بررسی ۸۵ افزونه کیف پول رمزارز: خطرات نشت آدرس و ردیابی بین‌سایتی

محققان دانشگاه KU Leuven با آزمایش ۸۵ کیف‌پول رمزارز (crypto wallet) محبوب که به‌صورت افزونه مرورگر (browser extension) عمل می‌کنند، دریافتند که این کیف‌پول‌ها به‌گونه‌ای طراحی شده‌اند که اطلاعات کافی برای ردیابی و شناسایی کاربران را فاش می‌کنند. این افزونه‌ها در مجموع حدود ۳۵ میلیون کاربر در فروشگاه Chrome دارند. پژوهشگران گروه امنیتی DistriNet پنج ضعف حریم خصوصی را شناسایی کردند: نخست، ۱۷ کیف‌پول آدرس‌های جداگانه یک کاربر را به هم مرتبط می‌کنند و این اطلاعات را در اختیار سرورهای خارجی قرار می‌دهند؛ دوم، قطع اتصال (disconnect) از یک سایت اغلب دسترسی آن سایت به آدرس کیف‌پول را واقعاً قطع نمی‌کند، چرا که ۲۲ کیف‌پول از ۳۶ مورد بررسی‌شده حتی پس از دستور لغو دسترسی، همچنان آدرس را در اختیار سایت می‌گذارند؛ و سوم، ۲۳ کیف‌پول آدرس کاربر را از درون فریم‌های تعبیه‌شده (embedded frames) در اختیار اسکریپت‌های ردیاب قرار می‌دهند که می‌تواند هویت ناشناس رمزارزی را به نام واقعی فرد پیوند دهد.

واکنش سازندگان کیف‌پول‌ها به این یافته‌ها عمدتاً منفی بود؛ MetaMask آن را یک مشکل شناخته‌شده خواند و اعلام کرد برنامه‌ای فوری برای رفع آن ندارد، Rabby آسیب‌پذیری را «عملاً غیرممکن» توصیف کرد، و OKX، Bybit، Backpack و Core آن را کم‌خطر یا خارج از حوزه مسئولیت خود دانستند. تنها Coinbase Wallet، Coin98 و Hana Wallet مشکل را برطرف کردند. این پژوهش که در ۷ ژوئیه روی arXiv منتشر شد، قرار است در کنفرانس PETS 2026 در کالگاری (۲۰ تا ۲۵ جولای) ارائه شود. محققان تأکید می‌کنند که این یک حمله هکری نیست، بلکه نشت اطلاعات در قالب عملکرد عادی این کیف‌پول‌هاست و راه‌حل اصلی نه هشدار به کاربران، بلکه بازطراحی استانداردهای اکوسیستم Web3 است.