Los investigadores de KU Leuven probaron 85 de las billeteras criptográficas más populares que se ejecutan como extensiones de navegador y descubrieron que las billeteras mismas filtran lo suficiente como para vincular y rastrear a las personas que las usan.
La forma en que estas billeteras se comunican con los sitios web y los servidores blockchain puede unir las direcciones separadas de una persona y permitir que personas externas las sigan de un sitio a otro. Y en un sitio que ya tiene un nombre o correo electrónico, las mismas filtraciones pueden poner un nombre real a una identidad criptográfica «anónima».
Esto no es un truco. Las carteras se comportan exactamente como fueron construidas. Las 85 extensiones juntas tienen alrededor de 35 millones de usuarios listados en Chrome Web Store.
El equipo, del grupo de seguridad DistriNet de la universidad, publicado el periódico este mes y lo presentará en la conferencia de privacidad PETS 2026 en Calgary a finales de julio.
Compararon billeteras reales con sitios Web3 reales y trazaron cinco debilidades de privacidad en cómo interactúan las billeteras y los sitios web. Cuando informaron sobre el problema de mayor alcance a los fabricantes de billeteras antes de publicarlo, la mayoría se negó a llamarlo error.
Problema 1: sus direcciones separadas se vinculan
Muchas personas mantienen varias direcciones de billetera a propósito para mantener separadas partes de su vida financiera. Eso sólo funciona si nadie puede decir que las direcciones pertenecen a la misma persona. Pero para mostrar su saldo, una billetera hace ping constantemente a servidores externos, y esas solicitudes llevan su dirección, de forma clara, a quien administra el servidor.
Cuando una billetera coloca dos de sus direcciones en una solicitud, ese servidor descubre que son suyas. Diecisiete billeteras expusieron conexiones entre las direcciones separadas de un usuario. Trece lo hicieron de la manera obvia, agrupando dos direcciones en una sola solicitud. Cuatro más se delataron al enviar solicitudes separadas con una diferencia de milisegundos entre sí, una señal más débil pero aún útil.
En conjunto, esas billeteras cubren alrededor de 23 millones de las instalaciones estudiadas. Quien ejecute el servidor, o cualquiera que luego obtenga sus datos, puede unir las direcciones en un solo perfil.
Problema 2: Cerrar sesión a menudo no significa cerrar sesión
Este problema y el siguiente comparten un punto de partida: un sitio web puede saber qué billeteras tienes instaladas. Cada billetera se anuncia en cualquier página que carga, por lo que un script puede leer el conjunto exacto que lleva, una huella digital que funciona incluso si nunca conecta una billetera e incluso si bloquea las cookies.
Los investigadores descubrieron que 36 de las 85 billeteras hacen esto y sus usuarios representan alrededor del 82% de las instalaciones estudiadas. Esos mismos 36 son el grupo detrás de los números a continuación.
Cuando conecta una billetera a un sitio y luego la desconecta, asume que el sitio pierde el acceso. A menudo no es así, por dos razones distintas.
En primer lugar, muchos sitios nunca le dicen a la billetera que corte el acceso. De las 30 aplicaciones Web3 populares que el equipo probó, solo 11 enviaron un comando de revocación real cuando un usuario hizo clic en Desconectar o Cerrar sesión. El resto simplemente limpió su propia pantalla.
En segundo lugar, incluso cuando se envía el comando, muchas billeteras lo ignoran. En 22 de esas 36 billeteras, el sitio aún podía leer su dirección después de pedirle a la billetera que la revocara, y ese acceso sobrevivió al borrar las cookies y reiniciar el navegador.
Eso convierte a la dirección en una poderosa etiqueta de seguimiento. Es única a nivel mundial y, a diferencia de una cookie, no desaparece cuando borras tu navegador. El permiso obsoleto permanece dentro de la extensión hasta que abre la lista de «Sitios conectados» de la billetera y elimina el sitio manualmente; Hasta entonces, un script en la página sigue leyendo la dirección en segundo plano.
Problema 3: una billetera a la que alguna vez te conectaste puede exponerte en otros sitios
El último problema llega más lejos. De esas mismas 36 billeteras, 23 entregarán su dirección desde dentro de un marco que una página ha cargado desde otro sitio. Por sí solo, eso no hace nada. El problema es lo que un rastreador compartido puede hacer con él.
