Polkadot meldt sleutellek bij Fearless Wallet, 17.286 DOT zijn weg: zo controleer je je extensie

Vastgesteld is: vier versies van de browserextensie Fearless Wallet stuurden bij het ontgrendelen een kopie van de privésleutel naar een server die van een aanvaller is. Acht gebruikers hebben tot nu toe niet-geautoriseerde overboekingen gemeld, samen 17.286 DOT. Onze inschatting volgt verderop: het aantal gemelde gevallen is het kleinere deel van het probleem.

De mededeling dateert van 21 oktober 2026. Het gaat om een product van derden, niet om de officiële software van het netwerk: Fearless Wallet is nooit een officiële wallet van Polkadot geweest. Concreet betekent het toch: als deze extensie sinds februari 2025 op je computer stond, geldt elk account dat je ermee hebt aangemaakt als open, ongeacht of er tot nu toe iets is weggevloeid.

Wat de Polkadot Community Foundation op 21 oktober meldde

De veiligheidsmededeling beschrijft geen aanval op de blockchain en geen fout in het netwerk zelf. Centraal staat een browserextensie die tegenover haar gebruikers iets anders deed dan ze voorgaf. Bij het ontgrendelen van de wallet stuurde de extensie de privésleutel naar een vreemd adres op het internet. De sleutel is de hoofdsleutel van een account: wie hem heeft, kan elke overboeking ondertekenen zonder het wachtwoord te kennen en zonder toegang tot de computer.

Over de mededeling berichtte op dezelfde dag onder meer Cryptobriefing; het bericht liep tegelijk via meerdere vakdiensten. Het advies van de stichting laat zich in één zin samenvatten: wie de getroffen extensie sinds februari 2025 heeft gebruikt, moet alle daarmee verbonden accounts als gecompromitteerd behandelen, in een andere wallet nieuwe sleutels aanmaken en het tegoed daarheen sturen. De stichting noemt Nova Wallet als bestemming.

Deze vier versies van de extensie zijn getroffen

De mededeling noemt vier versies bij naam: 3.0.1, 3.0.3, 3.0.4 en 3.0.5. Het versienummer van een Chrome-extensie vind je in het extensieoverzicht van de browser, bereikbaar via de adresbalk met chrome://extensions en daar onder de vermelding van de wallet. In de wallet zelf staat het niet. Wie de extensie inmiddels heeft verwijderd, vindt het nummer daar niet meer. In dat geval geldt dezelfde regel als bij elke twijfel: februari 2025 als peildatum nemen en bij twijfel uitgaan van een open sleutel.

Toen de waarschuwing uitging, stond er in de Chrome Web Store nog een getroffen versie klaar om te downloaden. De vermelding telde zo'n 6.000 gebruikers. Dat getal is geen aantal gedupeerden, maar een aantal installaties, en precies daarin zit het verschil tussen acht gemelde gevallen en wat er werkelijk openligt.

Hoe de kwaadaardige code in februari 2025 in het project kwam

De weg naar binnen is ongewoon goed gedocumenteerd. De code kwam op 19 februari 2025 via een pull request in het project, dus via een ingediend wijzigingsvoorstel op GitHub, zoals iedere buitenstaander dat naar een open project kan sturen. Het voorstel hing samen met de omgeving van het TON-ecosysteem. Het werd aangenomen als een gewone uitbreiding van de functies.

Deze vorm van aanval treft niet de blockchain, maar de toeleveringsketen van de software daarvoor. Effectief is ze omdat het kwaadaardige deel pas na het bouwen en uitleveren werkt en er voor de gebruiker niets anders uitziet dan daarvoor. Volgens de stichting liep het lek met onderbrekingen, en wel ten minste tot 10 oktober 2026. Tussen de inbouw en de laatste vastgestelde uitstroom liggen daarmee meer dan 19 maanden.

