暗号資産ウォレットのブラウザ拡張機能に追跡リスク、アドレスの紐付けやログアウト後もアクセス維持

要点

• ベルギーのKU Leuvenの研究チームが、主要な暗号資産ウォレット拡張機能85個を調査し、ユーザー追跡につながる5つのプライバシー上の弱点を発見した。

• 残高確認の通信時に、同一ユーザーの複数アドレスが外部サーバー側で紐付けられている。

• ウェブサイト側で切断処理を行ってもウォレットのアクセス権が維持され、永続的な追跡タグとなる問題がある。

• 過去に接続したサイトを別サイトの隠しフレーム経由で読み込ませることで、ユーザーの操作なしにアドレスが取得され、実名と結びつけられる。

• ベルギー・ルーヴェン・カトリック大学（KU Leuven）のセキュリティ研究グループ「DistriNet」は2026年7月、ブラウザ拡張機能として動作する主要な暗号資産ウォレットを調査した結果、ユーザーのプライバシーを脅かす複数の脆弱性を発見したとする研究論文を公開した。研究チームは計85個の人気ウォレットをテストし、それらの設計上の挙動によってユーザーがサイトをまたいで追跡されたり、匿名のアドレスが実名と結びつけられたりするリスクがあることを明らかにした。この論文は、同月下旬にカナダで開催されるプライバシー関連の国際会議「PETS 2026」で発表される予定だ。

• 調査対象となった85個のウォレット拡張機能は、Chromeウェブストアで合計約3500万回ダウンロードされている非常に一般的なツールだ。これらは外部からのハッキングなどの攻撃を受けていなくても、標準の仕様通りに動作するだけで利用者の身元を特定できる情報を漏洩しているという。研究チームは、ウォレットとWeb3（ブロックチェーン技術などを用いた分散型ウェブ）サイトとの対話プロセスにおいて、合計5つのプライバシーに関する弱点を特定した。最も影響の大きい弱点について研究チームが公表前に各ウォレットの開発元に報告したところ、その大半は不具合（バグ）とは認めなかった。

• 弱点の一つは、同一ユーザーが持つ別々のアドレスが外部サーバー上で紐付けられてしまう問題だ。多くのユーザーは自身の財務活動を分けるため、意図的に複数のアドレスを使い分けている。しかし、ウォレットが残高を表示するために外部サーバーと通信する際、これらのアドレスが平文（暗号化されていないテキストデータ）のまま送信されていることが判明した。テストされたウォレットのうち17個（合計ユーザー数約2300万人分）において、同一ユーザーの複数アドレスが関連付けられて送信される動作が確認された。これらは1回のリクエストにまとめられるか、あるいはミリ秒単位の極めて短い間隔で個別のリクエストとして連続送信される仕様になっていた。これにより、サーバーの運営者やデータを入手した第三者は、送信されたアドレスが同一人物のものであると特定し、詳細な行動プロファイルを構築できてしまう。

• また、ウェブサイトからログアウトしたはずの状態であっても、ウォレットへのアクセス権が切れていない現象も報告されている。ウェブサイト上のスクリプトは、クッキー（ブラウザに保存される一時的なデータ）の拒否やウォレット未接続の状態であっても、ブラウザに導入されているウォレットの種類を正確に識別し、一種の識別子（フィンガープリント）として利用できる。これは調査対象の36個（全体の約82%）で可能であった。

• さらに、これらのウォレットをサイトに接続した後に「切断」や「ログアウト」を選択しても、接続が維持されているケースが多数見られた。テストした30個の人気Web3アプリのうち、切断時に正式な切断コマンドを送信したのは11サイトのみで、他は画面表示を切り替えているだけだった。さらに、コマンドが送信された場合でも、36個のウォレット中22個はそれを無視してアドレスの読み取りを可能にし続けた。このアクセス権はクッキー削除やブラウザ再起動でも消えず、ユーザーが管理画面から手動で接続設定を削除しない限り、スクリプトからアドレスが読み取られ続けるため、非常に強力な追跡タグとして機能することになる。

• さらに、無関係なウェブサイト上でユーザーの身元を特定されるリスクも浮き彫りになった。前述の36個のウォレット中23個は、ページ内に埋め込まれた別サイトのフレーム（iframe）内からでも、ユーザーのアドレス情報を引き渡す挙動を示した。

• 例えば、無関係な一般サイトに、ユーザーが過去に接続した暗号資産アプリを隠しフレームとして読み込ませると、ウォレットはユーザーの操作なしにアドレス情報をスクリプトに引き渡してしまう。双方のサイトに同じ追跡スクリプトがある場合、一般サイトが保有する実名やメールアドレスとウォレットアドレスが紐付けられ、匿名の資産残高が実名と結びついてしまうリスクが生じる。

• 暗号資産の取引履歴や残高はブロックチェーン上で公開されているため、一度ウォレットアドレスが実名と結びつくと、その人物のすべての財務状況が第三者に把握されることになる。今回の調査結果は、便利に資産を管理するためのブラウザ拡張機能が、ユーザーの意図しない形で深刻なプライバシー侵害を招いている実態を示している。