比利时规模最大、排名最高的研究型大学鲁汶大学（KU Leuven）近日发布研究报告，揭示了加密钱包浏览器扩展中存在的结构性漏洞，这些漏洞将用户身份与链上加密资产直接关联。研究指出，85款热门的浏览器钱包扩展会向第三方追踪器和RPC提供商（连接钱包与去中心化协议的桥梁）泄露用户的唯一数据，使得追踪者能够将超过3500万用户的活动和IP地址与其对应的钱包地址进行映射。
更严重的是，大多数钱包在用户退出登录或清除会话数据后，仍未能撤销地址权限。这为针对性的钓鱼攻击和勒索提供了高度精确的蓝图。
来源：鲁汶大学新闻
虽然鲁汶大学未公开具体扩展名单，但指出这些是来自Chrome网上应用店的流行多链和兼容以太坊的钱包。在发现这些问题后，Coinbase Wallet、Coin98和Hana Wallet等公司已安装必要的补丁，以防止未经授权的网站追踪用户信息。而OKX Wallet、Bybit Wallet和Core Wallet等其他公司则将这一披露归类为低风险，因此优先级较低。尽管如此，鲁汶大学计划在2026年7月20日至25日举行的隐私增强技术研讨会（PETS）上展示这一漏洞。
该研究凸显了加密货币生态系统中存在的众多漏洞之一。就在最近，一名攻击者劫持了SpaceXAI和Starlink的X账户，用于推广SCATMAN meme币，随后执行了“拉地毯”骗局，卷走了约12.5万美元。尽管此类事件不断发生，美国联邦储备委员会已明确表示不会救助失败的加密项目。再加上行业固有的脆弱性，加密货币在很大程度上仍然是一个高风险的“买家自负”市场。