¿Qué es un ataque de dusting?

Las blockchains son públicas, por lo que cualquiera puede ver que una dirección ha recibido dust. Por sí solas, las direcciones son seudónimas y no están vinculadas a ningún nombre.

El vínculo se establece cuando gastas. Si una transacción posterior utiliza el dust a la vez que tus propios fondos (lo que se conoce como consolidación de entradas), esa transacción es prueba pública de que la misma persona controla ambos. El atacante puede entonces agrupar tus direcciones y estimar el total de tus tenencias. Si alguna dirección de ese grupo ha interactuado con una cuenta de exchange verificada o con un comerciante, el grupo puede vincularse a una identidad real.

Esto es más evidente en Bitcoin y otras cadenas que utilizan salidas de transacción no gastadas (UTXOs), aunque el mismo análisis de patrones se aplica a cadenas basadas en cuentas, como Ethereum.

Para desanonimizarte. Una vez que un monedero se vincula a una persona y se comprueba que tiene un saldo elevado, esa persona se convierte en objetivo de spear-phishing, extorsión o, en regiones de alto riesgo, amenazas físicas.

Para promocionar una estafa. El dust suele llegar como un token desconocido con un nombre, imagen o memo que apunta a un sitio web: "reclama tu recompensa", "has ganado". El sitio te pide que conectes tu monedero y apruebes una transacción que otorga al atacante permiso para mover tus activos reales.

Para envenenar tu historial de transacciones. El atacante genera una dirección cuyos primeros y últimos caracteres coinciden con una que ya has utilizado, y luego envía desde ella una transferencia de importe mínimo o cero. La dirección falsa queda registrada en tu historial. Si más adelante copias una dirección de tu historial en lugar de la fuente original, tus fondos irán a parar al atacante. Esta variante, conocida como envenenamiento de direcciones, es la que mayores pérdidas ocasiona.

No todo el dust es malicioso. Las fuerzas del orden y las agencias tributarias emplean el dusting en investigaciones, las empresas de análisis de blockchain lo utilizan para investigación, y los desarrolladores lo usan para realizar pruebas de estrés o spam en las redes. El dust también se utiliza para difundir mensajes publicitarios. No es posible distinguir unos de otros a partir de la transacción, así que trátalos todos de la misma manera.

La cripto depositada en Kraken está bajo la custodia de Kraken. El dust enviado a una dirección de depósito de Kraken no pone en riesgo tu cuenta, tu saldo ni tus credenciales.

• Un depósito inesperado de pequeño importe no indica que tu cuenta haya sido comprometida.
• No necesitas notificar el dust ni tomar ninguna medida para proteger tu cuenta.
• Kraken nunca te pedirá que conectes un monedero, reclames un token ni apruebes una transacción para liberar fondos.
• Los depósitos por debajo del importe mínimo para ese activo no se abonarán en tu cuenta.
• El trading o la conversión de un saldo pequeño en Kraken no expone tus direcciones. Cualquier consolidación ocurre dentro de los sistemas de Kraken, no en la blockchain.
• Trata cualquier mensaje, email o llamada que llegue tras un depósito de dust como un posible intento de phishing, especialmente si hace referencia al depósito para ganar credibilidad.

La autocustodia es donde el dusting cobra importancia, porque tú controlas las direcciones y firmas las transacciones.

• No toques el dust. No lo gastes, hagas swap ni lo consolides con tus otros fondos. El dust no gastado no puede usarse para vincular tus direcciones.
• Márcalo como "no gastar" si tu monedero tiene control de monedas. Así evitas que el monedero seleccione el dust automáticamente al construir una transacción futura.
• No interactúes con tokens o NFT desconocidos que aparezcan en tu monedero: sin reclamarlos, hacer swap, enviarlos ni aprobarlos.
• No conectes nunca tu monedero a un sitio al que hayas llegado desde el nombre de un token, un memo, un mensaje de airdrop o un resultado de búsqueda.
• Oculta los tokens de spam en lugar de intentar moverlos o venderlos. En Kraken Wallet, usa la configuración de reputación de tokens para filtrar los que no estén listados o estén marcados como spam.
• Verifica la dirección completa cada vez que envíes. Comprueba la cadena completa, no solo los primeros y últimos caracteres, y cópiala de la fuente original; nunca de tu historial de transacciones.
• Usa una dirección de recepción nueva para cada transacción. Los monederos deterministas jerárquicos (HD) lo hacen automáticamente, lo que distribuye tus tenencias entre muchas direcciones y dificulta el clustering. Considera usar monederos separados para las tenencias a largo plazo y la actividad del día a día.
• No compartas nunca tu Frase de Recuperación Secreta. Ningún proceso legítimo de reclamación, devolución o soporte la requiere. Kraken jamás te la pedirá.

Para la mayoría de las personas, el dust es una molestia, no una amenaza. La desanonimización es principalmente un riesgo si tienes un saldo elevado en autocustodia o vives en un lugar donde la seguridad personal o la inestabilidad política son una preocupación.

El envenenamiento de direcciones es diferente. No depende del tamaño de tu saldo y puede afectar a cualquiera que copie una dirección de su historial de transacciones. Verifica la dirección completa antes de cada envío.

Recibir cripto no le da al remitente ningún control sobre tu monedero. Nadie puede mover tus fondos enviándote una transacción. Las pérdidas solo se producen cuando firmas algo, autorizas un permiso de token o envías fondos a una dirección que no has verificado.

• Deja de realizar transacciones desde el monedero afectado.
• Revoca cualquier permiso de token que hayas concedido al sitio o contrato.
• Si has introducido o exportado tu Frase de Recuperación Secreta en algún lugar, mueve tus activos restantes a un nuevo monedero creado con una nueva Frase de Recuperación Secreta.
• Infórmalo a Kraken mediante los enlaces que encontrarás a continuación.

• Protéjase de las estafas
• ¿Cómo denuncio un incidente de phishing?
• Protección de su cuenta de Kraken y su vida digital
• Mostrar u ocultar tokens según su reputación (Kraken Wallet)
• Copia de seguridad y protección de tu Kraken Wallet
• Preguntas frecuentes de Kraken Wallet
• Depósito faltante de criptomoneda