KU Leuven-onderzoekers leggen verborgen privacyrisico's van cryptowallets bloot

In dit artikel:

Onderzoekers van DistriNet aan KU Leuven hebben in populaire cryptowallets als browserextensie verborgen privacyproblemen gevonden die miljoenen gebruikers kunnen raken. Ze onderzochten 85 veelgebruikte Chrome-wallets, samen goed voor ongeveer 35 miljoen mensen, en stelden vast dat sommige wallets meerdere cryptoadressen van één gebruiker aan elkaar kunnen koppelen, ook nadat iemand denkt te zijn uitgelogd. In bepaalde gevallen kan zelfs gewone internetactiviteit worden verbonden met iemands cryptobezit.

Volgens de studie ontstaan de risico’s doordat walletsoftware bij het inloggen op Web3-diensten meer informatie prijsgeeft dan gebruikers verwachten. Ze denken vaak anoniem te blijven omdat blockchainadressen niet direct naar een naam verwijzen, maar wallets kunnen patronen laten zien die dezelfde eigenaar verraden. Bij 17 wallets vonden de onderzoekers zulke signalen, goed voor circa 23 miljoen gebruikers.

Een tweede probleem is dat een verbinding niet altijd echt verdwijnt na loskoppelen. Bij 22 van de 36 onderzochte Ethereum-compatibele wallets bleef een toestemming bestaan, waardoor een website of script gebruikers later opnieuw kan herkennen, zelfs na het wissen van cookies of een browserherstart. Nog zorgwekkender: bij 23 van die 36 wallets konden verborgen pagina’s of ingesloten vensters walletgegevens uitlezen, waardoor trackers surfgedrag op gewone websites kunnen koppelen aan cryptoadressen.

Dat maakt gebruikers kwetsbaar voor gerichte phishing, afpersing en andere vormen van misbruik, omdat blockchaintransacties en saldi publiek zichtbaar blijven. De onderzoekers waarschuwden de betrokken bedrijven vooraf; Coinbase Wallet, Coin98 en later ook Hana Wallet hebben de gemelde problemen al opgelost, terwijl andere grote namen via bug-bountyprogramma’s reageerden. Gebruikers kunnen zichzelf deels beschermen door oude toestemmingen handmatig te verwijderen en verschillende online activiteiten niet steeds met dezelfde wallet of hetzelfde browserprofiel te combineren. De onderzoekers maakten ook een online testtool om te controleren of een wallet deze lekken vertoont.