اختبر الباحثون في جامعة KU Leuven 85 من محافظ العملات المشفرة الأكثر شيوعًا والتي تعمل كامتدادات للمتصفح، ووجدوا أن المحافظ نفسها تتسرب بما يكفي لربط وتتبع الأشخاص الذين يستخدمونها.
يمكن للطريقة التي تتحدث بها هذه المحافظ مع مواقع الويب وخوادم blockchain ربط العناوين المنفصلة للشخص معًا والسماح للغرباء بمتابعتها من موقع إلى آخر. وعلى موقع يحمل بالفعل اسمًا أو بريدًا إلكترونيًا، يمكن لنفس التسريبات أن تضع اسمًا حقيقيًا لهوية تشفير “مجهولة”.
هذا ليس الاختراق. تتصرف المحافظ تمامًا كما تم تصميمها من أجلها. تحتوي الإضافات الـ 85 معًا على حوالي 35 مليون مستخدم مدرج في سوق Chrome الإلكتروني.
وقام الفريق، من مجموعة DistriNet الأمنية بالجامعة، بنشر الورقة البحثية هذا الشهر وسيقدمها في مؤتمر الخصوصية PETS 2026 في كالجاري في أواخر يوليو.
لقد قاموا بتشغيل محافظ حقيقية ضد مواقع Web3 الحقيقية وحددوا خمس نقاط ضعف في الخصوصية في كيفية تفاعل المحافظ ومواقع الويب. عندما أبلغوا صانعي المحافظ عن المشكلة الأكثر تأثيرًا قبل النشر، رفض معظمهم وصفها بأنها خطأ على الإطلاق.
المشكلة 1: يتم ربط عناوينك المنفصلة
يحتفظ العديد من الأشخاص بعدة عناوين للمحفظة عن قصد، للفصل بين أجزاء من حياتهم المالية. يعمل هذا فقط إذا لم يتمكن أحد من معرفة العناوين التي تنتمي إلى نفس الشخص. ولكن لإظهار رصيدك، تقوم المحفظة باستمرار بإجراء اختبار الاتصال خارج الخوادم، وتحمل هذه الطلبات عنوانك بشكل واضح لمن يقوم بتشغيل الخادم.
عندما تضع المحفظة عنوانين من عناوينك في طلب واحد، يعلم هذا الخادم أنهما ملكك. كشفت سبعة عشر محفظة عن اتصالات بين عناوين منفصلة للمستخدم. قام ثلاثة عشر بذلك بالطريقة الواضحة، حيث قاموا بتجميع عنوانين في طلب واحد. واستسلم أربعة آخرون عن طريق إطلاق طلبات منفصلة في غضون أجزاء من الثانية من بعضها البعض، وهي إشارة أضعف ولكنها لا تزال مفيدة.
تغطي هذه المحافظ معًا حوالي 23 مليون عملية تثبيت تمت دراستها. يمكن لأي شخص يقوم بتشغيل الخادم، أو أي شخص يحصل على بياناته لاحقًا، تجميع العناوين في ملف تعريف واحد.
المشكلة 2: تسجيل الخروج في كثير من الأحيان لا يؤدي إلى تسجيل خروجك
تشترك هذه المشكلة والمشكلة التالية في نقطة البداية: يمكن لموقع الويب معرفة المحافظ التي قمت بتثبيتها. تعلن كل محفظة عن نفسها في أي صفحة يتم تحميلها، لذلك يمكن للبرنامج النصي قراءة المجموعة الدقيقة التي تحملها، وبصمة الإصبع التي تعمل حتى إذا لم تقم بتوصيل المحفظة مطلقًا وحتى إذا قمت بحظر ملفات تعريف الارتباط.
ووجد الباحثون أن 36 من أصل 85 محفظة تفعل ذلك، وأن مستخدميها يشكلون حوالي 82% من عمليات التثبيت التي تمت دراستها. نفس هؤلاء الـ 36 هم المجموعة التي تقف وراء الأرقام أدناه.
عند توصيل محفظة بموقع ما ثم قطع الاتصال لاحقًا، فإنك تفترض أن الموقع يفقد إمكانية الوصول. في كثير من الأحيان لا يحدث ذلك لسببين منفصلين.
أولاً، لا تخبر العديد من المواقع المحفظة فعليًا بقطع الوصول إليها. من بين 30 تطبيق Web3 مشهورًا اختبرها الفريق، أرسل 11 تطبيقًا فقط أمرًا إبطالًا حقيقيًا عندما قام المستخدم بالنقر فوق قطع الاتصال أو تسجيل الخروج. قام الباقون بمسح شاشتهم للتو.
ثانيًا، حتى عند إرسال الأمر، تتجاهله العديد من المحافظ. في 22 من تلك المحافظ الـ 36، لا يزال بإمكان الموقع قراءة عنوانك بعد أن يطلب من المحفظة إبطاله، وقد استمر هذا الوصول في مسح ملفات تعريف الارتباط وإعادة تشغيل المتصفح.
وهذا يجعل العنوان علامة تتبع قوية. إنه فريد عالميًا، وعلى عكس ملف تعريف الارتباط، فإنه لا يختفي عندما تقوم بمسح المتصفح الخاص بك. يوجد الإذن القديم داخل الامتداد حتى تفتح قائمة “المواقع المتصلة” الخاصة بالمحفظة وتزيل الموقع يدويًا؛ وحتى ذلك الحين، يستمر البرنامج النصي الموجود على الصفحة في قراءة العنوان في الخلفية.
