el traslado a una cartera propia nueva no es una venta

Muchos dudan ante el traslado porque temen una operación sujeta a tributación. Según la circular del Ministerio Federal de Hacienda alemán sobre criptoactivos, la transferencia entre dos carteras propias no es una venta: cambia el lugar de custodia, no el propietario. El plazo de tenencia de un año del artículo 23 de la ley alemana del impuesto sobre la renta sigue corriendo, no empieza de nuevo.

La documentación sí es importante. Anota la fecha, el importe, las direcciones de origen y de destino y el justificante de la transacción, para que después puedan asignarse las fechas de adquisición. Quien haya percibido recompensas de staking lleva esas partidas por separado. Lo que se mueve ahora políticamente en torno a esos plazos lo seguimos de forma continua en el estado de la reforma del plazo de tenencia.

Fraude de recuperación: la segunda oleada tras cada fuga

En el mismo comunicado, la fundación advierte de un fenómeno posterior que aparece tras cada incidente de cierta envergadura: personas que se presentan como ayudantes y prometen, con pago por adelantado, recuperar las tenencias perdidas. Técnicamente está descartado. Una transferencia confirmada en una blockchain no se puede revertir, y nadie puede deshacerla sin disponer de la clave del destinatario.

Quien reciba ese tipo de contacto debería conocer la regla: las entidades serias nunca exigen un pago previo por una recuperación ni piden las palabras de recuperación. Si se pide la frase semilla, el asunto está resuelto. El caso corresponde más bien a una denuncia ante la policía local, y los justificantes de las transacciones deben guardarse antes de borrar la cartera antigua.

Nuestra valoración: el número de notificaciones no sirve como medida

Desde el punto de vista de la redacción, el perjuicio de 17.286 DOT no es la noticia. Hay tres hechos documentados que juntos pesan más: un periodo de más de 19 meses entre la inserción en febrero de 2025 y la última salida de fondos documentada el 10 de octubre de 2026; unas 6.000 instalaciones en la Chrome Web Store cuando apareció la advertencia; y primeras quejas públicas con el mismo patrón ya en octubre de 2025. Quien concluya de ahí que ocho notificaciones son la dimensión del caso confunde notificado con afectado.

En contra habla una limitación que hay que tomar en serio: nadie sabe cuántas de las 6.000 instalaciones llegaron a tener saldo, y muchas extensiones quedan sin usar en el navegador tras probarlas. Una extrapolación sería por eso poco rigurosa. Solo la dirección es sólida, y dice: el número de claves expuestas supera el de cuentas vaciadas, y seguirá siendo así mientras esas claves no se sustituyan.

Para la red misma, de aquí no se sigue nada sobre la tecnología. La blockchain hizo lo que debe hacer y ejecutó transferencias firmadas con validez. El problema estaba en el software previo, y estuvo allí año y medio. Precisamente por eso la pregunta de cuánto tiempo permanece una extensión expuesta en la tienda de un proveedor de navegadores es el asunto más interesante que el precio de este miércoles.

Fuga en Fearless Wallet: las claves antiguas quedan expuestas para siempre

Tres pasos ordenan el resto:

1. Comprueba en el resumen de extensiones de tu navegador si estuvo instalada alguna de las versiones 3.0.1, 3.0.3, 3.0.4 o 3.0.5. Para la custodia duradera posterior, la comparativa de carteras hardware recoge los dispositivos que nunca entregan la clave a un navegador.
2. Genera un par de claves nuevo en otra cartera y transfiere allí todos los DOT libremente disponibles. Donde haya tenencias en staking, inicia además la salida y cuenta con los 28 días que la comparativa de plataformas de staking indica para Polkadot.
3. Documenta cada transferencia con la fecha, el importe y ambas direcciones, para que el plazo de tenencia siga corriendo de forma demostrable. El estado actual de la normativa lo sigues a través del informe sobre el plazo de tenencia.

Más informaciones sobre el comunicado y la cronología las ha reunido PANews.

(21 de octubre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)