Fearless Wallet: lopen uw DOT gevaar?
Kort gezegd: op 21 oktober 2026 waarschuwde de Polkadot Community Foundation dat vier versies van de browserextensie van Fearless Wallet (3.0.1, 3.0.3, 3.0.4 en 3.0.5) de private sleutels van hun gebruikers naar een server van een hacker stuurden, met tussenpozen sinds februari 2025. Acht gebruikers meldden ongeoorloofde overdrachten voor in totaal 17.286 DOT. Niet Polkadot werd gehackt, maar een wallet van een derde partij. Hebt u deze extensie sinds februari 2025 gebruikt, al was het maar één keer? Beschouw dan alle accounts erin als gecompromitteerd: maak nieuwe sleutels aan in een andere wallet en verplaats uw tegoeden. Uw wachtwoord wijzigen of de extensie opnieuw installeren helpt niet.
Bijgewerkt op 30 oktober 2026. Dit artikel is geen financieel advies.
Wat is er gebeurd?
Fearless Wallet is een wallet voor Polkadot en andere netwerken, ontwikkeld door een onafhankelijk team (de code staat op het GitHub-account van Soramitsu, het team achter het SORA-project). Hij bestaat als mobiele app en als browserextensie voor Chrome en Firefox. De stichting benadrukte in haar bericht dat het geen officiële Polkadot-wallet is en dat ook nooit is geweest (Moses, 2026).
Op 21 oktober 2026 publiceerde de Polkadot Community Foundation, na een onderzoek van de Polkadot Technical Fellowship, een veiligheidsbericht op het Polkadot-forum. Vier versies van de extensie bevatten code die, op het moment dat de gebruiker zijn wallet ontgrendelde met het juiste wachtwoord, een kopie van zijn sleutels naar een externe server stuurde (Moses, 2026; CryptoTicker, 2026).
Een technische analyse van de code, gelinkt in het bericht van de stichting, beschrijft hoe het werkte (Analyse van de code van de Fearless Wallet-extensie, 2026):
- Versie 3.0.1 (26 februari 2025): het serveradres staat vast in de code; de code wordt actief bij het aanmaken of importeren van een account en bij elke ontgrendeling.
- Versies 3.0.3 tot 3.0.5 (maart tot april 2025): een configuratiebestand in een openbare repository werkt als schakelaar op afstand. Die stond aan tijdens negen periodes, in totaal ongeveer 571 dagen; de laatste liep zonder onderbreking van 15 mei 2025 tot 10 oktober 2026. De stichting waarschuwt dat het doorsturen « op elk moment opnieuw kan worden ingeschakeld » (Polkadot Community Foundation, 2026).
- Wat werd verstuurd: de herstelzin (12 of 24 woorden) als het account er een heeft, anders het versleutelde back-upbestand en het wachtwoord in leesbare tekst. Met andere woorden: genoeg om de sleutel in elk geval te reconstrueren.
De onderzochte iOS- en Android-apps bevatten deze code niet. Maar een sleutel die ooit in de extensie zat, bijvoorbeeld hersteld uit een back-up op Google Drive, is gecompromitteerd overal waar hij wordt gebruikt (Polkadot Community Foundation, 2026).
Hoeveel slachtoffers?
De stichting telt acht gevallen die publiek werden gemeld en op de blockchain zijn teruggevonden, voor in totaal 17.286 DOT (Moses, 2026). Het openbare overzicht van de gevallen dateert het eerste in september 2025 en telt er vier in september 2026, waarvan één van bijna 9.000 DOT (Overzicht van gemelde transacties, 2026). Tegen ongeveer 1,16 dollar per DOT op de dag van de waarschuwing komt dat neer op zo'n 20.000 dollar (CryptoTicker, 2026).
Dat cijfer is een minimum. Versie 3.0.5 stond op 21 oktober nog in de Chrome Web Store, met zo'n 6.000 gebruikers (Moses, 2026). Niet al die installaties bevatten tegoeden, maar elke gekopieerde sleutel blijft bruikbaar voor de hacker zolang de eigenaar zijn tegoeden niet heeft verplaatst. De accounts die nog niet leeggehaald zijn, vormen het echte risico.