Supongamos que el mismo script de seguimiento se ejecuta en una aplicación de cifrado a la que alguna vez se conectó y en un sitio web normal y no relacionado. En un sitio normal, el rastreador carga silenciosamente esa aplicación criptográfica dentro de un marco invisible.
La página de la aplicación ya estaba autorizada por la billetera, y estas billeteras responden desde dentro del marco, por lo que la billetera devuelve la dirección al script sin que el usuario haga clic. La aplicación debe permitir su integración para que esto funcione, aunque muchas lo hacen.
Vincula esa dirección a un nombre o correo electrónico que el sitio ya tiene registrado y un perfil criptográfico seudónimo se convierte en una persona nombrada. Una dirección de billetera es un registro público de sus saldos, transacciones y tenencias de tokens. Vincule eso con una identidad real y un historial de navegación, y un atacante tendrá un objetivo designado cuyo dinero ahora está a la vista.
Los investigadores demostraron que este camino es real y utilizable; no afirmaron que los rastreadores ya lo estén ejecutando a escala.
Qué hacer y cómo respondió la industria
Para los usuarios, las correcciones son sólo parciales. Abra su billetera y borre los permisos antiguos del sitio que ya no usa. Eso detiene el seguimiento de direcciones obsoletas del Problema 2, pero no hace nada con respecto a las fugas de direcciones a los servidores o la huella digital de la billetera instalada.
Los investigadores manifestación muestra cómo se comporta tu propia billetera; se ejecuta en tu navegador y, dicen, no almacena nada. Utilice una billetera desechable para estar seguro. También ayuda a mantener diferentes actividades en carteras o perfiles de navegador separados. Las soluciones más importantes están fuera del alcance de los usuarios.
Los investigadores centraron su divulgación en ese problema entre sitios y se lo informaron a los fabricantes de billeteras afectados antes de publicarlo. En una nueva prueba en febrero de 2026, Coinbase Wallet y Coin98 ya lo habían solucionado, y Hana Wallet lo hizo más tarde. Pero de los ocho proveedores que, según el periódico, respondieron a través de sus programas de recompensas por errores, la mayoría se negó a tratarlo como un error.
MetaMask lo calificó como un problema conocido, cerró el informe como duplicado y dijo que no tenía planes inmediatos de dejar de inyectar a su proveedor porque eso dañaría demasiadas aplicaciones.
Rabby dijo que el ataque necesitaría que el mismo script malicioso se ejecutara en dos sitios a la vez, lo calificó como «prácticamente imposible» y concluyó que «la vulnerabilidad no existe». OKX estuvo de acuerdo en que el hallazgo era técnicamente correcto, pero lo cerró por considerarlo informativo porque expone datos sin robar dinero.
Bybit, Backpack y Core lo calificaron de bajo riesgo o fuera de alcance. El respuestas completas se publican en el repositorio de los investigadores.
El estudio se basa en investigación 2023 por Christof Ferreira Torres y sus colegas, quienes mostraron por primera vez que las billeteras de los navegadores filtraban direcciones a servidores externos. Este trabajo detecta filtraciones que las herramientas anteriores pasaron por alto, traza el seguimiento entre sitios y muestra cómo la misma fuga podría usarse para desenmascarar a las personas.
Mientras que escáneres como WalletRadar y WalletProbe buscan errores evidentes, este documento muestra que una billetera no necesita un error para exponerlo. Eso lo diferencia de las extensiones de billetera falsas que fueron sorprendidas robando claves el año pasado. Allí los delincuentes robaron. Aquí no se roba nada y la fuga está incorporada.
El documento apareció en arXiv el 7 de julio y se presentará en PETS 2026 en Calgary, del 20 al 25 de julio. Por ahora, las billeteras funcionan según lo diseñado y varios de sus creadores han dicho, de hecho, que el diseño está bien.
La verdadera solución no es otra advertencia para los usuarios. Son las billeteras las que dejan de exponerse dentro de los marcos integrados y un estándar del ecosistema que dice lo que realmente debe hacer al cerrar sesión.
