LONDON (IT BOLTWISE) – Eine neue Untersuchung der KU Leuven zeigt, dass weit verbreitete Krypto-Wallet-Erweiterungen im Browser Adressen so preisgeben, dass sie sich zu einer Person verknüpfen lassen. Die Forschenden identifizieren fünf Datenschutzschwachstellen, darunter persistierendes Tracking nach „Logout“ und die unbemerkte Wiederverknüpfung über eingebettete Frames. Besonders brisant: In dem Szenario geht es nicht um gestohlene Keys, sondern um systematisches Daten-„Auslaufen“ entlang der normalen Wallet-Interaktionen. Die Ergebnisse werden im Juli 2026 auf der PETS-Konferenz in Calgary vorgestellt.
Browserbasierte Krypto-Wallets gelten vielen als bequemer Weg, um Web3-Apps zu nutzen, ohne ständig zwischen Apps zu wechseln. Genau dort setzt die aktuelle Studie an: Forschende der KU Leuven haben 85 populäre Wallet-Erweiterungen untersucht, die als Browser-Extensions laufen, und sie konnten so viel Datenabfluss beobachten, dass sich Nutzer über verschiedene Websites hinweg verfolgen lassen. Laut Bericht betrifft das Ökosystem ungefähr 35 Millionen installierte Erweiterungen im Chrome Web Store. Auffällig ist dabei die Logik: Es handelt sich nicht um einen „Hackerangriff“, sondern um das Zusammenspiel, wie Wallets Anfragen an Websites und Blockchain-Server formulieren und wie Websites die installierten Wallets erkennen.
Technisch betrachtet entsteht der Kern des Risikos aus dem Informationsfluss zwischen drei Beteiligten: der Wallet-Extension im Browser, den geladenen Seiten (Web-„Frontends“) und externen Endpunkten, die etwa Blockchain-bezogene Daten bereitstellen. Wenn eine Wallet zur Anzeige von Balance oder Transaktionen Anfragen stellt, tragen diese Requests häufig die verwendeten Adressen mit sich. Das erlaubt einem Server-Betreiber (oder später jedem, der Logs auswertet) nicht nur einzelne Adressen zu beobachten, sondern verschiedene Adressen derselben Person zusammenzuführen. Die Studie nennt konkrete Muster: 17 Wallets machten Verbindungen zwischen getrennten Adressen sichtbar, teils durch das Bündeln mehrerer Adressen in einer Anfrage, teils durch gleichzeitige Requests im Millisekundenbereich.
Der zweite Mechanismus dreht sich um „Logout“-Erwartungen. Viele Nutzer gehen davon aus, dass das Trennen der Verbindung zu einer Website den Zugriff entzieht. Die Forschenden zeigen jedoch, dass Websites weiterhin erkennen können, welche Wallets installiert sind, weil Wallet-Erweiterungen sich beim Laden einer Seite „outen“ und ein Skript die exakte Menge der vorhandenen Wallet-Fingerprints auslesen kann – sogar ohne funktionierende Cookies. Besonders relevant wird das, wenn eine Website die Rechte später nicht wirklich entzieht: Von 30 getesteten Web3-Apps senden nur 11 eine echte Revoke-Anweisung, wenn ein Nutzer auf „Disconnect“ oder „Logout“ klickt. In 22 der 36 betroffenen Wallets bleibt die Adresse danach weiterhin abrufbar und überlebt sogar Browser-Resets.
Damit kippt das Risiko vom „einmaligen Besuch“ hin zum dauerhaften Wiedererkennen. Die Adresse fungiert dann als eine Art persistentem Tracking-Tag: Sie gilt als weltweit eindeutig, und im Gegensatz zu Cookies verschwindet sie nicht beim normalen Browser-Clear. Erst ein manueller Eingriff über Listen wie „Connected Sites“ innerhalb der Wallet beendet diese stale Permission. Aus Markt- und Ökosystemsicht erklärt das, warum sich das Problem so schwer mit reinen User-Workarounds aushebeln lässt: Selbst wenn ein Nutzer Cookies löscht, bleibt die Rechtezuweisung innerhalb der Extension erhalten. Gleichzeitig entsteht für Angreifer ein realistischer Pfad, bei dem ein Tracking-Skript eine zuvor verbundene Web3-App still in einem eingebetteten Frame nachlädt und die Wallet dort ohne neuen User-Click die Adresse liefert.
