Araştırmacılar, 85 popüler kripto cüzdan uzantısını test etti ve bunların kendiliğinden yeterli bilgi sızdırabileceğini buldu. Bu sızıntılar, ayrı adresleri birleştirerek ve kullanıcıları siteye bağlanmadan takip etmelerine olanak tanır.
Cüzdanlar, web siteleri ve blockchain sunucuları ile iletişim kurarken, bir kişinin ayrı adreslerini birleştirebilir ve dışarıdan takip edilmesine izin verebilir. Ayrıca, bir site zaten bir ad veya e-posta tutuyorsa, aynı sızıntılar, bir "anonim" kripto kimliğine gerçek bir ad eklemesine olanak tanır.
Bu, bir saldırı değil, cüzdanların tasarlandığı şekilde davranmasıdır. 85 uzantı birlikte Chrome Web Store'da yaklaşık 35 milyon kullanıcıya sahiptir.
KU Leuven Üniversitesi'nden DistriNet güvenlik grubunun bir parçası olan araştırma ekibi, bu ay bir makale yayınladı ve Temmuz ayında Calgary'de düzenlenen PETS 2026 gizlilik konferansında sunum yapacaklar.
Gerçek cüzdanları gerçek Web3 sitelerine karşı test ettiler ve cüzdanlar ile web siteleri arasındaki beş gizlilik zayıflığını haritalandı. En kapsamlı olanını yayınlamadan önce cüzdan üreticilerine bildirdiklerinde, çoğu bunu bir hata olarak görmedi.
Sorun 1: Ayrı Adresleriniz Bağlanır
İnsanlar, finansal hayatlarının bazı kısımlarını ayrı tutmak için birden fazla cüzdan adresi tutar. Ancak bu, adreslerin aynı kişiye ait olduğu anlaşılmazsa işe yarar. Bir cüzdan, bakiyenizi göstermek için sürekli dışarıdan sunuculara istek gönderir ve bu istekler, sunucunun sahibi olan herkese açık bir şekilde adresinizi taşır.
Bir cüzdan, iki adresinizi bir istekte birleştirdiğinde, o sunucu adreslerin sizin olduğunu öğrenir. On yedi cüzdan, kullanıcıların ayrı adresleri arasındaki bağlantıyı ifşa etti. On üçü, iki adresi bir istekte birleştirmek suretiyle bunu yaptı. Dört daha fazlası, ayrı istekleri saniyeler içinde göndererek kendilerini ifşa etti, bu daha zayıf bir sinyal olsa da vẫn kullanışlıdır.
Bu cüzdanlar birlikte, yaklaşık 23 milyon kullanıcının kurulumunu kapsar. Sunucuyu işleten veya daha sonra verilerini alan herkes, adresleri tek bir profile dikteleyebilir.
Sorun 2: Çıkış Yapmak Bazen Çıkış Yapmanıza İzin Vermez
Bu sorun ve bir sonraki sorun, bir web sitesinin hangi cüzdanların yüklü olduğunu bilmesini paylaşır: bir web sitesi, hangi cüzdanların yüklenmiş olduğunu belirleyebilir. Her cüzdan, yüklediği her sayfaya kendini bildirir, böylece bir komut, tam olarak hangi cüzdan setini taşıdığınızı okuyabilir, bu, bir cüzdanı hiç bağlamasanız veya çerezleri engelleyseniz bile çalışır ve bir parmak izi gibi davranır.
