Fearless Wallet : vos DOT sont-ils en danger ?
En bref : le 21 octobre 2026, la Polkadot Community Foundation a averti que quatre versions de l'extension de navigateur Fearless Wallet (3.0.1, 3.0.3, 3.0.4 et 3.0.5) envoyaient les clés privées de leurs utilisateurs à un serveur pirate, par intermittence depuis février 2025. Huit utilisateurs ont signalé des transferts non autorisés pour un total de 17 286 DOT. Ce n'est pas Polkadot qui a été piraté, mais un portefeuille tiers. Si vous avez utilisé cette extension, même une seule fois depuis février 2025, considérez tous les comptes qu'elle contenait comme compromis : créez de nouvelles clés dans un autre portefeuille et déplacez vos fonds. Changer de mot de passe ou réinstaller l'extension ne sert à rien.
Mis à jour le 30 octobre 2026. Cet article ne constitue pas un conseil financier.
Que s'est-il passé ?
Fearless Wallet est un portefeuille pour Polkadot et d'autres réseaux, développé par une équipe indépendante (le code est publié sous le compte GitHub de Soramitsu, l'équipe du projet SORA). Il existe en application mobile et en extension de navigateur pour Chrome et Firefox. La fondation l'a rappelé dans son avis : ce n'est pas, et ce n'a jamais été, un portefeuille officiel de Polkadot (Moses, 2026).
Le 21 octobre 2026, après une enquête de la Polkadot Technical Fellowship, la Polkadot Community Foundation a publié un avis de sécurité sur le forum de Polkadot. Quatre versions de l'extension contenaient du code qui, au moment où l'utilisateur déverrouillait son portefeuille avec le bon mot de passe, envoyait une copie de ses clés à un serveur extérieur (Moses, 2026 ; CryptoTicker, 2026).
Une analyse technique du code, liée à l'avis de la fondation, en décrit le fonctionnement (Analyse du code de l'extension Fearless Wallet, 2026) :
- Version 3.0.1 (26 février 2025) : l'adresse du serveur est écrite en dur ; le code s'active à la création ou à l'import d'un compte et à chaque déverrouillage.
- Versions 3.0.3 à 3.0.5 (mars à avril 2025) : un fichier de configuration hébergé dans un dépôt public sert d'interrupteur à distance. Il a été allumé pendant neuf périodes, soit environ 571 jours au total ; la dernière a duré sans interruption du 15 mai 2025 au 10 octobre 2026. La fondation prévient que l'envoi « pourrait être réactivé à tout moment » (Polkadot Community Foundation, 2026).
- Ce qui part : la phrase de récupération (12 ou 24 mots) quand le compte en a une, sinon le fichier de sauvegarde chiffré et le mot de passe en clair. Autrement dit, de quoi reconstituer la clé dans tous les cas.
Les applications mobiles iOS et Android examinées ne contenaient pas ce code. Mais une clé qui est passée un jour par l'extension, par exemple restaurée depuis une sauvegarde Google Drive, est compromise partout où elle est utilisée (Polkadot Community Foundation, 2026).
Combien de victimes ?
La fondation recense huit cas signalés publiquement et retrouvés sur la blockchain, pour 17 286 DOT au total (Moses, 2026). Le journal public des cas fait remonter le premier à septembre 2025 et en compte quatre en septembre 2026, dont un de près de 9 000 DOT (Journal des transactions signalées, 2026). Au cours d'environ 1,16 dollar le jour de l'alerte, la somme représente à peu près 20 000 dollars (CryptoTicker, 2026).
Ce chiffre est un plancher. La version 3.0.5 était encore proposée sur le Chrome Web Store le 21 octobre, avec quelque 6 000 utilisateurs (Moses, 2026). Toutes ces installations ne contenaient pas des fonds, mais chaque clé copiée reste utilisable par le pirate tant que son propriétaire n'a pas déplacé ses avoirs. Les comptes non encore vidés sont donc le vrai risque.