Den furthest-reaching Schritt beschreibt die Studie als Cross-Site-Umformung. Von denselben 36 Wallets geben 23 die Adresse aus dem Kontext eines Frames heraus, sobald eine Seite eine andere – möglicherweise unscheinbare – App eingebettet lädt. Der Trick liegt weniger in der Wallet selbst als im gemeinsamen Tracker: Läuft derselbe Tracking-Code auf einer normalen, nicht-kryptoaffinen Website und auf einer Web3-Seite, kann er die Web3-App im Hintergrund „autorisieren“ und dann die Adresse aus dem Frame abgreifen. Verknüpft der Tracker diese Adresse später mit einem Namen oder einer E-Mail, die die normale Website bereits gespeichert hat, wird eine pseudonyme Identität faktisch deanonymisiert. Die Studie zeigt diesen Pfad als nachweisbar und technisch nutzbar, behauptet aber nicht, dass die Attacke bereits flächendeckend im großen Stil ausgeführt wird.
Wie antwortete die Industrie? Laut Bericht wurden die betroffenen Wallet-Hersteller vor der Veröffentlichung auf den übergreifendsten Cross-Site-Punkt hingewiesen. Bis zu einer Retest-Phase bis Februar 2026 hatten Coinbase Wallet und Coin98 das Problem bereits behoben, später folgte Hana Wallet. Von acht Anbietern, die über Bug-Bounty-Programme reagierten, lehnten die meisten jedoch ab, den Befund als „Bug“ zu behandeln. MetaMask etwa stufte es als bekanntes Issue ein und schloss den Report als Duplikat; außerdem gab es an, dass es keine unmittelbaren Pläne gebe, den Provider-Injection-Mechanismus zu stoppen, weil dadurch viele Apps brechen könnten. Auch Rabby argumentierte mit der Annahme, der Angriff benötige gleichzeitig bösartigen Code auf zwei Seiten, und stellte die Existenz der Schwachstelle infrage.
Für Unternehmen und Entwickler ist das mehr als ein Privacy-PR-Thema, weil sich daraus neue Anforderungen an Security-Architekturen ergeben. Wenn Wallets Adressen über Provider-APIs oder eingebettete Kontexte ausgeben, müssen Web3-Teams ihre Embed- und Permission-Modelle überprüfen, aber auch nachvollziehbar machen, wann und wie „Logout“ tatsächlich die Rechte in der Extension beendet. Historisch knüpft die Arbeit an frühere Forschung an, die 2023 bereits Leakage zwischen Browser-Wallets und externen Servern gezeigt hatte; hier wird jedoch der Fokus auf Adress-Linking und auf Cross-Site-Tracking erweitert. Das ist auch aus regulatorischer Sicht relevant: In der EU berührt das potenziell Anforderungen aus der DSGVO, weil es um personenbezogene Zuordnung über technische Identifier gehen kann, selbst wenn keine klassischen Kreditkarten- oder Authentifizierungsdaten abfließen.
Der praktische Ausblick für Nutzer fällt entsprechend gemischt aus. Die Studie empfiehlt als Sofortmaßnahme, alte Site-Permissions in der Wallet zu entfernen, um das persistierende Adress-Tracking nach Problem 2 zu stoppen; gegen Adressleaks zu Servern oder den Fingerprint „installierte Wallet“ hilft das jedoch nicht. Als zusätzliche Vorsichtsmaßnahme wird der Einsatz von „Throwaway Wallets“ und die Trennung von Aktivitäten über unterschiedliche Wallets oder Browser-Profile genannt. Auf Herstellerseite ist die eigentliche Systemkorrektur nötig: Wallets müssen in eingebetteten Frames die Adresse nicht mehr nach außen geben, und es braucht eine Ökosystem-„Standardsprache“, die festlegt, was eine Revoke-Operation konkret und zuverlässig bedeutet. Genau deshalb wird die Veröffentlichung auf PETS 2026 in Calgary (20. bis 25. Juli) für viele Teams ein Signal sein, Security- und Privacy-Tests künftig stärker entlang realer Browser-Workflows zu designen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Studie zu Browser-Krypto-Wallets: Adressleaks und Cross-Site Tracking-Risiken" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Studie zu Browser-Krypto-Wallets: Adressleaks und Cross-Site Tracking-Risiken" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Studie zu Browser-Krypto-Wallets: Adressleaks und Cross-Site Tracking-Risiken« bei Google Deutschland suchen, bei Bing oder Google News!