Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Rozszerzenia przeglądarkowe portfeli kryptowalut stały się kluczowym elementem ekosystemu Web3, umożliwiając użytkownikom dostęp do aplikacji zdecentralizowanych, usług DeFi i sieci blockchain. Najnowsze badanie obejmujące 85 popularnych portfeli pokazuje jednak, że zagrożenia nie ograniczają się wyłącznie do kradzieży środków czy przejęcia kluczy prywatnych.
Coraz większym problemem okazują się mechanizmy projektowe, które mogą ujawniać adresy portfeli, łączyć ze sobą różne tożsamości on-chain oraz wspierać śledzenie użytkowników pomiędzy wieloma witrynami. To oznacza, że prywatność finansowa użytkowników Web3 może być naruszana nawet wtedy, gdy nie dochodzi do klasycznego incydentu bezpieczeństwa.
W skrócie
- Badacze przeanalizowali 85 rozszerzeń portfeli kryptowalut dostępnych w przeglądarkach.
- W części z nich wykryto mechanizmy umożliwiające profilowanie i śledzenie użytkowników.
- Zagrożenia obejmują korelację wielu adresów, fingerprinting zainstalowanych portfeli oraz utrzymywanie dostępu mimo pozornego wylogowania.
- Problem może prowadzić do deanonymizacji i trwałego monitorowania aktywności użytkownika w środowisku Web3.
Kontekst / historia
W świecie kryptowalut powszechne było przekonanie, że używanie wielu adresów blockchain zwiększa prywatność i utrudnia powiązanie aktywności jednej osoby. Model ten zakładał, że separacja adresów wystarczy do rozdzielenia różnych obszarów działalności, takich jak inwestycje, płatności czy eksperymenty z DeFi.
Analiza przygotowana przez badaczy z KU Leuven podważa to założenie. Z ich ustaleń wynika, że już sam sposób działania portfela przeglądarkowego oraz integracji z aplikacjami Web3 może powodować ujawnianie danych. To ważna zmiana perspektywy, ponieważ zagrożenie nie musi wynikać z exploita ani złośliwego dodatku, lecz z logiki wdrożonej w legalnym i popularnym produkcie.
Analiza techniczna
Jednym z najpoważniejszych problemów jest możliwość korelacji wielu adresów należących do jednego użytkownika. Portfele komunikują się z serwerami RPC, interfejsami API i usługami indeksującymi blockchain w celu pobierania sald, historii i danych o aktywach. Jeśli różne adresy są obsługiwane w sposób pozwalający połączyć je w jeden profil, operator zaplecza może zidentyfikować, że należą do tej samej osoby.
Drugim obszarem ryzyka jest wykrywanie zainstalowanych portfeli przez strony internetowe. Część rozszerzeń ujawnia swoją obecność automatycznie, najczęściej poprzez wstrzykiwanie obiektów providera do kontekstu strony. Taki zestaw portfeli może działać jak unikalny odcisk palca przeglądarki i umożliwiać śledzenie bez konieczności aktywnego połączenia portfela z witryną.
Badanie zwraca też uwagę na problem semantyki operacji „disconnect” lub wylogowania. W praktyce odłączenie portfela po stronie interfejsu aplikacji nie zawsze oznacza cofnięcie uprawnień. Czasem aplikacja czyści jedynie stan wizualny, a w innych przypadkach portfel nie egzekwuje prawidłowo operacji revoke. Skutkiem może być trwały dostęp witryny do adresu użytkownika nawet po restarcie przeglądarki lub usunięciu cookies.
Szczególnie niepokojący jest scenariusz związany z osadzaniem aplikacji w ramkach. Jeżeli użytkownik wcześniej autoryzował daną aplikację Web3, a ta zostanie załadowana jako element osadzony na innej stronie, współdzielone skrypty mogą próbować odczytać adres portfela bez dodatkowej interakcji. Tego typu mechanizm nie musi prowadzić do utraty środków, ale może pozwolić na połączenie publicznego adresu blockchain z realną tożsamością użytkownika.
Konsekwencje / ryzyko
Dla użytkowników indywidualnych najpoważniejszym skutkiem jest utrata anonimowości. Publiczny adres portfela może ujawniać saldo, historię transakcji, używane protokoły, posiadane tokeny i wzorce aktywności. Połączenie takiego adresu z konkretną osobą oznacza istotne naruszenie prywatności finansowej.
W środowisku firmowym i instytucjonalnym ryzyko jest jeszcze szersze. Możliwe staje się mapowanie aktywności traderów, analityków, administratorów treasury lub innych pracowników operujących na aktywach cyfrowych. To z kolei może wspierać phishing, socjotechnikę, działania rozpoznawcze i selekcję celów o wysokiej wartości.
Dodatkowym problemem jest trwałość adresu portfela jako identyfikatora. W odróżnieniu od tradycyjnych plików cookie nie znika on po prostym wyczyszczeniu danych przeglądarki, jeśli uprawnienia pozostają zapisane w rozszerzeniu. W praktyce może więc pełnić funkcję długoterminowego tokenu śledzącego.
Rekomendacje
Użytkownicy powinni regularnie przeglądać listę połączonych witryn w swoich portfelach i ręcznie usuwać zbędne autoryzacje. Nie należy zakładać, że kliknięcie przycisku „disconnect” w aplikacji Web3 automatycznie cofa wszystkie uprawnienia.
Dobrą praktyką jest także rozdzielanie aktywności pomiędzy różne portfele i profile przeglądarki. Osobne środowiska dla inwestycji, testów i codziennego korzystania z usług Web3 ograniczają ryzyko korelacji adresów i śledzenia zachowań.
Twórcy portfeli powinni ograniczać domyślne ujawnianie providera każdej odwiedzanej stronie, wdrażać bardziej rygorystyczne zasady dla osadzonych ramek oraz poprawnie egzekwować operacje cofania autoryzacji. Z kolei deweloperzy aplikacji Web3 muszą traktować wylogowanie jako pełnoprawny proces bezpieczeństwa, a nie jedynie zmianę stanu interfejsu.
Z perspektywy całego rynku potrzebne są również wspólne standardy prywatności dla portfeli przeglądarkowych. Bez takich wymagań podobne zjawiska nadal mogą być traktowane jako cecha produktu, mimo że ich skutki dla użytkownika są realne i mierzalne.
Podsumowanie
Wyniki badania pokazują, że ocena bezpieczeństwa portfeli kryptowalut nie może ograniczać się do ochrony kluczy prywatnych i zapobiegania kradzieży środków. Równie istotna jest warstwa prywatności, obejmująca sposób komunikacji portfela z witrynami, aplikacjami Web3 i infrastrukturą backendową.
Jeżeli część najpopularniejszych rozszerzeń może ujawniać adresy, wspierać fingerprinting i utrzymywać długotrwałe uprawnienia, rynek Web3 stoi przed koniecznością zmian architektonicznych. Dla użytkowników oznacza to natomiast, że higiena operacyjna portfela powinna być traktowana równie poważnie jak ochrona seed phrase.