Êtes-vous concerné ?
| Votre situation | Risque | Que faire |
|---|---|---|
| Vous avez utilisé l'extension Fearless Wallet depuis février 2025, sur Chrome ou Firefox | Élevé | Nouvelles clés et transfert, tout de suite |
| Vous avez importé dans l'extension une phrase que vous utilisez aussi ailleurs (Nova, Talisman, SubWallet, Ledger…) | Élevé pour tous les comptes issus de cette phrase | Même chose : c'est la phrase qui est compromise, pas l'application |
| Vous n'avez utilisé que l'application mobile Fearless, avec une phrase jamais importée dans l'extension | Faible selon l'enquête | Rester attentif ; migrer par prudence si vous en doutez |
| Vous n'avez jamais utilisé Fearless Wallet | Non concerné | Lire quand même la partie sur les extensions |
Pour vérifier votre version : tapez chrome://extensions dans la barre d'adresse de Chrome (ou about:addons dans Firefox) et cherchez Fearless Wallet ; le numéro de version y est affiché, pas dans le portefeuille lui-même (CryptoTicker, 2026). Si vous avez déjà supprimé l'extension sans noter la version, partez du principe que vous êtes concerné.
Que faire, dans l'ordre
- Créez un nouveau portefeuille avec une nouvelle phrase de récupération, dans un autre logiciel bien maintenu (la fondation cite Nova Wallet) ou, mieux pour des montants importants, un portefeuille matériel. Notez la nouvelle phrase sur papier, hors ligne.
- Faites un petit transfert d'essai, puis transférez vos DOT disponibles vers la nouvelle adresse. Copiez l'adresse depuis votre nouveau portefeuille, jamais depuis un message ou un historique.
- N'oubliez pas les autres jetons : USDT, USDC ou DED sur Polkadot Hub, et les comptes Ethereum ou TON gérés par la même extension.
- Lancez tout de suite le déblocage de vos DOT stakés. Depuis le référendum 1910 (juillet 2026), le déblocage des nominateurs dure environ 2 jours au lieu de 28 (voir notre article sur le staking de DOT). C'est une bonne nouvelle pour vous… et pour le pirate, qui a moins de délai à attendre s'il lance le déblocage avant vous. Si des fonds sont bloqués ou en cours de déblocage, la fondation renvoie vers PAPI Rescue, un outil de l'équipe polkadot-api, à consulter avant d'agir (CryptoSlate, 2026).
- Gardez une trace de chaque transfert (date, montant, adresses) et, si vous avez été volé, portez plainte à la police avec ces preuves.
- Supprimez l'extension, mais seulement une fois vos fonds à l'abri : le code piégé reste présent dans les copies installées des versions 3.0.3 à 3.0.5. La supprimer ne rend pas pour autant la clé à nouveau sûre.
Un transfert entre vos propres portefeuilles n'est pas une vente : il ne déclenche pas la nouvelle taxe belge sur les plus-values. Conservez quand même les preuves, elles vous serviront à justifier l'origine et la valeur de vos avoirs.
Pourquoi les extensions de navigateur sont le maillon faible
Fearless n'est pas un cas isolé. Fin 2024, une extension de proxy très utilisée a été modifiée après le piratage du compte de son éditeur et dotée d'un code capable de voler des clés ; en 2026, de fausses extensions TronLink circulaient sur le Chrome Web Store (Crowdfund Insider, 2025 ; SlowMist, 2026). Une extension de portefeuille cumule trois faiblesses :
- Elle vit dans le navigateur, le logiciel le plus exposé de votre ordinateur, à côté d'autres extensions et de tous les sites que vous visitez.
- Elle se met à jour toute seule. Une version piégée arrive chez des milliers d'utilisateurs sans qu'aucun ne clique sur rien.
- Elle déchiffre la clé à chaque déverrouillage. C'est précisément le moment qu'a exploité le code de Fearless.
Un portefeuille matériel (Ledger, par exemple, ou Polkadot Vault sur un vieux téléphone hors ligne) change la donne : la clé ne quitte jamais l'appareil, et une extension comme Talisman ne sert plus que d'interface. C'est ce que nous recommandons pour des montants importants dans notre guide du portefeuille Polkadot, avec les précautions de base de notre article sur la sécurité après une fuite de données.
Qui est responsable ?
C'est la question qui fâche. Dès l'automne 2025, un utilisateur volé se plaignait sur le forum de Polkadot de l'absence de réponse de l'équipe de Fearless, à propos d'un portefeuille qu'il disait recommandé officiellement (Forum Polkadot, 2025). Il a fallu un an de plus pour que l'origine soit identifiée. À notre connaissance, l'équipe de Fearless n'avait pas publié d'explication au 30 octobre 2026, et l'analyse technique ne dit ni qui a ajouté le code ni pourquoi.
