المنشور

声称聚合信息的新插件却在偷看你币安仓位 一个叫 Kaito Pulse 的浏览器插件，昨天还被 Kaito AI 当作币圈 AI 的得意之作高调宣发。它的卖点是把你平台外的活动直接拉进 X 的时间线，让你刷推的时候顺便看到自己关心的链上动态。听起来挺贴心对吧。Kaito 在币圈混了几年，靠信息聚合攒下一大批忠实用户，大家默认它是自己人。 结果今天就被人扒了底裤。加密分析师 ultra 审计了它的源代码，发现这东西干的事远不止聚合信息那么简单。它会用哈希算法给你的 GPU 渲染、硬件型号和硬件测试音做指纹识别，再把这一串唯一组合跟你的 X 账号绑死。换句话说，你换号都没用，设备一摸就知道是你。 更吓人的是它抓的东西。你的完整浏览记录、你在信息流上悬停了多久、点了什么、关注了谁，全被它按三十秒一次的频率打包上报，还带心跳包做活跃检测。这已经不是推荐算法了，这是盯梢。 最让我后背发凉的是后面这两段。它居然能读到你的 Claude 和 ChatGPT 订阅计划和额度消耗，甚至会自动点进 ChatGPT 的 Usage 页面。它还盯着你的币安，自动访问 Positions 选项卡，重新发送已登录请求，把你的钱包余额、期货仓位、盈亏和存取款历史全读走。一个浏览器插件，悄无声息就把你交易所的家底摸了个遍。 真正危险的地方在于，它把三件事缝在了一起。你的 X 身份、你的设备指纹、你的交易所仓位，本来是三层互相独立的信息，现在被一个插件串成了一条线。很多做币的人一直以为自己链上匿名，可一旦身份和仓位被这么轻轻一绑，你到底是哪个人、持有什么仓、亏了多少，全成了明牌。 我知道有人会说，授权了嘛，人家用户协议里写了。可问题是它宣发的时候从头到尾都在讲便利，没见谁把我会读取你币安仓位写在海报上。把后台能拿的数据全拿了，再轻描淡写说一声这是产品功能，这套路咱们在 Web2 见得还少吗。数据成了新的石油，可挖油的人从不会问你愿不愿意。 Kaito 这波算是把币圈 AI 的遮羞布扯下来一块。我们一边喊着去中心化、主权个人数据，一边对自己信任的项目放松警惕。下次再看到那种一键接入所有平台的酷炫产品，先想清楚它到底拿走了什么。一个靠聚合币圈注意力起家的项目，转头就把用户的注意力变成了可读取的资产，这讽刺够咱们品一阵子的。