Web3 à risque : les extensions de portefeuille peuvent relier des adresses à des identités sans voler de clés

Une équipe de l'Université KU Leuven a montré quelque chose que de nombreux utilisateurs de cryptomoneda craignaient déjà, mais peu avaient pu documenter avec des nombres : les extensions de portefeuille de navigateur, conçues pour faciliter l'accès aux blockchains à partir de pages Web, révèlent suffisamment d'informations pour lien directions, suivre les mouvements et finalement désannoniser les gens Ils les utilisent. L'étude, développée par le groupe DistriNet et publiée sur arXiv avant sa présentation à la conférence PETS 2026, montre qu'il n'y a pas besoin d'une explosion sophistiquée ou d'un vol clé pour perdre la vie privée; il suffit avec le comportement normal de nombreuses extensions et la façon dont les applications Web3 interagissent avec eux. Pour en savoir plus sur le groupe de recherche, consultez le site Web de DistriNet : https: / / distrinet.cs.kuleuven.be /.

Le travail a testé 85 gestionnaires populaires sous forme d'extension de navigateur, qui ajoutent des dizaines de millions d'installations sur des plates-formes comme le Chrome Web Store, et a dessiné cinq vecteurs de filtration pratiques qui permettent à un serveur distant ou à un tiers de capturer son trafic link plusieurs adresses du même utilisateur à l'autre. Ces vecteurs incluent de l'envoi explicite de plusieurs directions dans une seule requête aux signaux temporaires (demandes séparées par millisecondes) qui servent à les corréler, par la capacité d'une page à détecter quelles extensions de la bourse sont installées sans que l'utilisateur ait interagi avec eux. Le résultat: profils persistants et uniques à l'échelle mondiale qui survivent cookies effaçant et navigateur redémarrer si l'extension ne révoque pas correctement les autorisations.

La voie la plus alarmante décrite par les chercheurs est celle qui profite des frames intégrés (iframes) et des scripts de suivi partagés. Lorsqu'un tracker fonctionne sur plusieurs sites et que l'un d'eux a déjà été autorisé à lire une adresse, le même script peut recharger l'application approuvée dans un iframe dans un autre site et recevoir l'adresse sans aucune action de l'utilisateur. Si le site « normal » a déjà un nom, un courrier ou une identification de visiteur, la combinaison transforme une adresse critique, qui est publique par nature, en un lien direct entre le patrimoine et l'identité réelle. La communauté qui suit la conférence PETS peut consulter le programme à l'adresse suivante: https: / / petsymposium.org /.

Au-delà des implications de la vie privée, il y a des conséquences pratiques : la connaissance des adresses associées à une personne vous permet de voir toute votre histoire de transactions, d'équilibres et de participations en jetons ; cela facilite les attaques ciblées de l'ingénierie sociale, de l'extorsion ou de la construction de profils économiques que de nombreux utilisateurs essaient d'éviter avec plusieurs portefeuilles. Contrairement aux incidents où les clés sont volées, ici aucune soustraction d'actifs, mais exposition consciente par la conception de logiciels, et plusieurs fournisseurs ont défendu le choix de concevoir leurs interfaces aussi bien par compatibilité ou en évitant de briser l'expérience des développeurs DAPps.

Que peut faire un utilisateur aujourd'hui? Les mesures d'atténuation sont partielles mais pratiques : ouvrir l'extension et nettoyer manuellement la liste des sites connectés réduit le risque qu'un permis d'abandon continue d'exposer une adresse; utiliser le dépotoir pour les interactions publiques; séparer les activités dans différents comptes et, si possible, dans différents profils de navigateur pour éviter la corrélation d'impression des extensions installées. Il est également conseillé de limiter les extensions à celles strictement nécessaires, et de se méfier des demandes de raccordement sans raison claire. Ces actions aident, mais Ils ne résolvent pas les fuites vers des serveurs externes ou les empreintes digitales de la bourse installée, qui exigent des changements dans les logiciels et les normes.

Pour les développeurs de portefeuilles et les gestionnaires de DAPps, il y a des mesures concrètes et techniques que l'écosystème devrait prendre : empêcher le fournisseur d'extension de répondre aux instructions des iframes, à moins qu'il n'y ait une intention explicite et vérifiable de l'utilisateur; mettre en œuvre et normaliser une API de révocation qui rend la « déconnexion » efficace à partir de l'interface dApp; minimiser la télémétrie et éviter d'emballer plusieurs adresses en une seule consultation à des tiers. Ce sont des changements qui impliquent un coût de compatibilité, mais sans eux la promesse de "autonomie et de confidentialité" de l'écosystème Web3 est faible.

La réponse de plusieurs fabricants à la divulgation responsable a été variée : certaines corrections ont déjà été observées lors des contre-essais, mais d'autres entreprises ont classé les rapports comme « informatifs » ou défendu la conception actuelle en faisant valoir la compatibilité avec les applications existantes. Ce débat révèle une véritable tension entre l'interopérabilité et la vie privée; jusqu'à ce que l'industrie accepte des normes minimales (par exemple, exiger un consentement explicite et une révocation effective), la responsabilité incombe aux utilisateurs et aux organismes de réglementation qui veulent exiger des pratiques plus sûres. Entre-temps, les chercheurs et les vérificateurs continueront de pousser les fournisseurs et les plateformes à réévaluer ce qu'ils acceptent maintenant comme un comportement normal.

Dans la pratique, il y a peu de solution miraculeuse : combiner l'hygiène numérique (autorisations de nettoyage, utilisation de profils séparés, portefeuilles jetables) avec la pression systémique (allégations publiques, examens open source, garanties techniques) est le moyen le plus efficace de réduire les risques. Les utilisateurs qui gèrent des sommes importantes devraient également envisager des solutions en dehors du navigateur, telles que des fourches matérielles avec des interfaces limitées, ou des services qui minimisent l'exposition des adresses à des tiers. La leçon clé est que sur Web3 l'anonymat est réalisé non seulement avec les clés et les directions, mais avec protocoles et produits qui limitent explicitement le signal laissant le client.