المشكلة 3: يمكن للمحفظة التي اتصلت بها من قبل أن تعرضك لمواقع أخرى
المشكلة الأخيرة تصل إلى أبعد الحدود. ومن بين تلك المحافظ الـ 36 نفسها، ستقوم 23 منها بتوزيع عنوانك من داخل إطار تم تحميله من صفحة واحدة من موقع آخر. من تلقاء نفسه، وهذا لا يفعل شيئا. المهم هو ما يمكن أن يفعله المتعقب المشترك به.
لنفترض أن نفس البرنامج النصي للتتبع يعمل على تطبيق تشفير قمت بالاتصال به مرة واحدة وعلى موقع ويب عادي غير ذي صلة. على الموقع العادي، يقوم المتتبع بتحميل تطبيق التشفير هذا بهدوء داخل إطار غير مرئي.
لقد تم ترخيص صفحة التطبيق بالفعل بواسطة المحفظة، وتقوم هذه المحافظ بالرد من داخل الإطار، لذا تقوم المحفظة بإعادة العنوان إلى البرنامج النصي دون أي نقرة من المستخدم. يجب أن يسمح التطبيق بالتضمين حتى يعمل هذا، على الرغم من أن الكثير منها تفعل ذلك.
قم بربط هذا العنوان باسم أو بريد إلكتروني موجود بالفعل في الموقع، وسيتحول ملف تعريف التشفير باسم مستعار إلى شخص محدد. عنوان المحفظة هو سجل عام لأرصدتها ومعاملاتها ومقتنياتها من الرموز المميزة. اربط ذلك بالهوية الحقيقية وسجل التصفح، وسيكون لدى المهاجم هدف محدد وأمواله مرئية الآن.
وأظهر الباحثون أن هذا المسار حقيقي وقابل للاستخدام؛ ولم يزعموا أن أجهزة التتبع تقوم بالفعل بتشغيله على نطاق واسع.
ما يجب القيام به، وكيف استجابت الصناعة
بالنسبة للمستخدمين، الإصلاحات جزئية فقط. افتح محفظتك وامسح أذونات الموقع القديمة التي لم تعد تستخدمها. يؤدي ذلك إلى إيقاف تتبع العناوين القديمة من المشكلة 2، لكنه لا يفعل شيئًا بشأن تسرب العناوين إلى الخوادم أو بصمة المحفظة المثبتة.
يوضح العرض التوضيحي للباحثين كيف تتصرف محفظتك الخاصة؛ فهو يعمل في متصفحك، كما يقولون، لا يخزن أي شيء. استخدم محفظة سريعة لتكون آمنًا. كما أنه يساعد في الاحتفاظ بالأنشطة المختلفة في محافظ منفصلة أو ملفات تعريف في المتصفح. الإصلاحات الأكبر ليست في أيدي المستخدمين.
ركز الباحثون كشفهم على مشكلة المواقع المشتركة وأخبروا صانعي المحافظ المتأثرين قبل النشر. بحلول إعادة الاختبار في فبراير 2026، كانت Coinbase Wallet وCoin98 قد أصلحت المشكلة بالفعل، وقد قامت Hana Wallet بذلك لاحقًا. لكن من بين البائعين الثمانية الذين تقول الصحيفة إنهم ردوا من خلال برامج مكافأة اكتشاف الأخطاء، رفض معظمهم التعامل معها على أنها خطأ.
ووصفتها شركة MetaMask بأنها مشكلة معروفة، وأغلقت التقرير باعتباره نسخة مكررة، وقالت إنها ليس لديها خطط فورية للتوقف عن حقن مزودها لأن ذلك قد يؤدي إلى تعطل عدد كبير جدًا من التطبيقات.
وقال رابي إن الهجوم سيحتاج إلى تشغيل نفس البرنامج النصي الخبيث على موقعين في وقت واحد، واصفا ذلك بأنه “مستحيل تقريبا”، وخلص إلى أن “الثغرة الأمنية غير موجودة”. وافقت شركة OKX على أن النتيجة كانت صحيحة من الناحية الفنية، لكنها أغلقتها باعتبارها معلوماتية لأنها تكشف البيانات دون سرقة الأموال.
ووصفتها Bybit وBackpack وCore بأنها منخفضة المخاطر أو خارج النطاق. يتم نشر الإجابات الكاملة في مستودع الباحثين.
تعتمد الدراسة على بحث أجراه كريستوف فيريرا توريس وزملاؤه عام 2023، والذين أظهروا لأول مرة أن محافظ المتصفح تقوم بتسريب العناوين إلى خوادم خارجية. يلتقط هذا العمل التسريبات التي فاتتها الأدوات السابقة، ويرسم خريطة للتتبع عبر المواقع، ويوضح كيف يمكن استخدام نفس التسريب لكشف أقنعة الأشخاص.
حيث تقوم الماسحات الضوئية مثل WalletRadar وWalletProbe بالبحث عن الأخطاء الصريحة، توضح هذه الورقة أن المحفظة لا تحتاج إلى خطأ لكشفك. وهذا ما يميزها عن ملحقات المحفظة المزيفة التي تم اكتشافها وهي تسرق المفاتيح العام الماضي. وهناك سرق المجرمون. هنا، لا شيء يُسرق، ويتم التسرب.
ظهرت الورقة البحثية على موقع arXiv في 7 يوليو، ومن المقرر أن يتم عرضها في معرض PETS 2026 في كالجاري، في الفترة من 20 إلى 25 يوليو. في الوقت الحالي، تعمل المحافظ وفقًا للتصميم، وقد قال العديد من صانعيها، في الواقع، أن التصميم جيد.
الإصلاح الحقيقي ليس تحذيرًا آخر للمستخدمين. إنها المحافظ التي تتوقف عن تعريض نفسها داخل الإطارات المضمنة، ومعيار النظام البيئي الذي يوضح ما يجب أن يفعله تسجيل الخروج فعليًا.
