Web3 auf Risiko: Geldbörse-Erweiterungen können Adressen mit Identitäten verbinden, ohne Schlüssel zu stehlen

Ein Team der KU Leuven Universität hat etwas gezeigt, dass viele Kryptomoneda-Benutzer bereits befürchtet, aber wenige waren in der Lage, mit Zahlen zu dokumentieren: die Browser-Walzen-Erweiterungen, entworfen, um den Zugang zu Blockchains von Webseiten zu erleichtern, zeigen genug Informationen für Link Richtungen, folgen Bewegungen und letztlich de-annonisieren Menschen sie benutzen sie. Die Studie, die von der DistriNet-Gruppe entwickelt und vor ihrer Präsentation auf der PETS 2026-Konferenz auf arXiv veröffentlicht wurde, zeigt, dass keine ausgeklügelte Explosion oder ein Schlüsseldiebstahl für die Privatsphäre verloren geht; es genügt mit dem normalen Verhalten vieler Erweiterungen und der Art, wie Web3-Anwendungen mit ihnen interagieren. Weitere Informationen zur Forschungsgruppe finden Sie auf der DistriNet-Website: https: / / distrinet.cs.kuleuven.be /.

Die Arbeit getestet 85 beliebte Handler in Form von Browser-Erweiterung, die zehn Millionen von Einrichtungen auf Plattformen wie dem Chrome Web Store hinzufügen, und zog fünf praktische Filtrationsvektoren, die einen Remote-Server oder einen Dritten erlauben, seinen Verkehr zu erfassen mehrere Adressen desselben Benutzers miteinander verknüpfen. Diese Vektoren umfassen aus dem ausdrücklichen Senden von mehreren Richtungen in einer einzigen Anforderung an temporäre Signale (Requests getrennt durch Millisekunden), die dazu dienen, sie zu korrelieren, durch die Fähigkeit einer Seite zu erkennen, welche Erweiterungen der Geldbörse installiert sind, ohne dass der Benutzer mit ihnen interagiert hat. Das Ergebnis: persistente und weltweit einzigartige Profile, die das Löschen von Cookies und das Wiederstarten von Browsern überstehen, wenn die Erweiterung die Berechtigungen nicht korrekt widerrufen.

Die alarmierendste der von den Forschern beschriebenen Routen ist diejenige, die eingebettete Frames (iframes) und gemeinsame Folgeskripte nutzt. Wenn ein Tracker auf mehreren Seiten läuft und einer von ihnen zuvor berechtigt ist, eine Adresse zu lesen, kann das gleiche Skript die genehmigte Anwendung innerhalb eines iframes auf einer anderen Seite wieder aufladen und die Adresse ohne jede Benutzeraktion erhalten. Wenn die "normale" Website bereits einen Namen, Post oder Besucheridentifikation hat, verwandelt die Kombination eine kritische Adresse, die von Natur aus öffentlich ist, in eine direkte Verbindung zwischen Erbe und realer Identität. Die Gemeinschaft nach der PETS-Konferenz kann das Programm im https: / / / petsymposium.org /.

Über die Auswirkungen der Privatsphäre hinaus gibt es praktische Konsequenzen: Das Wissen der mit einer Person verbundenen Adressen ermöglicht es Ihnen, alle Ihre Geschichte der Transaktionen, Balancen und Beteiligungen an Tokens zu sehen; dies erleichtert gezielte Angriffe von Social Engineering, Erpressung oder den Aufbau von Wirtschaftsprofilen, die viele Benutzer versuchen, mit mehreren Portfolios zu vermeiden. Im Gegensatz zu Vorfällen, wo Schlüssel gestohlen werden, hier keine Asset Subtraktion, sondern bewusste Belichtung durch Software-Design, und mehrere Lieferanten haben die Wahl der Gestaltung ihrer Schnittstellen sowie durch Kompatibilität oder durch Vermeidung der Erfahrung von DAPps Entwicklern verteidigt.

Was kann ein Nutzer heute tun? Die Minderungen sind teilweise, aber praktisch: Um die Erweiterung zu öffnen und die Liste der angeschlossenen Seiten manuell zu reinigen, verringert das Risiko, dass eine einheitliche Genehmigung weiterhin eine Adresse aussetzen wird; wegwerfen für öffentliche Interaktionen zu verwenden; Aktivitäten in verschiedenen Konten zu trennen und, soweit möglich, in verschiedenen Browser-Profilen, um die Druckkorrelation von installierten Erweiterungen zu vermeiden. Es ist auch ratsam, Erweiterungen auf diejenigen, die unbedingt notwendig sind, zu beschränken und Anwendungen, die Verbindungen ohne einen klaren Grund anfordern, zu misstrauen. Diese Aktionen helfen, aber Sie lösen keine Lecks zu externen Servern oder die Fingerabdrückung von installiertem Geldbeutel, die Änderungen in Software und Standards erfordern.

Für Portets-Entwickler und DAPps-Manager gibt es konkrete und technische Schritte, die das Ökosystem ergreifen sollte: um zu verhindern, dass der Erweiterungsanbieter auf Richtungen von iframes reagiert, es sei denn, es gibt eine explizite und überprüfbare Benutzerabsicht; um eine Widerrufs-API zu implementieren und zu standardisieren, die die "Disconnect" effektiv von der dApp-Schnittstelle macht; Telemetrie zu minimieren und mehrere Adressen in einer einzigen Konsultation an Dritte zu vermeiden. Dies sind Veränderungen, die eine Kosten der Kompatibilität beinhalten, aber ohne sie ist das Versprechen von "Autonomie und Privatsphäre" des Web3 Ökosystems schwach.

Die Antwort mehrerer Hersteller auf die verantwortliche Offenlegung war vielfältig: Einige Korrekturen wurden bereits in Retests beobachtet, andere Unternehmen schlossen die Berichte als "informational" oder verteidigten das aktuelle Design, indem sie die Kompatibilität mit bestehenden Anwendungen streiten. Diese Debatte zeigt eine wirkliche Spannung zwischen Interoperabilität und Privatsphäre; bis die Industrie sich mit Mindeststandards (z.B. um ausdrückliche Zustimmung und einen wirksamen Widerruf zu verlangen) liegt die Verantwortung bei Nutzern und Regulatoren, die sicherere Praktiken fordern wollen. Inzwischen werden Forscher und Auditoren weiterhin Lieferanten und Plattformen drängen, um zu bewerten, was sie jetzt als normales Verhalten akzeptieren.

In der Praxis gibt es wenig wundersame Lösung: die Kombination von digitaler Hygiene (Reinigungsgenehmigungen, mit separaten Profilen, Einweg-Portfolios) mit systemischem Druck (öffentliche Ansprüche, Open Source-Reviews, technische Garantien) ist der effektivste Weg, um das Risiko zu reduzieren. Benutzer, die mit erheblichen Summen umgehen, sollten auch Lösungen außerhalb des Browsers betrachten, wie Hardwaregabeln mit begrenzten Schnittstellen, oder Dienstleistungen, die die Belichtung von Adressen an Dritte minimieren. Die wichtigste Lektion ist, dass im Web3 Anonymität nicht nur mit Schlüsseln und Richtungen erreicht wird, sondern mit Protokolle und Produkte, die das Signal, das den Kunden verlässt, explizit begrenzen.