Le wallet dans le navigateur promettait l’anonymat. Il ressemble surtout à un masque de carnaval troué. Des chercheurs de la KU Leuven ont passé au crible 85 extensions de wallets parmi les plus téléchargées du Chrome Web Store. Verdict : des fuites de confidentialité intégrées capables de relier plusieurs adresses à un même utilisateur, de survivre à la déconnexion et de tracer une activité de navigation sur des sites qui n’ont rien à voir entre eux.
L’étude, sobrement intitulée The Masks We (Think We) Wear, repose sur des mesures dynamiques à grande échelle couvrant des extensions qui totalisent environ 35,16 millions d’utilisateurs. Elle sera présentée le 21 juillet à la conférence PETS 2026, à Calgary.
Points clés
- 85 extensions de wallets du Chrome Web Store analysées, soit environ 35,16 millions d’utilisateurs
- Les opérations RPC divulguent des liens entre les adresses d’un même utilisateur
- La révocation des permissions reste inefficace : des adresses révoquées restent exposées d’une session à l’autre
- Des iframes cross-origin permettent un suivi passif même sur des sites sans rapport avec la crypto
Des adresses reliées par les gestes du quotidien
Le problème ne vient pas d’une manipulation exotique, mais des opérations RPC (remote procedure call) que ces wallets exécutent à longueur de journée. Selon les chercheurs, ces échanges divulguent des liens structurels entre les différentes adresses d’un même utilisateur. Comportement observé sur les 85 extensions analysées, sans exception.
Pire, la révocation des permissions relève du bricolage. Dans la majorité des wallets Ethereum étudiés, des adresses censées être révoquées restent accessibles d’une session à l’autre. La fuite survit donc au nettoyage de certaines données de navigation et à la reconnexion.
« Les opérations RPC de routine divulguent des liens structurels entre les adresses d’un utilisateur ; la majorité des wallets Ethereum implémentent la révocation des permissions de façon incohérente et continuent d’exposer des adresses préalablement révoquées d’une session à l’autre. » (chercheurs de la KU Leuven, résumé de l’étude)
Le traçage déborde largement des dApps
Autre trouvaille : plusieurs wallets injectent leur interface provider dans des iframes cross-origin, ce qui ouvre la porte à un suivi passif entre sites. Aucune interaction volontaire avec une application décentralisée n’est nécessaire. Un site tout ce qu’il y a de plus banal, sans le moindre rapport avec la crypto, peut récupérer des signaux reliés au wallet.
Les chercheurs relient ces fuites à une corrélation possible entre activité de navigation, adresses blockchain et richesse on-chain. En clair : de quoi rattacher un profil web à un solde en cryptomonnaies. Adieu la pseudonymie et le cloisonnement des usages.
Un écosystème déjà dans le viseur
Le timing n’aide pas. Les extensions liées aux cryptoactifs restent une cible de choix pour les attaquants. The Hacker News a récemment documenté Silent Swap, un malware de clipping qui remplace les adresses copiées dans le presse-papiers par celles de ses opérateurs. Une menace d’une autre nature que les fuites étudiées ici, mais qui pointe le même coupable : le navigateur, devenu un point d’entrée sensible pour les transactions Web3.
Avec une base installée dépassant les 35 millions d’utilisateurs, le sujet dépasse le cercle des amateurs de dApps. Il touche à la frontière entre navigation ordinaire, identité numérique et avoirs on-chain. Le masque, lui, laissait déjà voir le visage.
