Co je dusting útok?

Blockchain je veřejný, takže kdokoli může vidět, že adresa obdržela dust. Samotné adresy jsou pseudonymní a nejsou vázány na žádné jméno.

Spojení vzniká ve chvíli, kdy utratíte prostředky. Pokud pozdější transakce čerpá jak z dustu, tak z vašich vlastních prostředků – jde o tzv. konsolidaci vstupů – stane se tato transakce veřejným důkazem, že obě adresy ovládá táž osoba. Útočník pak může seskupit vaše adresy a odhadnout celkový objem vašich prostředků. Pokud se jakákoli adresa v daném shluku dotkla ověřeného účtu na burze nebo obchodníka, lze celý shluk propojit se skutečnou identitou.

Nejzřetelnější je to u Bitcoin a dalších řetězců, které využívají nevyužité výstupy transakcí (UTXO), avšak stejná analýza vzorů se uplatňuje i u řetězců na bázi účtů, jako je Ethereum.

Odhalit vaši identitu. Jakmile je peněženka spojena s konkrétní osobou a je zřejmé, že obsahuje vysoký zůstatek, stává se tato osoba cílem spear-phishingu, vydírání nebo – ve vysoce rizikových oblastech – i fyzického ohrožení.

Propagovat podvod. Dust často přichází v podobě neznámého tokenu s názvem, obrázkem nebo poznámkou odkazující na webovou stránku – „nárokujte svou odměnu", „vyhráli jste". Stránka vás vyzve k připojení peněženky a schválení transakce, která útočníkovi udělí oprávnění nakládat s vašimi skutečnými aktivy.

Otrávit vaši historii transakcí. Útočník odešle nepatrný nebo nulový převod z adresy, která napodobuje adresu, kterou používáte, v naději, že ji později zkopírujete. Tato varianta, označovaná jako otrávení adres (address poisoning), způsobuje největší ztráty. Viz Jak funguje otrávení adres.

Ne každý prach je škodlivý. Dustingové techniky využívají orgány činné v trestním řízení i daňové úřady, analytické firmy specializované na blockchain je používají pro výzkum a vývojáři k zátěžovému testování nebo spamování sítí. Prach slouží také k šíření reklamních zpráv. Ze samotné transakce nelze rozlišit, o který případ jde – zacházejte proto se vším stejně.

1. Podvodník sleduje veřejnou aktivitu na blockchainu a vyhledá adresu, na kterou pravidelně odesíláte.
2. Vytvoří adresu, která začíná a končí stejnými znaky jako ta vaše. Většina peněženek a aplikací zobrazuje pouze začátek a konec adresy, takže obě vypadají totožně.
3. Z této adresy odešle nepatrnou částku, převod s nulovou hodnotou nebo falešný token, aby se zobrazila ve vaší historii transakcí.
4. Při příštím odeslání zkopírujete adresu z historie a vaše krypto skončí u podvodníka.

Tato technika je zvláště rozšířená u stablecoinů, jako jsou USDT a USDC. Některý malware funguje podobně: při vložení adresy ze schránky ji záměnou nahradí adresou podvodníka. Viz Pozor na počítačový malware.

Krypto uložené na Kraken je v úschově Kraken. Dust zaslaný na vkladovou adresu Kraken neohrožuje váš účet, zůstatek ani přihlašovací údaje.

• Malý neočekávaný vklad neznamená, že byl váš účet napaden.
• Dust není nutné hlásit ani podnikat žádné kroky k zabezpečení účtu.
• Vklady pod minimální výší vkladu pro dané aktivum se na vašem účtu nepřipíší.
• Obchodování nebo převod malého zůstatku na Kraken vaše adresy neodhalí. Veškerá konsolidace probíhá uvnitř systémů Kraken, nikoli na blockchainu.
• Každou zprávu, e-mail nebo hovor, který přijde po vkladu dustu, považujte za možný pokus o phishing – zvláště pokud se na tento vklad odvolává, aby vzbudil důvěryhodnost.
• Zkontrolujte, kam vybíráte. Otrava adres vás může zasáhnout i při výběru z Kraken. Zkopírujte cílovou adresu z původního zdroje, nikoli z historie transakcí peněženky, a ověřte celou adresu. Adresy, které používáte pravidelně, si po ověření uložte do adres pro výběr. Viz Přidání a potvrzení nové adresy pro výběr kryptoměny.

Vlastní úschova je oblast, kde na dustingu záleží, protože vy kontrolujete adresy a vy podepisujete transakce.

