Bei mir ist in der Regel das Gegenteil der Fall: Mein Proxy sendet in weiser Voraussicht immer die bloße Domain der gerade abgerufenen Ressource als Referer, so dass ich diese Bilder noch nie gesehen habe. Da allerdings auch der User-Agent entfernt wird, erübrigt sich die Frage nach dem Client.

“Verhindern” ist in dem Zusammenhang auch etwas weit gegriffen – da das Ganze auf einem (bzw. zwei) ausdrücklich optionalen Headern basiert, ist es mehr ein Glücksspiel, das manche unberechtigten Zugriffe erlaubt und manche berechtigten Zugriffe sperrt.

Etwas schöner wäre es vielleicht, den Abruf im Falle eines fehlenden Referers einfach zuzulassen – dem Hotlinkenden dürfte so immernoch der Spaß vergehen, weil viele nichts sehen. Wer dagegen seinen Browser bewusst so konfiguriert hat, dass er wenig Daten hinterlässt, wird nicht bestraft (und Newsreader dürften automatisch mit drin sein :).