Bent u getroffen?
| Uw situatie | Risico | Wat te doen |
|---|---|---|
| U gebruikte de Fearless Wallet-extensie sinds februari 2025, in Chrome of Firefox | Hoog | Nieuwe sleutels en overdracht, meteen |
| U importeerde in de extensie een zin die u ook elders gebruikt (Nova, Talisman, SubWallet, Ledger…) | Hoog voor alle accounts uit die zin | Idem: de zin is gecompromitteerd, niet de app |
| U gebruikte alleen de mobiele app van Fearless, met een zin die nooit in de extensie werd geïmporteerd | Laag volgens het onderzoek | Blijf waakzaam; migreer uit voorzorg bij twijfel |
| U hebt Fearless Wallet nooit gebruikt | Niet getroffen | Lees toch het deel over extensies |
Uw versie controleren: typ chrome://extensions in de adresbalk van Chrome (of about:addons in Firefox) en zoek Fearless Wallet; het versienummer staat daar, niet in de wallet zelf (CryptoTicker, 2026). Hebt u de extensie al verwijderd zonder de versie te noteren? Ga er dan van uit dat u getroffen bent.
Wat te doen, in deze volgorde
- Maak een nieuwe wallet aan met een nieuwe herstelzin, in andere goed onderhouden software (de stichting noemt Nova Wallet) of, beter voor grote bedragen, een hardware wallet. Noteer de nieuwe zin op papier, offline.
- Doe een kleine testoverdracht en verplaats daarna uw beschikbare DOT naar het nieuwe adres. Kopieer het adres uit uw nieuwe wallet, nooit uit een bericht of een transactiegeschiedenis.
- Vergeet de andere tokens niet: USDT, USDC of DED op Polkadot Hub, en de Ethereum- of TON-accounts die dezelfde extensie beheerde.
- Start meteen de unbonding van uw gestakete DOT. Sinds referendum 1910 (juli 2026) duurt de unbonding voor nominators ongeveer 2 dagen in plaats van 28 (zie ons artikel over DOT staken). Goed nieuws voor u… en voor de hacker, die minder lang moet wachten als hij de unbonding vóór u start. Zijn tegoeden geblokkeerd of in unbonding, dan verwijst de stichting naar PAPI Rescue, een tool van het polkadot-api-team, die u vóór elke actie raadpleegt (CryptoSlate, 2026).
- Houd elke overdracht bij (datum, bedrag, adressen) en doe aangifte bij de politie met die bewijzen als u bestolen bent.
- Verwijder de extensie, maar pas als uw tegoeden veilig zijn: de besmette code blijft aanwezig in geïnstalleerde kopieën van de versies 3.0.3 tot 3.0.5. Verwijderen maakt de sleutel wel niet opnieuw veilig.
Een overdracht tussen uw eigen wallets is geen verkoop: ze valt niet onder de nieuwe Belgische meerwaardebelasting. Bewaar de bewijzen toch; ze helpen u de herkomst en de waarde van uw tegoeden aan te tonen.
Waarom browserextensies de zwakke schakel zijn
Fearless is geen alleenstaand geval. Eind 2024 werd een veelgebruikte proxy-extensie aangepast nadat het account van de uitgever was gehackt, en voorzien van code die sleutels kon stelen; in 2026 doken in de Chrome Web Store valse TronLink-extensies op (Crowdfund Insider, 2025; SlowMist, 2026). Een walletextensie combineert drie zwakke punten:
- Ze leeft in de browser, de meest blootgestelde software op uw computer, naast andere extensies en alle sites die u bezoekt.
- Ze werkt zichzelf bij. Een besmette versie bereikt duizenden gebruikers zonder dat iemand ergens op klikt.
- Ze ontsleutelt de sleutel bij elke ontgrendeling. Precies dat moment buitte de code van Fearless uit.
Een hardware wallet (bijvoorbeeld Ledger, of Polkadot Vault op een oude offline telefoon) verandert alles: de sleutel verlaat het toestel nooit, en een extensie zoals Talisman dient alleen nog als interface. Dat raden we aan voor grote bedragen in onze gids over de Polkadot-wallet, samen met de basisvoorzorgen uit ons artikel over veiligheid na een datalek.
Wie is verantwoordelijk?
Dat is de pijnlijke vraag. Al in het najaar van 2025 klaagde een bestolen gebruiker op het Polkadot-forum dat het team van Fearless niet reageerde, over een wallet die volgens hem officieel werd aanbevolen (Polkadot-forum, 2025). Het duurde nog een jaar voor de oorzaak werd gevonden. Voor zover wij weten had het team van Fearless op 30 oktober 2026 geen uitleg gepubliceerd, en de technische analyse zegt niet wie de code toevoegde of waarom.
