폴카닛 재단, Fearless Wallet 개인키 20개월간 유출 경고

2025년 2월부터 개인키가 복제됐다

폴카닛 커뮤니티 재단은 2025년 2월 19일 이후 한 번이라고 Fearless Wallet 브라우저 확장 프로그램을 사용한 적이 있는 모든 사용자에게, 해당 계정에 Polkadot(DOT)이든 다른 자산이든 보유한 것이 있다면 전부 유출된 것으로 간주하고 즉시 자금을 옮기라고 통보했다. 2026년 10월 21일에 나온 이 경고는 확장 프로그램 내부에서 개인키를 공격자가 운영하는 서버로 복사하는 코드가 발견된 데 따른 것이며, 이 코드는 2026년 10월 10일까지 간헐적으로 작동해 약 20개월에 달하는 노출 기간을 형성했다. 문제 코드는 3.0.1, 3.0.3, 3.0.4, 3.0.5 네 가지 빌드에 들어 있었고, 사용자가 올바른 비밀번호로 지갑을 잠금 해제하는 시점에 활성화됐다. 공지에 링크된 기술 분석은 작동 방식을 이렇게 설명한다. 확장 프로그램은 각 계정의 복구 문구, 곧 HD 지갑의 마스터 시드나 백업 파일을 지갑 비밀번호와 함께 수집했다. 그 다음 이 묶음을 빈 비밀번호로 암호화했는데, 누구나 되돌릴 수 있는 단계다. 결과물은 tonscanner.org로 전송됐다. 코드는 GitHub 풀 리퀘스트 #1022를 통해 프로젝트에 유입됐으며, 확장 프로그램의 공개 소스에 반영된 더 큰 변경 작업인 “TON 생태계” 제목의 일부로 병합됐다. 3.0.3부터 3.0.5 버전은 별도 공개 저장소의 설정 파일도 읽었는데, 이 파일이 원격으로 켜고 끄는 스위치 역할을 했다. 재단의 지침은 조건이 없다. 개인키는 계정에 대한 전면 통제권을 주므로 비밀번호를 바꾸거나 확장 프로그램을 다시 설치해도 아무 소용이 없고, 키를 쥔 사람은 언제든 이체에 서명해 잔액을 비울 수 있다. 재단은 잘 관리된 별개의 암호화폐 지갑에서 새 키 쌍을 만들고, 지갑이 닿은 모든 체인에서 자금을 옛 계정 밖으로 옮기되 이상적으로는 Fearless를 다시 잠금 해제하지 않는 방법을 권했다. 새 계정 옵션 가운데 Nova Wallet을 이름으로 지목했다. 공지가 확산되던 시점의 폴카닛 가격은 1.17달러로, 7일 기준 3% 상승했고 연간 기준으로는 62.7% 하락한 상태였다.

신고 8건, 17,286 DOT은 미확인

GitHub의 공개 활동 기록에는 원격 스위치가 2025년 3월 7일부터 2026년 10월 10일 종점 사이에 아홉 차례의 별개 기간 동안 켜진 상태로 기록되어 있으며, 합계는 약 571일에 이른다. 코드는 2026년 6월 25일 프로젝트 소스에서 제거됐지만, 설치된 3.0.3부터 3.0.5 버전의 복사본에는 여전히 남아 있다. 그 복사본들은 잠금 해제 때마다 원격 스위치를 확인하며, 스위치는 현재 꺼져 있지만 다시 켜질 수 있다. 재단은 자금을 먼저 옮긴 뒤 확장 프로그램을 삭제하라고 지시했다. Firefox 빌드도 같은 코드를 실행했으며 현재는 목록에서 내려갔고, 해당 기간 안에 이 빌드에서 쓰인 키 역시 유출된 것으로 취급해야 한다. 검토된 Android 및 iOS 앱에는 이 코드가 없지만, 공지는 확장 프로그램에 한 번이라도 존재했던 개인키는 그 키가 쓰이는 어디서든 유출된 것이라고 덧붙인다. 브라우저 확장 프로그램은 구조적으로 인터넷에 연결된 기기에 키를 보관하는 핫월렛이며, 10월 21일 기준 3.0.5 버전은 Chrome 스토어에서 여전히 내려받을 수 있었고 사용자 수는 6,000이었다. 지금까지 8명의 사용자가 이 취약점과 연결될 수 있는 무단 이체를 신고했으며, 신고된 총액은 17,286 DOT이다. 사건 기록은 이 신고만으로 절도가 입증되는 것은 아니라고 명시한다. 첫 사건은 2025년 9월 30일로 기록되어 있고, 2025년 10월 6일에는 Reddit 게시글이 이어졌으며 여러 사용자가 지갑을 잠금 해제한 순간 자금이 빠져나갔다고 말했다. 스테이킹 중인 코인, 지명 풀 예치분, 거버넌스용으로 잠긴 코인은 즉시 움직일 수 없다. 검증인은 가장 짧아도 1~2일의 언본딩 기간을 마주하며, 공지는 언스테이킹에 앞서 polkadot-api 팀의 도구인 PAPI Rescue를 이용하라고 안내한다. 재단은 PAPI Rescue 팀을 포함해 누구도 사용자의 개인키를 요구할 필요가 없으며, 회복을 제안하며 먼저 연락해 오는 쪽은 정상이 아니라고 덧붙였다. Fearless Wallet은 독립 팀이 개발한 제품이며, 공지는 공식 폴카닛 지갑이 아니었고 앞으로도 아니라고 밝혔다. 이 체인의 10월은 다른 일정으로도 분주하다. 이 달 초 dotUSD 스테이블코인이 출시됐고, dotUSD의 DAO 우선권 투표는 별도 기사로 다룬다.

원격 스위치는 당분간 꺼져 있다

노출은 구조상 영구적이다. 한번 새어 나온 개인키는 교체할 수 없고, 자금을 그 키로부터 옮겨내는 것만이 유일한 대응이다. 기록에 아직 없는 것은 피해 규모다. 재단은 영향을 받은 계정 수를 공표하지 않았고, 접수된 17,286 DOT은 신고분이지 확인된 도난이 아니다. 상황을 바꿀 관찰 두 가지를 공지는 정의한다. 원격 스위치가 다시 켜지는 것, 또는 8명의 사용자가 묘사한 잠금 시점 이체가 새로 반복되는 것이다. 2026년 10월 10일 이후 둘 중 어느 것도 기록되지 않았다. 이전 후에도 키를 오프라인에 두어야 하는 경우의 실질적 귀결은 콜드월렛이며, 본지의 Cypherock X1 사용법 가이드가 그런 구성 하나를 다룬다.