Nghiên cứu 85 tiện ích ví crypto trên trình duyệt: rò rỉ địa chỉ và rủi ro theo dõi liên trang
"Researchers from KU Leuven analyzed 85 popular browser-based crypto wallet extensions and found multiple privacy leaks that can link separate wallet addresses, reveal installed wallets, and enable cross-site tracking. The issues affect wallets as designed rather than through a traditional exploit; some vendors fixed the frame-based tracking issue after disclosure, while others treated it as informational or not a bug."
Tác động chủ yếu là rò rỉ dữ liệu nhận dạng và theo dõi hành vi: liên kết nhiều địa chỉ ví, không thu hồi đúng quyền sau Logout/Disconnect, và theo dõi liên trang qua embedded frame.
Rủi ro vận hành tập trung vào niềm tin người dùng và tuân thủ quyền riêng tư; có thể phát sinh chi phí rà soát/điều chỉnh tiện ích và quy trình thu hồi quyền, dù không ghi nhận hành vi đánh cắp tiền trong nghiên cứu.
Một nhóm nghiên cứu từ KU Leuven (DistriNet) đã phân tích 85 tiện ích ví crypto chạy trên trình duyệt và phát hiện nhiều vấn đề làm lộ thông tin người dùng, có thể liên kết các địa chỉ ví khác nhau và hỗ trợ theo dõi liên trang. Theo báo cáo, các rò rỉ này không phải do khai thác lỗ hổng kiểu “hack”, mà xuất phát từ cách ví tương tác với website và máy chủ blockchain.
Nghiên cứu mô tả 3 nhóm rủi ro chính. Thứ nhất, một số ví gửi yêu cầu ra máy chủ kèm dữ liệu đủ để suy ra rằng nhiều địa chỉ thuộc cùng một người (17 ví lộ theo cách gộp địa chỉ; 4 ví phát tín hiệu theo thời gian). Thứ hai, việc bấm Logout/Disconnect không luôn thu hồi quyền truy cập: 36/85 ví có thể vẫn bị website đọc địa chỉ sau khi người dùng ngắt kết nối, kể cả khi xóa cookie và khởi động lại trình duyệt. Thứ ba, 23/36 ví có thể cung cấp địa chỉ trong embedded frame, cho phép kịch bản theo dõi nạp ứng dụng đã từng được ủy quyền từ một trang khác.
Khuyến nghị: người dùng nên xóa quyền các site đã kết nối trong danh sách “Connected Sites”, tách hoạt động bằng ví hoặc profile trình duyệt riêng, và cân nhắc dùng ví tạm cho các mục đích nhạy cảm. Về phía nhà phát triển, báo cáo nhấn mạnh cần thay đổi cơ chế phản hồi trong frame và chuẩn hóa hành vi thu hồi quyền khi đăng xuất.