Aan Europese kant verplicht de Cyber Resilience Act sinds 11 september 2026 fabrikanten van digitale producten die in de Unie worden verkocht om actief uitgebuite kwetsbaarheden te melden (Europese Commissie, 2026). Valt een gratis wallet die buiten de Unie wordt ontwikkeld daaronder? Dat is allerminst zeker, en de verordening voorziet in elk geval in meldingen en boetes, niet in vergoeding van slachtoffers. In zelfbewaring betaalt niemand u terug.
Waar of niet waar?
"Polkadot werd gehackt." Niet waar. De blockchain werd niet aangevallen; een wallet van een derde partij liet de sleutels van zijn gebruikers uitlekken.
"De extensie bijwerken of het wachtwoord wijzigen volstaat." Niet waar. Een al gekopieerde sleutel blijft geldig. Alleen nieuwe sleutels, met een nieuwe herstelzin, beschermen u.
"Mijn zin importeren in Nova of Talisman lost het probleem op." Niet waar. De hacker heeft dezelfde zin: van app wisselen verandert niets.
"Het duurt 28 dagen om gestakete DOT terug te krijgen." Niet meer sinds juli 2026: ongeveer 2 dagen voor nominators. Artikels die nog 28 dagen vermelden, zijn achterhaald.
"Mijn DOT zijn niet verplaatst, dus ik loop geen risico." Niet waar. Een gekopieerde sleutel kan maanden later dienen: een van de gevallen betrof een gebruiker die Fearless al meer dan anderhalf jaar niet meer had gebruikt.
Test uzelf
Disclaimer
Dit artikel is informatief en is geen beleggingsadvies of juridisch advies. De informatie over het incident komt uit het bericht van de Polkadot Community Foundation en uit analyses die tot 30 oktober 2026 werden gepubliceerd; ze kan nog veranderen. Crypto-activa houden aanzienlijke risico's in, tot en met volledig verlies.
Bronnen
Analyse van de code van de Fearless Wallet-extensie. (2026). How the offending code in the Fearless Wallet browser extension behaves. HackMD. https://hackmd.io/@gWEUMERvQZyR5MStsH26g/HyNOm782zg
Crowdfund Insider. (2025, maart). Private keys may be exposed via critical vulnerability in SwitchyOmega, a Chrome proxy-switching extension. https://www.crowdfundinsider.com/2025/03/237454-private-keys-may-be-exposed-via-critical-vulnerability-in-switchomega-a-chrome-proxy-switching-extension-report/
CryptoSlate. (2026, oktober). A 20-month Polkadot wallet breach reveals the dark side of faster crypto withdrawals. https://cryptoslate.com/a-20-month-polkadot-wallet-breach-reveals-the-dark-side-of-faster-crypto-withdrawals/
CryptoTicker. (2026, 21 oktober). Polkadot reports a key leak at Fearless Wallet, 17,286 DOT are gone: how to check your extension. https://cryptoticker.io/en/polkadot-fearless-wallet-private-key-leak/
Europese Commissie. (2026, 11 september). Safer and more secure digital products. https://commission.europa.eu/news-and-media/news/safer-and-more-secure-digital-products-2026-09-11_en
Moses, R. (2026, 21 oktober). Fearless Wallet extension leaked Polkadot users' private keys for 20 months. Cryptopolitan. https://www.cryptopolitan.com/fearless-wallet-leaked-polkadot-private-keys/
Overzicht van gemelde transacties. (2026, 21 oktober). Reported unauthorized transactions from Fearless Wallet users. HackMD. https://hackmd.io/@gWEUMERvQZyR5MStsH26g/r1lJdy8nGg
Polkadot Community Foundation. (2026, 21 oktober). Security notice: Fearless Wallet browser extension leaked private keys. Polkadot-forum. https://forum.polkadot.network/t/security-notice-fearless-wallet-browser-extension-leaked-private-keys/19058
Polkadot-forum. (2025). Why is Polkadot officially recommending Fearless Wallet despite zero support, zero response to theft and confirmed app vulnerability? https://forum.polkadot.network/t/why-is-polkadot-officially-recommending-fearless-wallet-despite-zero-support-zero-response-to-theft-and-confirmed-app-vulnerability/15248
SlowMist. (2026, mei). Rapport over een valse TronLink-extensie voor Chrome. Overgenomen door VPN Central. https://vpncentral.com/?p=250079