Polkadot signale une fuite de clés chez Fearless Wallet, 17 286 DOT ont disparu : comment vérifier votre extension

Voici ce qui est établi : quatre versions de l'extension de navigateur Fearless Wallet envoyaient, lors du déverrouillage, une copie de la clé privée vers un serveur appartenant à un attaquant. Huit utilisateurs ont signalé à ce jour des virements non autorisés, pour un total de 17 286 DOT. Notre appréciation figure plus bas : le nombre de cas signalés constitue la plus petite part du problème.

Le communiqué date du 21 octobre 2026. Le produit concerné est un produit tiers, non le logiciel officiel du réseau : Fearless Wallet n'a jamais été un portefeuille officiel de Polkadot. Concrètement, cela signifie malgré tout ceci : si cette extension s'est trouvée sur votre machine depuis février 2025, chaque compte créé avec elle doit être considéré comme exposé, qu'un montant en soit sorti ou non jusqu'à présent.

Ce que la Polkadot Community Foundation a signalé le 21 octobre

Le communiqué de sécurité ne décrit ni une attaque contre la blockchain ni un défaut du réseau lui-même. Au centre se trouve une extension de navigateur qui a fait, à l'égard de ses utilisateurs, autre chose que ce qu'elle annonçait. Au déverrouillage du portefeuille, l'extension envoyait la clé privée vers une adresse étrangère sur le réseau. La clé est la clé maîtresse d'un compte : celui qui la détient peut signer n'importe quel virement sans connaître le mot de passe et sans avoir besoin d'accéder à la machine.

Le même jour, Cryptobriefing, entre autres, a rendu compte du communiqué, repris en parallèle par plusieurs services spécialisés. La recommandation de la fondation tient en une phrase : quiconque a utilisé l'extension concernée depuis février 2025 doit traiter tous les comptes qui y sont liés comme compromis, générer des clés neuves dans un autre portefeuille et y transférer le solde. La fondation désigne Nova Wallet comme destination.

Ces quatre versions de l'extension sont concernées

Le communiqué nomme quatre éditions : 3.0.1, 3.0.3, 3.0.4 et 3.0.5. Le numéro de version d'une extension Chrome se trouve dans la vue d'ensemble des extensions du navigateur, accessible depuis la barre d'adresse avec chrome://extensions, sous l'entrée du portefeuille. Il n'apparaît pas dans le portefeuille lui-même. Qui a entre-temps supprimé l'extension n'y trouvera plus le numéro. Dans ce cas s'applique la même règle qu'à tous ceux qui doutent : retenir février 2025 comme date de référence et partir d'une clé exposée.

Lorsque l'alerte a été diffusée, une version concernée était encore proposée au téléchargement sur le Chrome Web Store. La fiche indiquait environ 6 000 utilisateurs. Ce chiffre n'est pas un nombre de victimes mais un nombre d'installations, et c'est précisément là que se situe l'écart entre huit cas signalés et ce qui est réellement exposé.

Comment le code malveillant est entré dans le projet en février 2025

Le chemin d'entrée est inhabituellement bien documenté. Le code est entré dans le projet le 19 février 2025 par une pull request, c'est-à-dire une proposition de modification soumise sur GitHub, du type que tout intervenant extérieur peut adresser à un projet ouvert. La proposition se rattachait à l'environnement de l'écosystème TON. Elle a été acceptée comme un élargissement ordinaire des fonctionnalités.

Cette forme d'attaque ne touche pas la blockchain, mais la chaîne d'approvisionnement logicielle située en amont. Elle est efficace parce que la partie malveillante n'agit qu'après l'assemblage et la diffusion, et parce que rien ne paraît différent à l'utilisateur. Selon la fondation, la fuite a fonctionné par intermittence, et au moins jusqu'au 10 octobre 2026. Plus de 19 mois séparent donc l'insertion de la dernière sortie de fonds établie.

Un second point s'y ajoute, même s'il est inconfortable : des plaintes présentant le même schéma, de l'argent disparu après une mise à jour, étaient déjà décrites dans les forums publics du réseau en octobre 2025. L'explication technique détaillée n'est venue qu'un an plus tard. Cet écart entre les premiers signaux et l'élucidation complète est la part de l'affaire qui compte au-delà de ce seul cas.