Côté européen, le Cyber Resilience Act oblige depuis le 11 septembre 2026 les fabricants de produits numériques vendus dans l'Union à signaler les failles activement exploitées (Commission européenne, 2026). Un portefeuille gratuit développé hors de l'Union entre-t-il dans ce cadre ? Ce n'est pas évident, et de toute façon ce règlement prévoit des signalements et des amendes, pas l'indemnisation des victimes. En auto-garde, personne ne rembourse.
Vrai ou faux ?
« Polkadot a été piraté. » Faux. La blockchain n'a pas été attaquée ; c'est un portefeuille tiers qui a laissé fuiter les clés de ses utilisateurs.
« Il suffit de mettre l'extension à jour ou de changer de mot de passe. » Faux. La clé déjà copiée reste valable. Seules de nouvelles clés, avec une nouvelle phrase, vous protègent.
« Importer ma phrase dans Nova ou Talisman règle le problème. » Faux. Le pirate possède la même phrase : changer d'application ne change rien.
« Il faut 28 jours pour récupérer des DOT stakés. » Plus depuis juillet 2026 : environ 2 jours pour les nominateurs. Les articles qui citent encore 28 jours sont dépassés.
« Mes DOT n'ont pas bougé, donc je ne risque rien. » Faux. Une clé copiée peut servir des mois plus tard : un des cas recensés concernait un utilisateur qui n'avait plus utilisé Fearless depuis plus d'un an et demi.
Testez-vous
Avertissement
Cet article est informatif et ne constitue ni un conseil en investissement ni un conseil juridique. Les informations sur l'incident proviennent de l'avis de la Polkadot Community Foundation et des analyses publiées au 30 octobre 2026 ; elles peuvent évoluer. Les crypto-actifs comportent des risques importants, y compris de perte totale.
Sources
Analyse du code de l'extension Fearless Wallet. (2026). How the offending code in the Fearless Wallet browser extension behaves. HackMD. https://hackmd.io/@gWEUMERvQZyR5MStsH26g/HyNOm782zg
Commission européenne. (2026, 11 septembre). Safer and more secure digital products. https://commission.europa.eu/news-and-media/news/safer-and-more-secure-digital-products-2026-09-11_en
Crowdfund Insider. (2025, mars). Private keys may be exposed via critical vulnerability in SwitchyOmega, a Chrome proxy-switching extension. https://www.crowdfundinsider.com/2025/03/237454-private-keys-may-be-exposed-via-critical-vulnerability-in-switchomega-a-chrome-proxy-switching-extension-report/
CryptoSlate. (2026, octobre). A 20-month Polkadot wallet breach reveals the dark side of faster crypto withdrawals. CryptoSlate. https://cryptoslate.com/a-20-month-polkadot-wallet-breach-reveals-the-dark-side-of-faster-crypto-withdrawals/
CryptoTicker. (2026, 21 octobre). Polkadot signale une fuite de clés chez Fearless Wallet, 17 286 DOT ont disparu : comment vérifier votre extension. https://cryptoticker.io/fr/polkadot-fearless-wallet-fuite-cles-privees/
Forum Polkadot. (2025). Why is Polkadot officially recommending Fearless Wallet despite zero support, zero response to theft and confirmed app vulnerability? https://forum.polkadot.network/t/why-is-polkadot-officially-recommending-fearless-wallet-despite-zero-support-zero-response-to-theft-and-confirmed-app-vulnerability/15248
Journal des transactions signalées. (2026, 21 octobre). Reported unauthorized transactions from Fearless Wallet users. HackMD. https://hackmd.io/@gWEUMERvQZyR5MStsH26g/r1lJdy8nGg
Moses, R. (2026, 21 octobre). Fearless Wallet extension leaked Polkadot users' private keys for 20 months. Cryptopolitan. https://www.cryptopolitan.com/fearless-wallet-leaked-polkadot-private-keys/
Polkadot Community Foundation. (2026, 21 octobre). Security notice: Fearless Wallet browser extension leaked private keys. Forum Polkadot. https://forum.polkadot.network/t/security-notice-fearless-wallet-browser-extension-leaked-private-keys/19058
SlowMist. (2026, mai). Rapport sur une fausse extension Chrome TronLink. Repris par VPN Central. https://vpncentral.com/?p=250079