Een tweede punt hoort erbij, ook al is het ongemakkelijk: klachten met hetzelfde patroon, geld weg na een update, werden al in oktober 2025 op openbare fora van het netwerk beschreven. De uitgebreide technische uitleg kwam pas een jaar later. Die kloof tussen de eerste signalen en de volledige opheldering is het deel van de zaak dat verder reikt dan dit ene geval.

Waarom een update of herinstallatie niets redt

Hier slaan de meeste getroffenen de verkeerde afslag in. Een privésleutel is geen combinatie van inloggegevens die je kunt vervangen. Hij is de wiskundige basis van het account zelf. Wie hem eenmaal heeft, houdt een werkende kopie, ook als de extensie wordt verwijderd, opnieuw geïnstalleerd of naar een schone versie wordt bijgewerkt. Een nieuw wachtwoord beschermt alleen de lokale kluis op je eigen computer, niet het account op de blockchain.

Daaruit volgt de enige stap die werkt: een nieuw sleutelpaar in een andere wallet aanmaken en het tegoed daarheen overboeken. Het oude adres blijft voor altijd onveilig, ook als er maandenlang niets gebeurt. Een aanvaller met een sleutelkopie kan wachten tot de greep de moeite waard is, en precies dat wachten verklaart waarom acht gemelde gevallen bij zo'n 6.000 installaties geen reden zijn om opgelucht te zijn.

De mededeling wijst uitdrukkelijk ook op mobiele apparaten. Daar is de kwaadaardige code niet gevonden. Wie dezelfde privésleutel echter ooit in de browserextensie heeft geïmporteerd, moet hem toch als open behandelen, ongeacht waar hij verder nog staat. Voor de langdurige bewaring van grotere bedragen blijft een apparaat zinvol dat de sleutel helemaal niet aan een browser doorgeeft. Welke modellen wat kosten en welke blockchains ze ondersteunen, staat in de vergelijking van hardware wallets.

Gestakete en vergrendelde DOT: er zit een ontgrendeltermijn van 28 dagen tussen

De verhuizing is eenvoudig zolang het tegoed vrij beschikbaar is. Bij Polkadot is dat vaak niet zo. Wie zijn DOT heeft gestaket, kan er niet meteen bij: tussen het afmelden en de vrije beschikbaarheid ligt de ontgrendeltermijn van 28 dagen, die we op 11 oktober in onze berekening van het stakingrendement hebben uitgesplitst. In die tijd staat het tegoed op een adres waarvan de sleutel mogelijk in handen van een ander is.

De stichting erkent dat vergrendelde en gestakete posities extra stappen vergen en verwijst voor bepaalde gevallen naar hulpmiddelen als PAPI Rescue. In de praktijk betekent dat: eerst de vrij beschikbare tegoeden verhuizen, tegelijk het afmelden van staking in gang zetten en de agenda instellen op de dag waarop de termijn afloopt. Wie het afmelden uitstelt, verlengt alleen het venster waarin een vreemde sleutel bruikbaar blijft. Hoe andere netwerken hun vergrendeltermijnen inrichten, verschilt per aanbieder.

De DOT koers staat op 1,16 dollar, het bericht beweegt hem nauwelijks

DOT noteerde woensdagmiddag rond 1,16 dollar, volgens data van CoinGecko een min van ongeveer 1,8 procent in 24 uur. Het dagelijkse hoogtepunt lag op 1,18 dollar, het dieptepunt op 1,14 dollar. De marktwaarde bedraagt bijna 2 miljard dollar, goed voor plaats 51.

Op 17 oktober, toen we schreven over het plafond van 2,1 miljard DOT, stond de koers op 1,18 dollar. Sindsdien is er dus weinig bewogen, en het bericht van woensdag heeft daar tot nu toe niets aan veranderd. Dat is te verklaren: 17.286 DOT is tegen de huidige koers zo'n 20.000 dollar. Tegenover een dagelijks handelsvolume van ongeveer 139 miljoen dollar valt die hoeveelheid op de markt niet op.

