Co je dusting attack?

Blockchainy jsou veřejné, takže kdokoli vidí, že adresa obdržela dust. Adresy jsou samy o sobě pseudonymní a nejsou svázány s žádným jménem.

Propojení nastane ve chvíli, kdy prostředky utratíte. Pokud pozdější transakce čerpá zároveň z dustu i z vašich vlastních prostředků – tento postup se označuje jako konsolidace vstupů – stane se tato transakce veřejným důkazem, že obojí ovládá táž osoba. Útočník pak může vaše adresy seskupit a odhadnout výši vašich celkových aktiv. Pokud jakákoli adresa v takovém shluku přišla do styku s ověřeným účtem na burze nebo s obchodníkem, lze celý shluk propojit se skutečnou identitou.

Nejzřetelněji se to projevuje u Bitcoinu a dalších řetězců využívajících nevyužité výstupy transakcí (UTXO), avšak stejná analýza vzorců platí i pro řetězce založené na účtech, jako je Ethereum.

K odhalení vaší identity. Jakmile je peněženka propojena s konkrétní osobou a je zřejmé, že obsahuje vysoký zůstatek, stává se tato osoba cílem spear-phishingu, vydírání nebo – ve vysoce rizikových oblastech – fyzického ohrožení.

K propagaci podvodu. Dust často přichází v podobě neznámého tokenu s názvem, obrázkem nebo poznámkou odkazující na web – „nárokujte svou odměnu", „vyhráli jste". Web vás vyzve k připojení peněženky a schválení transakce, čímž útočníkovi udělíte oprávnění nakládat s vašimi skutečnými aktivy.

K otravě historie transakcí. Útočník vygeneruje adresu, jejíž první a poslední znaky se shodují s adresou, kterou jste již použili, a z ní odešle drobný nebo nulový převod. Podvržená adresa se tak objeví ve vaší historii. Pokud zkopírujete adresu z historie místo z původního zdroje, vaše prostředky skončí u útočníka. Tato varianta, známá jako otrava adres (address poisoning), způsobuje největší ztráty.

Ne každý dust je škodlivý. Dusting využívají orgány činné v trestním řízení a daňové úřady při vyšetřováních, analytické firmy specializované na blockchain pro výzkum a vývojáři ke zátěžovým testům nebo spamování sítí. Dust slouží také k šíření reklamních sdělení. Ze samotné transakce nelze rozlišit, o který případ se jedná – přistupujte proto ke všem stejně.

Krypto uložené na Kraken je v úschově společnosti Kraken. Dust odeslaný na vkladovou adresu Kraken neohrozí váš účet, zůstatek ani přihlašovací údaje.

• Malý neočekávaný vklad neznamená, že byl váš účet narušen.
• Dust nemusíte hlásit ani podnikat žádné kroky k zabezpečení účtu.
• Kraken vás nikdy nevyzve k připojení peněženky, nárokování tokenu ani ke schválení transakce, aby uvolnil vaše prostředky.
• Vklady nižší než minimální výše vkladu pro dané aktivum se na vašem účtu nepřipíší.
• Obchodování s malým zůstatkem na Kraken nebo jeho převod vaše adresy neodhalí. Veškerá konsolidace probíhá uvnitř systémů Kraken, nikoli na blockchainu.
• Každou zprávu, e-mail nebo hovor, který přijde po přijetí dustu, považujte za možný pokus o phishing – zejména pokud se na něj odvolává, aby vzbudil důvěryhodnost.

Vlastní úschova je oblast, kde dusting nejvíce záleží – právě vy totiž kontrolujete adresy a podepisujete transakce.

• Dust nechte být. Neutracejte ho, neprovádějte s ním swap ani ho neslučujte s ostatními prostředky. Neutracený dust nelze použít k propojení vašich adres.
• Označte ho jako „neutrácet", pokud vaše peněženka podporuje správu mincí (coin control). Peněženka pak dust při sestavování budoucí transakce nevybere automaticky.
• Nepracujte s neznámými tokeny ani NFT, které se objeví ve vaší peněžence – nenárokujte je, neprovádějte s nimi swap, neodesílejte je ani je neschvalujte.
• Nikdy nepřipojujte peněženku k webu, na který jste se dostali přes název tokenu, poznámku, airdropovou zprávu nebo výsledek vyhledávání.
• Spamové tokeny skryjte, místo abyste je přesouvali nebo prodávali. V Kraken Wallet použijte nastavení reputace tokenů a odfiltrujte tokeny, které nejsou v seznamu nebo jsou označeny jako spam.
• Před každým odesláním ověřte celou adresu. Zkontrolujte celý řetězec, nejen první a poslední znaky, a zkopírujte ho z původního zdroje – nikdy z historie transakcí.
• Pro každou transakci použijte novou přijímací adresu. Hierarchicky deterministické (HD) peněženky to dělají automaticky – rozloží vaše prostředky napříč mnoha adresami, čímž ztíží shlukovou analýzu. Zvažte oddělené peněženky pro dlouhodobé držení a každodenní použití.
• Nikdy nesdílejte svou tajnou obnovovací frázi. Žádný legitimní nárok, vrácení peněz ani proces podpory ji nevyžaduje. Kraken vás o ni nikdy nepožádá.

Pro většinu lidí je dust spíše obtíž než skutečná hrozba. De-anonymizace je rizikem zejména tehdy, pokud ve vlastní úschově držíte velký zůstatek nebo žijete v místě, kde osobní bezpečnost či politická nestabilita představují reálné obavy.

Otrava adres je jiný případ. Nezávisí na výši vašeho zůstatku a může postihnout každého, kdo kopíruje adresu z historie transakcí. Před každým odesláním ověřte celou adresu.

Přijetí krypta nedává odesílateli žádnou kontrolu nad vaší peněženkou. Nikdo nemůže přesunout vaše prostředky tím, že vám pošle transakci. Ke ztrátám dochází pouze tehdy, když něco podepíšete, schválíte limit tokenu nebo pošlete prostředky na adresu, kterou jste neověřili.

• Přestaňte provádět transakce z dotčené peněženky.
• Odvolejte veškerá povolení tokenů, která jste udělili danému webu nebo kontraktu.
• Pokud jste Secret Recovery Phrase kdekoli zadali nebo exportovali, přesuňte zbývající aktiva do nové peněženky vytvořené s novou Secret Recovery Phrase.
• Nahlaste to Kraken pomocí níže uvedených odkazů.

• Chraňte se před podvody
• Jak nahlásit phishingový incident?
• Zabezpečení vašeho účtu Kraken a digitálního života
• Zobrazení nebo skrytí tokenů podle reputace (Kraken Wallet)
• Zálohování a zabezpečení Kraken Wallet
• Nejčastější dotazy ke Kraken Wallet
• Chybí vklad v kryptoměně