Pourquoi une mise à jour ou une réinstallation ne sauve rien

C'est ici que la plupart des personnes concernées prennent la mauvaise direction. Une clé privée n'est pas un identifiant que l'on peut remplacer. Elle constitue le fondement mathématique du compte lui-même. Qui l'obtient une fois conserve une copie fonctionnelle, même si l'extension est supprimée, réinstallée ou mise à jour vers une version saine. Un nouveau mot de passe ne protège que le coffre local sur votre propre machine, pas le compte inscrit dans la blockchain.

Il n'en reste donc qu'une seule mesure efficace : générer une nouvelle paire de clés dans un autre portefeuille et y virer le solde. L'ancienne adresse demeure définitivement exposée, même si rien ne se produit pendant des mois. Un attaquant détenant une copie de la clé peut attendre que la prise en vaille la peine, et cette attente explique précisément pourquoi huit cas signalés pour environ 6 000 installations ne constituent pas un signal de fin d'alerte.

Le communiqué évoque aussi expressément les appareils mobiles. Le code malveillant n'y a pas été trouvé. Qui a néanmoins importé une fois la même clé privée dans l'extension de navigateur doit la considérer comme exposée, où qu'elle se trouve par ailleurs. Pour la conservation de longue durée de montants plus importants, un appareil qui ne transmet jamais la clé à un navigateur reste le choix pertinent. Quels modèles coûtent combien et quelles blockchains ils prennent en charge figure dans le comparatif des portefeuilles matériels.

DOT stakés et bloqués : le délai de déblocage s'interpose

Le déménagement est simple tant que le solde est librement disponible. Chez Polkadot, il ne l'est souvent pas. Qui a staké ses DOT ne peut y accéder immédiatement : entre la sortie du staking et la libre disposition s'intercale le délai de déblocage. Pour les nominateurs, il est d'au plus deux ères, soit environ deux jours, depuis l'entrée en vigueur du référendum 1910 le 6 juillet 2026 ; auparavant, il était de 28 jours. Ce que rapporte le staking figure dans notre calcul du rendement du staking. (Corrigé le 9 novembre 2026 : ce paragraphe indiquait initialement un délai de 28 jours.) Pendant ce temps, le solde se trouve à une adresse dont la clé est peut-être entre des mains étrangères.

La fondation reconnaît que les avoirs bloqués et stakés exigent des étapes supplémentaires et renvoie, pour certains cas, à des outils comme PAPI Rescue. Concrètement, cela signifie : transférer d'abord les avoirs librement disponibles, engager en parallèle la sortie du staking et inscrire au calendrier le jour où le délai expire. Reporter la sortie ne fait que prolonger la fenêtre durant laquelle une clé étrangère reste utilisable. La manière dont d'autres réseaux fixent leurs délais de blocage apparaît dans le comparatif des plateformes de staking.

Le cours du DOT s'établit à 1,16 dollar, le communiqué le meut à peine

Le DOT cotait mercredi après-midi autour de 1,16 dollar, en baisse d'environ 1,8 % sur 24 heures selon les données de CoinGecko. Le plus haut du jour s'est établi à 1,18 dollar et le plus bas à 1,14 dollar. La capitalisation atteint un peu moins de 2 milliards de dollars, ce qui correspond au 51e rang.

Le 17 octobre, lorsque nous avons écrit sur le plafond de 2,1 milliards de DOT, le cours s'établissait à 1,18 dollar. Peu de choses ont donc bougé depuis, et le communiqué de mercredi n'y a rien changé jusqu'ici. Cela s'explique : 17 286 DOT correspondent, au cours du jour, à environ 20 000 dollars. Face à un volume d'échanges quotidien d'environ 139 millions de dollars, cette quantité passe inaperçue sur le marché.

Les seuils qui comptent aujourd'hui sont donc les mêmes qu'avant le communiqué. À la baisse, le plus bas du jour à 1,14 dollar constitue la première ligne, et en dessous le plus bas mensuel du 9 octobre, à un peu moins de 1,09 dollar. À la hausse se dresse le plus haut du jour à 1,18 dollar, et c'est seulement au-delà que la zone des 1,24 dollar revient en vue, niveau où le cours s'est tenu pour la dernière fois les 11 et 12 octobre.

