🕵️ Ваш криптокошелёк может следить за вами без единой транзакции

Для накоплений у вас один адрес, для DeFi второй, для покупок третий. Средства между ними не переводились, значит связи нет. Но браузерный кошелёк может выдать её сам.

Исследователи KU Leuven проверили 85 расширений из Chrome Web Store с аудиторией 35,16 млн пользователей и нашли три канала утечки.

Первый работает на сетевом уровне. Чтобы показать баланс и токены, кошелёк обращается к RPC-серверу. Если он запрашивает данные сразу по нескольким адресам, оператор инфраструктуры может понять, что они принадлежат одному пользователю. Такой сигнал обнаружили в 17 кошельках с аудиторией 23 млн человек.

Второй связан с отключением сайта. Из 36 проверенных Ethereum-кошельков 22 продолжали раскрывать ранее подключённый адрес после запроса на отзыв доступа. Закрыть вкладку, выйти из dApp или очистить cookies иногда недостаточно. Разрешение может сохраниться внутри расширения.

Третий канал проходит через встроенные окна сайтов. В 23 кошельках сторонний скрипт мог обнаружить интерфейс кошелька и запросить сведения об адресе. Поэтому сайт с аналитическим трекером потенциально способен связать просмотр страницы с криптопрофилем без перевода и подписи.

Здесь важно не путать две вещи. Публичность блокчейна показывает баланс и историю уже известного адреса. Браузерная слежка помогает установить, что этот адрес ваш, найти связанные счета и сопоставить их с посещёнными сайтами, почтой или именем.

Что можно сделать:

▪️использовать отдельный профиль браузера только для Web3;
▪️не входить там в почту, соцсети и интернет-магазины;
▪️вручную удалять старые разрешения в Connected Sites или Permissions;
▪️для незнакомых dApps заводить отдельный кошелёк и профиль;
▪️оставить только необходимые расширения.

Несколько адресов внутри одного расширения не гарантируют приватность. Разделять нужно не только счета, но и среду, в которой они работают.

▪️Магазин▪️Техподдержка▪️Канал Keystone ▪️Блог Владимира ▪️Написать менеджеру