• Dust nechte být. Neutracujte ho, neswapujte ho ani ho neslučujte se svými ostatními prostředky. Neutracený dust nelze použít k propojení vašich adres.
• Označte ho jako „do not spend", pokud vaše peněženka podporuje coin control. Tím zabráníte peněžence, aby dust automaticky zahrnula do budoucích transakcí.
• Neinteragujte s neznámými tokeny ani NFT, které se zobrazí ve vaší peněžence – nenárokujte je, neswapujte, neodesílejte ani neschvalujte.
• Nikdy nepřipojujte peněženku k webu, na který jste se dostali prostřednictvím názvu tokenu, poznámky, zprávy o airdropu nebo výsledku vyhledávání.
• Spamové tokeny skryjte, místo abyste se je pokoušeli přesunout nebo prodat. V Kraken Wallet použijte nastavení reputace tokenů a odfiltrujte tokeny, které nejsou na seznamu nebo jsou označeny jako spam.
• Při každém odesílání ověřte celou adresu. Zkontrolujte celý řetězec znaků, nejen první a poslední znaky, a zkopírujte ho z původního zdroje – nikdy z historie transakcí.
• S testovacími transakcemi zacházejte obezřetně. I malá testovací transakce může sama o sobě spustit útok otrávením adresy. Jakmile testovací transakce dorazí, zkopírujte adresu stále z původního zdroje, nikoli z historie.
• Pro každou transakci použijte novou přijímací adresu. Hierarchické deterministické (HD) peněženky to dělají automaticky – vaše prostředky tak rozkládají na mnoho adres a clustering výrazně ztěžují. Zvažte, zda si neponechat oddělené peněženky pro dlouhodobé držení a každodenní používání.
• Nikdy nesdílejte svou seed frázi (označovanou také jako obnovovací fráze). Žádný legitimní proces nárokování, vrácení peněz ani podpora ji nevyžadují. Kraken vás o ni nikdy nepožádá.

• Sdílet uživatelské jméno, heslo, kódy 2FA nebo hlavní klíč.
• Sdílet nebo přeposlat e-mail se schválením zařízení ani odkaz v něm.
• Sdílet seed frázi (označovanou také jako obnovovací fráze) pro jakoukoli peněženku.
• Odebrat nebo změnit 2FA pro přihlašování, hlavní klíč nebo zámek globálních nastavení (GSL), pokud jste nás předem nekontaktovali s žádostí o pomoc prostřednictvím našich oficiálních kanálů.
• Instalaci softwaru pro vzdálený přístup, jako je AnyDesk nebo TeamViewer. Viz Rizika softwaru pro vzdálený přístup.
• Odesílat krypto ani přesouvat prostředky do „bezpečné" nebo „zabezpečené" peněženky či na adresu.
• Odesílat platbu za účelem uvolnění, odmrazení nebo „ověření" prostředků.

Pro většinu lidí je prach spíše obtěží než hrozbou. De-anonymizace představuje riziko především tehdy, pokud držíte velký zůstatek ve vlastní úschově nebo žijete v oblasti, kde jsou osobní bezpečnost či politická nestabilita reálným problémem.

Otrávení adresy je jiný případ. Nezávisí na výši vašeho zůstatku a ohrožuje každého, kdo kopíruje adresu z historie transakcí. Před každým odesláním ověřte celou adresu.

Přijetí krypta nedává odesílateli žádnou kontrolu nad vaší peněženkou. Nikdo nemůže přesunout vaše prostředky tím, že vám pošle transakci. Ke ztrátám dochází pouze tehdy, když něco podepíšete, schválíte povolení tokenu nebo odešlete prostředky na adresu, kterou jste neověřili.

• Přestaňte provádět transakce z dotčené peněženky.
• Zrušte veškerá povolení tokenů, která jste udělili danému webu nebo kontraktu.
• Pokud jste svou seed frázi kdekoli zadali nebo exportovali, přesuňte zbývající aktiva do nové peněženky vytvořené s novou seed frází.
• Nahlaste podvod. Pokud mohl někdo získat přístup k vašemu účtu Kraken, kontaktujte Podporu Kraken neprodleně prostřednictvím tohoto formuláře a odpovězte na otázky pravdivě a co nejúplněji.

Transakce na blockchainu nelze stornovat a Kraken nedokáže obnovit krypto odeslané na adresu, kterou nekontroluje. Nahlaste podvod a oznamte ho úřadům (viz Chraňte se před podvody). Buďte obezřetní vůči každému, kdo nabízí, že vám prostředky vrátí.

• Chraňte se před podvody
• Jak nahlásit phishingový incident?
• Zabezpečení vašeho účtu Kraken a digitálního života
• Zobrazení nebo skrytí tokenů podle reputace (Kraken Wallet)
• Zálohování a zabezpečení vaší Kraken Wallet
• Nejčastější dotazy ke Kraken Wallet
• Chybí vklad v kryptoměně
• Phishingové podvody
• Pozor na počítačový malware
• Přidání a potvrzení nové adresy pro výběr kryptoměny