Délai de détention et fiscalité : le transfert vers son propre nouveau portefeuille n'est pas une vente

Beaucoup hésitent à déménager par crainte d'une opération imposable. Selon la circulaire du ministère fédéral allemand des Finances sur les crypto-actifs, le transfert entre deux portefeuilles vous appartenant n'est pas une cession : c'est le lieu de conservation qui change, non le propriétaire. Le délai de détention d'un an prévu à l'article 23 de la loi allemande relative à l'impôt sur le revenu continue donc de courir, il ne recommence pas.

La documentation importe toutefois. Consignez la date, le montant, les adresses d'envoi et de réception ainsi que le justificatif de transaction, afin que les dates d'acquisition puissent être rattachées par la suite. Qui a perçu des récompenses de staking tient ces postes séparément. Ce qui bouge actuellement sur le plan politique autour de ces délais, nous le suivons en continu dans l'état de la réforme du délai de détention.

Fraude à la récupération : la seconde vague après chaque fuite

Dans le même communiqué, la fondation alerte sur un phénomène consécutif qui apparaît après chaque incident d'ampleur : des personnes se présentant comme des aides et promettant, contre paiement d'avance, de récupérer les avoirs perdus. Techniquement, c'est exclu. Un virement confirmé dans une blockchain ne peut être annulé, et personne ne peut le défaire sans disposer de la clé du destinataire.

Qui est démarché devrait connaître la règle : les organismes sérieux n'exigent jamais de paiement préalable pour une récupération, ni les mots de restauration. Si la phrase de récupération est demandée, l'affaire est tranchée. Le dossier relève plutôt d'un dépôt de plainte auprès de la police locale, et les justificatifs de transaction doivent être sauvegardés avant la suppression de l'ancien portefeuille.

Notre appréciation : le nombre de signalements ne vaut pas comme mesure

Du point de vue de la rédaction, le préjudice de 17 286 DOT n'est pas l'information. Trois éléments établis pèsent ensemble plus lourd : une période de plus de 19 mois entre l'insertion en février 2025 et la dernière sortie de fonds établie le 10 octobre 2026 ; environ 6 000 installations sur le Chrome Web Store au moment de la parution de l'alerte ; et de premières plaintes publiques présentant le même schéma dès octobre 2025. En conclure que huit signalements représentent l'ampleur du phénomène, c'est confondre signalé et concerné.

Une réserve sérieuse plaide en sens contraire : personne ne sait combien des 6 000 installations détenaient un solde, et beaucoup d'extensions restent inutilisées dans le navigateur après un simple essai. Une extrapolation serait donc peu sérieuse. Seule la direction est solide, et elle dit : le nombre de clés exposées dépasse le nombre de comptes vidés, et il le restera tant que ces clés ne seront pas remplacées.

Pour le réseau lui-même, rien n'en découle quant à la technique. La blockchain a fait ce qu'elle doit faire et exécuté des virements valablement signés. Le problème se situait dans le logiciel en amont, et il y est resté un an et demi. C'est exactement pourquoi la question de la durée pendant laquelle une extension exposée reste en ligne dans la boutique d'un éditeur de navigateur constitue le chantier le plus intéressant, davantage que le cours de ce mercredi.

Fuite chez Fearless Wallet : les anciennes clés restent exposées à jamais

Trois étapes ordonnent le reste :

1. Vérifiez dans la vue d'ensemble des extensions de votre navigateur si l'une des versions 3.0.1, 3.0.3, 3.0.4 ou 3.0.5 était installée. Pour la conservation durable ensuite, le comparatif des portefeuilles matériels recense les appareils qui ne livrent jamais la clé à un navigateur.
2. Générez une paire de clés neuve dans un autre portefeuille et virez-y tous les DOT librement disponibles. Là où des avoirs sont stakés, engagez en outre la sortie du staking et comptez environ deux jours de déblocage pour les nominateurs ; le comparatif des plateformes de staking montre comment procèdent les autres réseaux.
3. Documentez chaque virement avec la date, le montant et les deux adresses, afin que le délai de détention continue de courir de manière démontrable. Vous suivez l'état actuel du droit par le rapport sur le délai de détention.

D'autres comptes rendus du communiqué et de la chronologie ont été rassemblés par PANews.

(Au 21 octobre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)