[论文解读] What's in Your Wallet? Privacy and Security Issues in Web 3.0.

Philipp Winter, Anna Harbluk Lorimer+2 more|arXiv (Cornell University)|Sep 14, 2021

Privacy, Security, and Data Protection参考文献 12被引用 7

一句话总结

本文衡量了主流去中心化金融（DeFi）应用中的隐私与安全风险，揭示了以太坊地址与个人身份信息（PII）之间普遍存在跟踪与关联现象。本文提出一种钱包修改方案，将真实地址替换为针对特定网站的地址，显著减少了跨站跟踪及用户真实身份的暴露。

ABSTRACT

Much of the recent excitement around decentralized finance (DeFi) comes from hopes that DeFi can be a secure, private, less centralized alternative to traditional finance systems but the accuracy of these hopes has to date been understudied; people moving to DeFi sites to improve their privacy and security may actually end up with less of both. In this work, we improve the state of DeFi by conducting the first measurement of the privacy and security properties of popular DeFi applications. We find that DeFi applications suffer from the same kinds of privacy and security risks that frequent other parts of the Web. For example, we find that one common tracker has the ability to record Ethereum addresses on over 56% of websites analyzed. Further, we find that many trackers on DeFi sites can trivially link a user's Ethereum address with PII (e.g., name or demographic information) or phish users. This work also proposes remedies to the vulnerabilities we identify, in the form of improvements to the most common cryptocurrency wallet. Our wallet modification replaces the user's real Ethereum address with site-specific addresses, making it harder for DeFi sites and third parties to (i) learn the user's real address and (ii) track them across sites.

研究动机与目标

• 调查主流DeFi应用中隐私与安全风险的程度。
• 识别DeFi网站上的跟踪器如何将以太坊地址与PII关联或促成网络钓鱼攻击。
• 评估现有DeFi生态系统中隐私保护措施的有效性。
• 设计并提出一种基于钱包的解决方案，以减轻跨站跟踪与地址暴露风险。

提出的方法

• 对1,000多个DeFi网站进行了大规模测量，以评估跟踪器的存在及其行为。
• 识别并分析了常见跟踪脚本的功能，特别是能够记录以太坊地址的脚本。
• 设计了一款可修改的加密货币钱包，为每个访问的DeFi网站生成唯一且特定于该网站的以太坊地址。
• 实现并评估了该钱包修改方案，以防止真实地址泄露与跨站跟踪。
• 在现实攻击模型下评估了修改后钱包的隐私与安全属性。

实验结果

研究问题

• RQ1 DeFi应用在多大程度上容易受到第三方跟踪与用户身份识别的影响？
• RQ2 DeFi网站上的跟踪器如何将以太坊地址与PII（如姓名或人口统计信息）关联，或促成网络钓鱼攻击？
• RQ3 基于钱包的修改能否有效防止用户在不同DeFi平台间的跨站跟踪？
• RQ4 特定网站地址的使用在不损害可用性的情况下，对保护用户隐私有何影响？

主要发现

• 在分析的DeFi网站中，超过56%的网站通过单一常见跟踪器记录以太坊地址，存在用户跟踪行为。
• 许多DeFi网站上的跟踪器能够将用户以太坊地址与个人身份信息（PII），如姓名或人口统计数据，进行关联。
• 由于跟踪器可轻易将真实地址与用户数据关联，网络钓鱼攻击具有可行性。
• 所提出的钱包修改方案成功防止了用户真实以太坊地址向各个DeFi网站的暴露。
• 使用特定网站地址显著降低了跟踪器关联用户在多个DeFi平台活动的能力。