O que é um ataque de dusting?

As blockchains são públicas, portanto qualquer pessoa pode ver que um endereço recebeu dust. Por si só, os endereços são pseudônimos e não estão vinculados a um nome.

A vinculação ocorre no momento em que você realiza uma transação. Se uma transação posterior usar o dust junto com seus próprios fundos — prática conhecida como consolidação de inputs — ela se torna prova pública de que a mesma pessoa controla os dois endereços. O atacante pode então agrupar seus endereços e estimar o total dos seus ativos. Se algum endereço nesse grupo tiver interagido com uma conta em uma exchange verificada ou com um comerciante, o grupo pode ser vinculado a uma identidade real.

Isso é mais evidente no Bitcoin e em outras redes que utilizam Saídas de transação não gastas (UTXOs), mas a mesma análise de padrões se aplica a redes baseadas em conta, como o Ethereum.

Para desanonimizar você. Quando uma carteira é vinculada a uma pessoa e demonstra ter um saldo elevado, essa pessoa vira alvo de spear-phishing, extorsão ou, em regiões de alto risco, ameaças físicas.

Para promover um golpe. O dust costuma chegar como um token desconhecido com nome, imagem ou memo apontando para um site: "resgate sua recompensa", "você ganhou". O site pede que você conecte sua carteira e aprove uma transação que concede ao invasor permissão para mover seus ativos reais.

Para envenenar seu histórico de transações. O invasor envia uma transferência de valor mínimo ou zero a partir de um endereço falso idêntico ao que você usa, esperando que você o copie depois. Essa variante, conhecida como envenenamento de endereço, é a responsável pelas maiores perdas. Veja Como funciona o envenenamento de endereço.

Nem todo dust é malicioso. Autoridades policiais e tributárias usam dusting em investigações, empresas de análise de blockchain o usam para pesquisa, e desenvolvedores recorrem a ele para testar ou sobrecarregar redes. O dust também é usado para veicular mensagens publicitárias. Pela transação em si, é impossível distinguir um tipo do outro — trate todos da mesma forma.

1. O golpista monitora a atividade pública na blockchain e identifica um endereço para o qual você envia regularmente.
2. Ele cria um endereço que começa e termina com os mesmos caracteres que o seu. A maioria das carteiras e aplicativos exibe apenas o início e o fim de um endereço, então os dois parecem idênticos.
3. Eles enviam um valor mínimo, uma transferência de valor zero ou um token falso a partir desse endereço para que ele apareça no seu histórico de transações.
4. Na próxima vez que você for enviar, copia o endereço do histórico e sua cripto vai parar nas mãos do golpista.

Isso é especialmente comum com stablecoins como USDT e USDC. Alguns malwares fazem algo parecido: quando você cola um endereço, eles substituem o que você copiou pelo endereço do golpista. Veja Cuidado com malware.

A cripto mantida na Kraken fica sob custódia da Kraken. O envio de dust para um endereço de depósito da Kraken não coloca sua conta, seu saldo ou suas credenciais em risco.

• Um depósito inesperado de valor pequeno não é sinal de que sua conta foi comprometida.
• Não é necessário reportar o dust nem tomar nenhuma medida para proteger sua conta.
• Depósitos abaixo do valor mínimo para o ativo em questão não serão creditados na sua conta.
• Negociar ou converter um saldo pequeno mantido na Kraken não expõe seus endereços. Qualquer consolidação ocorre dentro dos sistemas da Kraken, não na blockchain.
• Trate qualquer mensagem, email ou ligação que vier após um depósito de dust como uma possível tentativa de phishing, principalmente se ela mencionar o depósito para parecer legítima.
• Verifique o endereço de destino antes de sacar. O envenenamento de endereço pode acontecer mesmo ao sacar da Kraken. Copie o endereço de destino da fonte original, não do histórico de transações de uma carteira, e confira o endereço completo. Salve os endereços que você usa com frequência nos seus endereços de saque depois de verificá-los. Consulte Como adicionar e confirmar um novo endereço de saque de criptomoeda.

Na Autocustódia, o dusting é um risco real, pois você controla os endereços e assina as transações.

