Fearless Wallet Browser-Erweiterung stiehlt Wiederherstellungsphrasen von Nutzern

Das Sicherheitsunternehmen SlowMist warnt vor ernsthafter Malware in der Fearless Wallet Browsererweiterung für Chrome. Die Erweiterung enthielt fast zwanzig Monate lang schädlichen Code, der beim Entsperren der Wallet automatisch Wiederherstellungsphrasen, private Schlüssel und Keystore-Dateien an einen externen Server weiterleitete. Rund 6.000 Nutzer hatten die Erweiterung installiert. Wer die Erweiterung zwischen Februar 2025 und Oktober 2026 verwendet hat, muss davon ausgehen, dass seine Wallet kompromittiert ist.

Kurz zusammengefasst:

• Die Versionen 3.0.1 und 3.0.3 bis 3.0.5 der Fearless Wallet Erweiterung enthielten schädlichen Code, der Wiederherstellungsphrasen und private Schlüssel stahl.
• Die gestohlenen Daten wurden über verschlüsselte Anfragen an tonscanner.org weitergeleitet, eine Domain, die von den Angreifern kontrolliert wird.
• Betroffene Nutzer sollten sofort neue Wallets anlegen und ihre Guthaben übertragen; das bloße Entfernen der Erweiterung reicht nicht aus.

Schädlicher Code war von Februar 2025 bis Oktober 2026 aktiv

Laut SlowMist steckte die Malware in den Versionen 3.0.1 und 3.0.3 bis 3.0.5 der Fearless Wallet Chrome Erweiterung. Der Code wurde aktiv, sobald ein Nutzer die Wallet entsperrte, und schickte die gestohlenen Daten über eine HTTP-Anfrage an tonscanner.org.

Bemerkenswert ist, dass die Angreifer eine externe Konfiguration nutzten, mit der sie das schädliche Verhalten aus der Ferne ein- und ausschalten konnten. So konnten sie die Malware unbemerkt aktiv halten oder zeitweise deaktivieren, um einer Entdeckung zu entgehen. Die Bedrohung war mehr als neunzehn Monate aktiv, bevor sie ans Licht kam.

Was sollten betroffene Nutzer jetzt tun?

SlowMist rät allen, die die Erweiterung seit Februar 2025 verwendet haben, sofort neue Wallets mit vollständig neuen privaten Schlüsseln anzulegen und alle verbleibenden Guthaben dorthin zu übertragen. Das bloße Entfernen der Erweiterung oder das Ändern eines Passworts reicht nicht aus, um weiteren Schaden zu verhindern.

Nutzer sollten außerdem verdächtige Transaktionen überprüfen. Die Chrome Erweiterung hatte die ID nhlnehondigmgckngjomckngjomcpcefcdplmgc. SlowMist bietet über seine Plattform MistEye eine kostenlose Prüfung an, mit der Nutzer feststellen können, ob die von ihnen verwendeten Domains, IP-Adressen oder Pakete sicher sind.

Fearless Wallet ist eine DeFi-Wallet, die auf das Polkadot, Ethereum und TON-Ökosystem ausgerichtet ist. Die Chrome Erweiterung hatte zum Zeitpunkt der Entdeckung rund 6.000 aktive Nutzer und eine Bewertung von 4,8 Sternen im Chrome Web Store.