Web3 em risco: as extensões de carteira podem vincular endereços a identidades sem roubar chaves

Uma equipe da Universidade KU Leuven mostrou algo que muitos usuários de criptomoedas já temiam, mas poucos haviam podido documentar com números: as extensões de carteira para navegador, desenhadas para facilitar o acesso a blockchains a partir de páginas web, revelam informações suficientes para vincular endereços, seguir movimentos e, em última instância, desanonimizar as pessoas que as usam. O estudo, elaborado pelo grupo DistriNet e publicado em arXiv antes da sua apresentação na conferência PETS 2026, evidencia que não é necessário um exploit sofisticado nem um roubo de chaves para que a privacidade se perca; basta com o comportamento normal de muitas extensões e a forma como as aplicações Web3 interagem com elas. Mais informações sobre o grupo de pesquisa estão disponíveis no site da DistriNet: https://distrinet.cs.kuleuven.be/.

O trabalho provou 85 carteiras populares em forma de extensão de navegador, que somam dezenas de milhões de instalações em plataformas como a Chrome Web Store, e traçou cinco vectores práticos de filtragem que permitem a um servidor remoto ou a um terceiro que capture o seu tráfego atar entre si várias direcções de um mesmo utilizador. Esses vetores incluem desde o envio explícito de múltiplos endereços em uma única petição até sinais temporários (petições separadas por milisegundos) que servem para correlacionar, passando pela capacidade de uma página para detectar quais extensões de carteira estão instaladas sem o usuário interagir com elas. O resultado: perfis persistentes e globalmente únicos que sobrevivem à remoção de cookies e reinícios do navegador se a extensão não revoga corretamente as permissões.

A mais alarmante das rotas descritas pelos pesquisadores é a que aproveita marcos incorporados (iframes) e scripts de rastreamento compartilhados. Quando um rastreador é executado em vários sites e um deles foi previamente autorizado para ler um endereço, esse mesmo script pode recarregar a aplicação autorizada dentro de um iframe em outro site e receber o endereço sem qualquer ação do usuário. Se o site “normal” já tiver um nome, e-mail ou identificação de visitante, a combinação converte um endereço cripto, que é pública por natureza, em um link direto entre patrimônio e identidade real. A comunidade que segue a conferência PETS pode consultar o programa. https://petsymposium.org/.

Para além das implicações de privacidade, há consequências práticas: conhecer endereços associados a uma pessoa permite ver todo o seu histórico de transações, saldos e participações em Tokens; isto facilita ataques seletivos de engenharia social, extorsão ou construção de perfis econômicos que muitos usuários tentam evitar com múltiplas carteiras. Ao contrário de incidentes onde se roubam chaves, aqui não há sutracção de ativos, mas exposição consciente por design do software, e vários fornecedores defenderam a escolha de projetar suas interfaces assim por compatibilidade ou por evitar romper a experiência de desenvolvedores de DApps.

O que pode fazer um usuário hoje? As mitigações são parciais, mas práticas: abrir a extensão e limpar manualmente a lista de sítios ligados reduz o risco de uma autorização “stale” continuar a expondo um endereço; empregar carteiras de usar e puxar (throwaway) para interações públicas; separar atividades em diferentes contas e, quando possível, em perfis de navegador distintos para evitar a correlação por impressão de extensões instaladas. Também é aconselhável limitar as extensões às estritamente necessárias e desconfiar de aplicações que solicitem conexões sem uma razão clara. Estas ações ajudam, mas Não resolvem as fugas a servidores externos nem o fingerprinting de carteiras instaladas, que requerem mudanças no software e nos padrões.

Para desenvolvedores de wallets e responsáveis por DApps há passos concretos e técnicos que o ecossistema deveria adotar: impedir que o provedor da extensão responda endereços de iframes a menos que haja uma intenção explícita e verificável do usuário; implementar e padronizar uma API de revogação que faça efetivo o "Desconectar" desde a interface da dApp; minimizar telemetria e evitar empacotar múltiplos endereços em uma única consulta para terceiros. Estas alterações implicam custos de compatibilidade, mas sem eles a promessa de “autonomia e privacidade” do ecossistema Web3 é fraca.

A resposta de vários fabricantes à divulgação responsável foi variada: algumas correcções já foram observadas em retestes, mas outras empresas fecharam os relatórios como “informativos” ou defenderam o desenho atual argumentando compatibilidade com aplicações existentes. Esse debate revela uma tensão real entre interoperabilidade e privacidade; até que a indústria acuerde padrões mínimos (por exemplo, exigir consentimento explícito e uma revogação efetiva), a responsabilidade recai sobre os usuários e reguladores que queiram exigir práticas mais seguras. Enquanto isso, pesquisadores e auditores continuarão a empurrar fornecedores e plataformas para reavaliar o que hoje aceitam como comportamento normal.

Na prática, há pouca solução milagrosa: combinar higiene digital (limpiar permissões, usar perfis separados, carteiras descartáveis) com pressão sistémica (reclamações públicas, revisões de código aberto, exigência de garantias técnicas) é a via mais eficaz para reduzir o risco. Os usuários que gerem somas significativas devem também considerar soluções fora do navegador, como carteiras de hardware com interfaces limitadas, ou serviços que minimizem a exposição de endereços a terceiros. A lição chave é que na Web3 a anonimidade não se consegue apenas com chaves e endereços, mas sim com protocolos e produtos que limitem explicitamente o sinal que sai do cliente.