Qu'est-ce qu'une attaque de dusting ?

Les blockchains sont publiques : n'importe qui peut voir qu'une adresse a reçu du dust. Prises isolément, les adresses sont pseudonymes et ne sont associées à aucun nom.

Le lien se crée au moment où vous dépensez. Si une transaction ultérieure utilise le dust en même temps que vos propres fonds – ce que l'on appelle la consolidation d'entrées – cette transaction constitue une preuve publique qu'une même personne contrôle les deux. L'attaquant peut alors regrouper vos adresses et estimer le total de vos positions. Si l'une des adresses de ce groupe a été en contact avec un compte de plateforme d'échange vérifié ou un commerçant, l'ensemble peut être rattaché à une identité réelle.

C'est sur le Bitcoin et les autres blockchains utilisant des sorties de transaction non dépensées (UTXO) que ce phénomène est le plus marqué, mais la même analyse de schémas s'applique aux blockchains à base de comptes, comme Ethereum.

Pour vous désanonymiser. Dès qu'un portefeuille est associé à une personne et qu'il est établi qu'il détient un solde important, cette personne devient une cible pour le spear-phishing, l'extorsion, ou – dans les régions à risque élevé – des menaces physiques.

Pour promouvoir une arnaque. La poussière arrive souvent sous la forme d'un token inconnu dont le nom, l'image ou le mémo renvoie vers un site web — "réclamez votre récompense", "vous avez gagné". Le site vous invite à connecter votre portefeuille et à approuver une transaction qui donne à l'attaquant l'autorisation de déplacer vos actifs réels.

Pour empoisonner votre historique des transactions. L'attaquant génère une adresse dont les premiers et derniers caractères correspondent à une adresse que vous avez déjà utilisée, puis effectue un transfert d'un montant infime ou nul depuis celle-ci. Cette adresse sosie apparaît désormais dans votre historique. Si vous copiez ultérieurement une adresse depuis votre historique plutôt que depuis la source d'origine, vos fonds sont envoyés à l'attaquant. Cette variante, connue sous le nom d'empoisonnement d'adresse, est à l'origine des pertes les plus importantes.

La poussière n'est pas toujours malveillante. Les forces de l'ordre et les administrations fiscales utilisent le dusting dans leurs enquêtes, les sociétés d'analyse de blockchain y ont recours à des fins de recherche, et les développeurs s'en servent pour tester la résistance des réseaux ou y envoyer du spam. La poussière sert également à véhiculer des messages publicitaires. Il est impossible de distinguer les uns des autres par la seule transaction : traitez-les tous de la même façon.

Les crypto-monnaies détenues sur Kraken sont sous la garde de Kraken. La poussière envoyée à une adresse de dépôt Kraken ne met pas en danger votre compte, votre solde ou vos identifiants.

• Un petit dépôt inattendu ne signifie pas que votre compte a été compromis.
• Vous n'avez pas besoin de signaler la poussière ni de prendre quelque mesure que ce soit pour sécuriser votre compte.
• Kraken ne vous demandera jamais de connecter un portefeuille, de réclamer un token ou d'approuver une transaction pour débloquer des fonds.
• Les dépôts inférieurs au montant minimum pour cet actif ne seront pas crédités sur votre compte.
• Le trading ou la conversion d'un petit solde sur Kraken n'expose pas vos adresses. Toute consolidation s'effectue au sein des systèmes de Kraken, et non sur la blockchain.
• Considérez tout message, email ou appel faisant suite à un dépôt de poussière comme une tentative de phishing potentielle, surtout s'il mentionne ce dépôt pour paraître crédible.

Le self-custody est le contexte où le dusting est vraiment risqué, car c'est vous qui contrôlez les adresses et signez les transactions.

• Ne touchez pas à la poussière. Ne la dépensez pas, ne la swappez pas et ne la consolidez pas avec vos autres fonds. Une poussière non dépensée ne peut pas être utilisée pour relier vos adresses.
• Marquez-la "ne pas dépenser" si votre portefeuille dispose du contrôle des pièces. Cela empêche le portefeuille de sélectionner automatiquement la poussière lors de la construction d'une future transaction.
• N'interagissez pas avec les tokens ou NFTs inconnus qui apparaissent dans votre portefeuille : ni réclamation, ni swap, ni envoi, ni approbation.
• Ne connectez jamais votre portefeuille à un site auquel vous avez accédé depuis un nom de token, un mémo, un message d'airdrop ou un résultat de recherche.
• Masquez les tokens spam plutôt que d'essayer de les déplacer ou de les vendre. Dans Kraken Wallet, utilisez vos paramètres de réputation des tokens pour filtrer ceux qui ne sont pas référencés ou signalés comme spam.
• Vérifiez l'adresse complète à chaque envoi. Contrôlez la chaîne entière, pas seulement les premiers et derniers caractères, et copiez-la depuis la source d'origine – jamais depuis votre historique des transactions.
• Utilisez une nouvelle adresse de réception pour chaque transaction. Les portefeuilles déterministes hiérarchiques (HD) le font automatiquement, ce qui répartit vos positions sur de nombreuses adresses et rend le regroupement plus difficile. Envisagez d'utiliser des portefeuilles distincts pour vos positions à long terme et votre activité quotidienne.
• Ne partagez jamais votre phrase de récupération secrète. Aucune réclamation, aucun remboursement ni aucune procédure de support légitime ne l'exige. Kraken ne vous la demandera jamais.

Pour la plupart des utilisateurs, la poussière de crypto-monnaies est une gêne, pas une menace. La désanonymisation est principalement un risque si vous détenez un solde important en self-custody, ou si vous vivez dans un contexte où la sécurité personnelle ou l'instabilité politique est une préoccupation.

L'empoisonnement d'adresse est différent. Il ne dépend pas de la taille de votre solde et peut toucher quiconque copie une adresse depuis son historique des transactions. Vérifiez l'adresse complète à chaque envoi.

Recevoir des crypto-monnaies ne donne à l'expéditeur aucun contrôle sur votre portefeuille. Personne ne peut déplacer vos fonds en vous envoyant une transaction. Des pertes ne surviennent que si vous signez quelque chose, approuvez une autorisation de dépense de token ou envoyez des fonds vers une adresse non vérifiée.

• Cessez d'effectuer des transactions depuis le portefeuille concerné.
• Révoquez toutes les autorisations de token que vous avez accordées au site ou au contrat.
• Si vous avez saisi ou exporté votre phrase de récupération secrète quelque part, transférez vos actifs restants vers un nouveau portefeuille créé avec une nouvelle phrase de récupération secrète.
• Signalez-le à Kraken via les liens ci-dessous.

• Protégez-vous contre les escroqueries
• Comment signaler un incident de phishing ?
• Sécuriser votre compte Kraken et votre vie numérique
• Afficher ou masquer des tokens selon leur réputation (Kraken Wallet)
• Sauvegarder et sécuriser votre Kraken Wallet
• Foire aux questions sur Kraken Wallet
• Le dépôt de crypto-monnaie est manquant