Изследователи от Льовенския католически университет (KU Leuven) тестваха 85 от най-популярните крипто портфейли, които работят като разширения за браузъри, и установиха, че самите портфейли изпускат достатъчно информация, за да свържат и проследят хората, които ги използват.

Начинът, по който тези портфейли комуникират с уебсайтове и блокчейн сървъри, може да обвърже отделните адреси на един потребител и да позволи на външни лица да ги следят от сайт на сайт. А на сайт, който вече разполага с име или имейл, същите тези течове могат да свържат реално име с иначе "анонимната" крипто идентичност.

Това не е хакерска атака. Портфейлите се държат точно така, както са създадени. Тези 85 разширения общо имат около 35 милиона потребители според Chrome Web Store.

Екипът от групата по сигурност DistriNet към университета публикува доклада този месец и ще го представи на конференцията за поверителност PETS 2026 в Калгари в края на юли.

Те изпробваха реални портфейли срещу реални Web3 сайтове и очертаха пет слабости в поверителността при взаимодействието между портфейлите и уебсайтовете. Когато докладваха най-сериозната от тях на създателите на портфейли преди публикуването, повечето от тях отказаха да я определят като софтуерен бъг.

Проблем 1: Отделните ви адреси се свързват

Много хора умишлено поддържат няколко адреса на портфейли, за да разделят финансовия си живот. Това работи само ако никой не може да разбере, че адресите принадлежат на един и същ човек. Но за да покаже баланса ви, портфейлът постоянно изпраща заявки към външни сървъри и тези заявки носят вашия адрес в открит вид до този, който управлява сървъра.

Когато портфейлът постави два от вашите адреси в една заявка, този сървър научава, че те са ваши. 17 портфейла разкриват връзки между отделните адреси на потребителя. 13 го направиха по очевидния начин, обединявайки два адреса в една заявка. Още четири се издадоха, като изпратиха отделни заявки в рамките на милисекунди една от друга – по-слаб, но все пак полезен сигнал.

Заедно тези портфейли покриват около 23 милиона от изследваните инсталации. Всеки, който управлява сървъра, или всеки, който по-късно получи данните му, може да съшие адресите в един общ профил.

Проблем 2: Излизането от профила често не ви отписва в действителност

Този проблем и следващият споделят обща отправна точка: даден уебсайт може да разбере какви портфейли имате инсталирани. Всеки портфейл се анонсира пред всяка страница, която зарежда, така че даден скрипт може да прочете точния набор, който носите – отпечатък, който работи дори ако никога не свържете портфейл и дори ако блокирате бисквитките.

Изследователите установиха, че 36 от 85-те портфейла правят това, а техните потребители съставляват около 82% от изследваните инсталации. Същите тези 36 са групата зад цифрите по-долу.

Когато свържете портфейл към сайт и по-късно го прекъснете, приемате, че сайтът губи достъп. Често обаче това не става по две отделни причини.

Първо, много сайтове всъщност никога не казват на портфейла да прекъсне достъпа. От 30-те популярни Web3 приложения, тествани от екипа, само 11 са изпратили реална команда за отмяна на достъпа (revoke), когато потребителят е кликнал върху Disconnect или Logout. Останалите просто са изчистили собствения си екран.

Второ, дори когато командата е изпратена, много портфейли я игнорират. При 22 от тези 36 портфейла сайтът все още можеше да прочете адреса ви, след като е поискал от портфейла да го анулира, като този достъп е оцелял след изчистване на бисквитките и рестартиране на браузъра.

Това превръща адреса в мощен проследяващ маркер. Той е глобално уникален и за разлика от бисквитките не изчезва, когато изчистите браузъра си. Остарялото разрешение стои в разширението, докато не отворите списъка с "Свързани сайтове" (Connected Sites) на портфейла и не премахнете сайта ръчно; дотогава скрипт на страницата продължава да чете адреса във фонов режим.

Проблем 3: Портфейл, който някога сте свързали, може да ви изложи на риск в други сайтове

Последният проблем е най-широкообхватен. От същите тези 36 портфейла, 23 ще предадат вашия адрес от рамка (frame), която една страница е заредила от друг сайт. Само по себе си това не прави нищо. Уловката е какво може да направи споделеният тракер с него.

Да приемем, че един и същ проследяващ скрипт работи в крипто приложение, което някога сте свързали, и в обикновен, несвързан уебсайт. На обикновения сайт тракерът тихо зарежда това крипто приложение в невидима рамка.

Страницата на приложението вече е била оторизирана от портфейла и тези портфейли отговарят от вътрешността на рамката, така че портфейлът предава адреса обратно на скрипта без никакво кликване от страна на потребителя. Приложението трябва да позволи да бъде вградено, за да работи това, въпреки че много от тях го позволяват.

Свържете този адрес с име или имейл, които сайтът вече има в архива си, и псевдонимният крипто профил се превръща в конкретно лице с име. Адресът на портфейла е публичен регистър на неговите баланси, транзакции и притежавани токени. Свържете това с реална самоличност и история на сърфирането и нападателят има именувана цел, чиито пари вече са на показ.

Изследователите показаха, че този път е реален и използваем; те не твърдят, че тракерите вече го прилагат в мащаб.

Какво да се прави и как реагира индустрията

За потребителите корекциите са само частични. Отворете портфейла си и изчистете старите разрешения за сайтове, които вече не използвате. Това спира проследяването с остарели адреси от Проблем 2, но не прави нищо за изтичането на адреси към сървърите или за отпечатъка от инсталирания портфейл.

Демонстрацията на изследователите показва как вашият...