• Não mexa no dust. Não gaste, não faça Swap nem consolide com seus outros fundos. O dust não gasto não pode ser usado para vincular seus endereços.
• Marque como "não gastar" se sua carteira tiver controle de moedas. Isso impede que a carteira selecione o dust automaticamente ao montar uma transação futura.
• Não interaja com tokens ou NFTs desconhecidos que aparecerem na sua carteira: não resgate, não faça Swap, não envie nem aprove.
• Nunca conecte sua carteira a um site acessado por nome de token, memo, mensagem de airdrop ou resultado de busca.
• Oculte tokens de spam em vez de tentar movê-los ou vendê-los. No Kraken Wallet, use as configurações de reputação de token para filtrar tokens não listados ou sinalizados como spam.
• Verifique o endereço completo a cada envio. Confira a string inteira, não apenas os primeiros e últimos caracteres, e copie da fonte original — nunca do seu Histórico de Transações.
• Tome cuidado com transações de teste. Até uma transação de teste pequena pode acionar o envenenamento de endereço. Quando o teste chegar, ainda assim copie o endereço da fonte original, não do seu histórico.
• Use um endereço de recebimento novo para cada transação. As carteiras determinísticas hierárquicas (HD) fazem isso automaticamente, distribuindo seus ativos por vários endereços e dificultando o agrupamento. Considere manter carteiras separadas para ativos de longo prazo e para o uso do dia a dia.
• Nunca compartilhe sua frase-semente (também chamada de frase de recuperação). Nenhum processo legítimo de resgate, reembolso ou suporte exige isso. A Kraken jamais pedirá isso a você.

• Compartilhar seu nome de usuário, senha, códigos de 2FA ou Master Key.
• Compartilhar ou encaminhar um email de Aprovação do dispositivo, ou o link contido nele.
• Compartilhar sua frase-semente (também chamada de frase de recuperação) de nenhuma carteira.
• Remover ou alterar seu 2FA, Master Key ou bloqueio das configurações globais (GSL), a menos que você tenha nos contatado antes pelos canais oficiais para pedir ajuda.
• Instalar software de acesso remoto como AnyDesk ou TeamViewer. Consulte Riscos do software de acesso remoto.
• Enviar cripto ou transferir seus fundos para uma carteira ou endereço “seguro” ou “protegido”.
• Fazer um pagamento para liberar, desbloquear ou "verificar" seus fundos.

Para a maioria das pessoas, o dust é um incômodo, não uma ameaça. A desanonimização é um risco principalmente para quem mantém saldo elevado em autocustódia ou vive em regiões onde a segurança pessoal ou a instabilidade política são motivos de preocupação.

O envenenamento de endereço é diferente. Ele não depende do tamanho do seu saldo e afeta qualquer pessoa que copie um endereço do seu Histórico de Transações. Verifique o endereço completo em cada envio.

Receber cripto não dá ao remetente nenhum controle sobre sua carteira. Ninguém pode mover seus fundos apenas enviando uma transação para você. As perdas só ocorrem quando você assina algo, aprova uma permissão de token ou envia fundos para um endereço não verificado.

• Pare de realizar transações pela carteira afetada.
• Revogue todas as aprovações de token concedidas ao site ou contrato.
• Se você digitou ou exportou sua frase-semente em algum lugar, transfira os ativos restantes para uma nova carteira criada com uma nova frase-semente.
• Denuncie o golpe. Se alguém pode ter acesso à sua Conta Kraken, entre em contato com o Suporte da Kraken imediatamente por este formulário e responda às perguntas com sinceridade e da forma mais completa possível.

Transações em blockchain não podem ser revertidas, e a Kraken não consegue recuperar cripto enviada para um endereço que não controla. Denuncie o golpe e registre uma ocorrência junto às autoridades (veja Proteja-se contra golpes). Desconfie de qualquer pessoa que se ofereça para recuperar os fundos.

• Proteger-se de golpes
• Como comunico um incidente de phishing?
• Como proteger a sua conta Kraken e a sua vida digital
• Exibir ou ocultar tokens por reputação (Kraken Wallet)
• Backup e proteção da sua Kraken Wallet
• Perguntas frequentes do aplicativo Kraken Wallet
• Depósito de criptomoeda não recebido
• Golpes de phishing
• Cuidado com malware de computador
• Adicionar e confirmar um novo endereço para retirada de criptomoedas