O que é um ataque de dusting?

As blockchains são públicas, então qualquer pessoa pode ver que um endereço recebeu dust. Por si só, os endereços são pseudônimos e não estão vinculados a nenhum nome.

A conexão é feita quando você gasta. Se uma transação posterior usar o dust ao mesmo tempo que seus próprios fundos (prática conhecida como consolidação de inputs), ela se torna prova pública de que a mesma pessoa controla os dois. O invasor pode então agrupar seus endereços e estimar o total dos seus saldos. Se algum endereço desse grupo tiver interagido com uma conta verificada em uma Exchange ou com um estabelecimento comercial, o grupo pode ser vinculado a uma identidade real.

Isso é mais evidente no Bitcoin e em outras redes que utilizam Saídas de transação não gastas (UTXOs), mas a mesma análise de padrões se aplica a redes baseadas em contas, como o Ethereum.

Para desanonimizar você. Quando uma carteira é vinculada a uma pessoa e demonstra ter um saldo elevado, essa pessoa vira alvo de spear-phishing, extorsão ou, em regiões de alto risco, ameaças físicas.

Para promover um golpe. O dust geralmente chega como um Token desconhecido com nome, imagem ou memo apontando para um site: “resgate sua recompensa”, “você ganhou”. O site pede que você conecte sua carteira e aprove uma transação que concede ao invasor permissão para movimentar seus ativos reais.

Para contaminar seu Histórico de Transações. O invasor gera um endereço cujos primeiros e últimos caracteres são idênticos a um que você já usou e envia uma transferência de valor mínimo ou zero a partir dele. O endereço falso passa a aparecer no seu histórico. Se você copiar um endereço do seu histórico em vez de recorrer à fonte original, seus fundos serão enviados ao atacante. Essa variante, conhecida como envenenamento de endereço, é responsável pelas maiores perdas.

Nem todo dust é mal-intencionado. Autoridades policiais e agências fiscais usam dusting em investigações, empresas de análise de blockchain o usam para pesquisa, e desenvolvedores recorrem a ele para testes de estresse ou para sobrecarregar redes. O dust também é usado para veicular mensagens publicitárias. Não é possível distinguir a finalidade apenas pela transação, portanto trate todas da mesma forma.

As criptos mantidas na Kraken ficam sob a custódia da Kraken. Dust enviado para um endereço de depósito da Kraken não coloca sua Conta, seu saldo nem suas credenciais em risco.

• Um depósito inesperado de valor baixo não é sinal de que sua Conta foi comprometida.
• Você não precisa reportar dust nem tomar nenhuma medida para proteger sua Conta.
• A Kraken jamais pedirá que você conecte uma carteira, resgate um Token ou aprove uma transação para liberar fundos.
• Depósitos abaixo do valor mínimo de depósito para aquele Ativo não serão creditados na sua Conta.
• Negociar ou converter um saldo pequeno mantido na Kraken não expõe seus endereços. Qualquer consolidação ocorre dentro dos sistemas da Kraken, não na blockchain.
• Trate qualquer mensagem, email ou ligação recebida após um depósito de dust como uma possível tentativa de phishing, especialmente se mencionar o depósito para parecer legítima.

É na Autocustódia que o dusting importa, pois você controla os endereços e assina as transações.

• Não mexa no dust. Não gaste, não faça Swap nem consolide com seus outros fundos. O dust não gasto não pode ser usado para vincular seus endereços.
• Marque como «não gastar» se sua carteira tiver controle de moedas. Isso impede que a carteira selecione o dust automaticamente ao criar uma transação futura.
• Não interaja com tokens ou NFTs desconhecidos que aparecerem na sua carteira: não resgate, não faça Swap, não envie e não aprove.
• Nunca conecte sua carteira a um site acessado a partir de um nome de Token, memo, mensagem de airdrop ou resultado de busca.
• Oculte tokens de spam em vez de tentar movê-los ou vendê-los. No Kraken Wallet, use as configurações de reputação de token para filtrar tokens não listados ou sinalizados como spam.
• Verifique o endereço completo a cada envio. Confira a sequência inteira, não apenas os primeiros e últimos caracteres, e copie sempre da fonte original, nunca do seu Histórico de Transações.
• Use um endereço de recebimento novo a cada transação. Carteiras determinísticas hierárquicas (HD) fazem isso automaticamente, distribuindo seus ativos entre vários endereços e dificultando o agrupamento. Considere manter carteiras separadas para ativos de longo prazo e para o uso do dia a dia.
• Nunca compartilhe sua Frase de Recuperação Secreta. Nenhum processo legítimo de resgate, reembolso ou Suporte exige isso. A Kraken jamais pedirá isso a você.

Para a maioria das pessoas, o dust é um incômodo, não uma ameaça. A desanonimização é um risco principalmente para quem mantém um saldo elevado em autocustódia ou vive em locais onde a segurança pessoal ou a instabilidade política são uma preocupação.

O envenenamento de endereço é diferente. Ele não depende do tamanho do seu saldo e afeta qualquer pessoa que copie um endereço do seu histórico de transações. Verifique o endereço completo a cada envio.

Receber cripto não dá ao remetente nenhum controle sobre sua carteira. Ninguém pode mover seus fundos apenas enviando uma transação. As perdas só acontecem quando você assina algo, aprova uma permissão de token ou envia fundos para um endereço não verificado.

• Pare de fazer transações a partir da carteira afetada.
• Revogue todas as aprovações de token que você concedeu ao site ou contrato.
• Se você inseriu ou exportou sua Frase de Recuperação Secreta em algum lugar, transfira os ativos restantes para uma nova carteira criada com uma nova Frase de Recuperação Secreta.
• Relate o ocorrido à Kraken usando os links abaixo.

• Proteger-se de golpes
• Como comunico um incidente de phishing?
• Como proteger a sua conta Kraken e a sua vida digital
• Exibir ou ocultar tokens com base na reputação (Kraken Wallet)
• Backup e segurança da sua Kraken Wallet
• Perguntas frequentes do aplicativo Kraken Wallet
• Depósito de criptomoeda não recebido