Браузер Brave автоматически подставлял реферальные ссылки в адресную строку

Рекомендуем почитать:

Xakep #253. Сканеры уязвимостей

• Содержание выпуска
• Подписка на «Хакер»

Пользователи заметили странность в поведении ориентированного на конфиденциальность браузера Brave: автозаполнение подставляло в строку адреса реферальные ссылки.

Первым на странное поведение браузера обратил внимание пользователь Twitter Янник Экл (Yannick Eckl). Оказалось, что если пользователь набирает в Brave адрес криптовалютной биржи Binance (binance[.]us или binance[.]com), срабатывает автозаполнение, которое включено по умолчанию, и в адресной строке появляется партнерская ссылка binance[.]us/en?ref=35089877.

pic.twitter.com/GT9NFnE4uf

— Cryptonator1337 (@cryptonator1337) June 6, 2020

Как выяснилось, эта ссылка связана с недавно заключенным партнерским соглашением между Brave и Binance. Так, в марте текущего года компании представили специальный виджет для браузера, созданный для тех, кто работает с биржей и торгует криптовалютой. Этот виджет приносит разработчикам браузера прибыль благодаря привлечению новых пользователей и партнерской программе биржи.

Глава Brave Брендан Эйх уже извинился за произошедшее в своем Twitter. Он пишет, что реферальная ссылка появилась в адресной строке случайно, так как браузер является партнером Binance. При этом Brave должен использовать реферальные ссылки для пользователей лишь при работе с упомянутым виджетом, на новой вкладке, а автозаполнение не должно было содержать подобных кодов.

При этом другие пользователи Twitter не согласились с тем, что разработчики Brave просто допустили ошибку. Дальнейшее исследование репозитория Brave на GitHub показало, что браузер также содержит реферальные ссылки для URL-адресов Ledger, Trezor и Coinbase. И от таких партнерств браузер тоже получает прибыль.

В настоящее время разработчики Brave уже отключили автозаполнение по умолчанию, однако Эйх отмечает, что в целом нет ничего плохого в использовании реферальных программ и попытках построить жизнеспособный бизнес. По его словам, партнерская ссылка не должна была попадать в автозаполнение адресной строки, но вот поисковые запросы — это уже совсем другой разговор.

3/ With Brave, we're trying to build a viable business that puts users first by aligning interests via private ads that pay user >= what we make on fixed fee schedule, no browser data in the clear on any of our servers, and so on. But we seek skin-in-game affiliate revenue too. +

— BrendanEich (@BrendanEich) June 6, 2020

3 browser biz model gravity wells: 1/ indie donation-funded; 2/ independent, multiple customer + affiliate revenue legs; 3/ captured by main partner (owned or not). Brave aiming at (2) & pays users >= our share of gross private ad revenue; affiliate fee share too if it is real. https://t.co/jow89hgGkp

— BrendanEich (@BrendanEich) June 8, 2020

I think you used "mistake" where you meant "accident". I never said it was accidental. We were treating it like a search query (which all big browsers do tag with an affiliate id to get paid from by the search provider). But a valid domain name is not a search query. Fixing.

— BrendanEich (@BrendanEich) June 7, 2020

Источник