De niveaus die vandaag tellen, zijn daarom dezelfde als voor het bericht. Naar beneden is het dagdieptepunt van 1,14 dollar de eerste lijn, daaronder het maanddieptepunt van 9 oktober van bijna 1,09 dollar. Naar boven staat het daghoogtepunt van 1,18 dollar, en pas daarboven komt het gebied rond 1,24 dollar weer in zicht, waar de koers op 11 en 12 oktober voor het laatst stond.

Wie twijfelt of de verhuizing naar een eigen nieuwe wallet fiscale gevolgen heeft, vindt de Nederlandse regels in ons overzicht van crypto en belasting.

Terughaalfraude: de tweede golf na elk lek

De stichting waarschuwt in dezelfde mededeling voor een verschijnsel dat na elk groter incident opduikt: mensen die zich als helpers voordoen en tegen vooruitbetaling beloven verloren tegoeden terug te halen. Technisch is dat uitgesloten. Een bevestigde overboeking op een blockchain laat zich niet terugdraaien, en niemand kan haar ongedaan maken die niet over de sleutel van de ontvanger beschikt.

Wie wordt benaderd, moet de regel kennen: serieuze partijen vragen nooit een vooruitbetaling voor het terughalen en nooit de herstelwoorden. Wordt er naar de seed phrase gevraagd, dan is de zaak beslist. Doe in plaats daarvan aangifte bij de politie, en sla de transactiebewijzen op voordat je de oude wallet verwijdert.

Onze inschatting: het aantal meldingen is geen goede maatstaf

Volgens de redactie is de schade van 17.286 DOT niet het nieuws. Vastgesteld zijn drie dingen die samen zwaarder wegen: een periode van meer dan 19 maanden tussen de inbouw in februari 2025 en de laatste vastgestelde uitstroom op 10 oktober 2026, zo'n 6.000 installaties in de Chrome Web Store toen de waarschuwing verscheen, en eerste openbare klachten met hetzelfde patroon al in oktober 2025. Wie daaruit afleidt dat acht meldingen de omvang zijn, verwart gemeld met getroffen.

Daartegen pleit een serieuze kanttekening: niemand weet hoeveel van de 6.000 installaties überhaupt tegoed bevatten, en veel extensies blijven na het uitproberen ongebruikt in de browser staan. Een extrapolatie zou daarom onverantwoord zijn. Houdbaar is alleen de richting, en die luidt: het aantal open sleutels ligt boven het aantal leeggehaalde accounts, en dat blijft zo zolang die sleutels niet zijn vervangen.

Voor het netwerk zelf volgt daaruit geen uitspraak over de techniek. De blockchain heeft gedaan wat ze moet doen en geldig ondertekende overboekingen uitgevoerd. Het probleem zat in de software daarvoor, en het zat daar anderhalf jaar. Juist daarom is de vraag hoe lang een open extensie in de store van een browseraanbieder blijft staan het interessantere vraagstuk dan de koers op deze woensdag.

Lek in Fearless Wallet: oude sleutels blijven voor altijd open

Drie stappen ordenen de rest:

1. Controleer in het extensieoverzicht van je browser of een van de versies 3.0.1, 3.0.3, 3.0.4 of 3.0.5 geïnstalleerd was. Voor de bewaring daarna noemt de vergelijking van hardware wallets de apparaten die de sleutel nooit aan een browser geven.
2. Maak een nieuw sleutelpaar aan in een andere wallet en boek alle vrij beschikbare DOT daarheen over. Waar gestakete posities staan, start je daarnaast het afmelden en reken je met de ontgrendeltermijn van 28 dagen.
3. Leg elke overboeking vast met datum, bedrag en beide adressen, zodat je de herkomst van je tegoed later kunt aantonen. Wat dat voor je aangifte betekent, staat in ons overzicht van crypto en belasting.

Verdere berichten over de mededeling en het tijdsverloop heeft PANews verzameld.

(Per 21 oktober 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)