¿Qué es un ataque de dusting?

Las blockchains son públicas, por lo que cualquiera puede ver que una dirección ha recibido dust. Por sí solas, las direcciones son seudónimas y no están vinculadas a ningún nombre.

El vínculo se establece cuando gastas. Si una transacción posterior utiliza el dust al mismo tiempo que tus propios fondos (lo que se conoce como consolidación de entradas), esa transacción es prueba pública de que la misma persona controla ambos. A partir de ahí, el atacante puede agrupar tus direcciones y estimar tus tenencias totales. Si alguna dirección de ese grupo ha interactuado con una cuenta de exchange verificada o con un comercio, el grupo puede vincularse a una identidad real.

Esto se aprecia con mayor claridad en Bitcoin y otras cadenas que usan salidas de transacción no gastadas (UTXOs), aunque el mismo análisis de patrones se aplica a cadenas basadas en cuentas, como Ethereum.

Para desanonimizarte. Una vez que se vincula un monedero a una persona y se comprueba que tiene un saldo elevado, esa persona se convierte en objetivo de spear-phishing, extorsión o, en regiones de alto riesgo, amenazas físicas.

Para publicitar una estafa. El dust suele llegar como un token desconocido con nombre, imagen o memo que apunta a un sitio web: "reclama tu recompensa", "has ganado". El sitio te pide que conectes tu monedero y apruebes una transacción que otorga al atacante permiso para mover tus activos reales.

Para envenenar tu historial de transacciones. El atacante envía una transferencia de valor mínimo o nulo desde una dirección que imita a una que usas habitualmente, con la esperanza de que la copies más adelante. Esta variante, conocida como envenenamiento de direcciones, es la que genera las mayores pérdidas. Consulta Cómo funciona el envenenamiento de direcciones.

No todo el polvo es malintencionado. Las fuerzas del orden y las agencias tributarias emplean el dusting en sus investigaciones, las empresas de análisis de blockchain lo usan para investigación, y los desarrolladores lo utilizan para hacer pruebas de estrés o para enviar spam a las redes. El polvo también se utiliza para transmitir mensajes publicitarios. No es posible distinguir unos de otros a partir de la transacción por sí sola, así que trátalos todos de la misma manera.

1. El estafador monitoriza la actividad pública de la blockchain y localiza una dirección a la que envías con regularidad.
2. Crea una dirección que empieza y termina con los mismos caracteres que la tuya. La mayoría de los monederos y aplicaciones solo muestran el inicio y el final de una dirección, por lo que ambas parecen idénticas.
3. Envía una cantidad mínima, una transferencia de valor cero o un token falso desde esa dirección para que aparezca en tu historial de transacciones.
4. La próxima vez que hagas un envío, copias la dirección de tu historial y tu cripto acaba en manos del estafador.

Es especialmente frecuente con stablecoins como USDT y USDC. Algunos tipos de malware actúan de forma similar: sustituyen la dirección que has copiado por la del estafador en el momento de pegarla. Consulta Cuidado con el malware.

La cripto en Kraken está bajo la custodia de Kraken. El polvo enviado a una dirección de depósito de Kraken no pone en riesgo tu cuenta, tu saldo ni tus credenciales.

• Un depósito pequeño e inesperado no es señal de que tu cuenta haya sido comprometida.
• No es necesario notificar el polvo ni tomar ninguna medida para proteger tu cuenta.
• Los depósitos por debajo del importe mínimo para ese activo no se acreditarán en tu cuenta.
• El trading o la conversión de un saldo pequeño custodiado en Kraken no expone tus direcciones. Cualquier consolidación ocurre dentro de los sistemas de Kraken, no en la blockchain.
• Trata cualquier mensaje, email o llamada que llegue tras un depósito de polvo como un posible intento de phishing, especialmente si hace referencia al depósito para parecer legítimo.
• Comprueba adónde estás retirando. El envenenamiento de direcciones puede seguir afectarte cuando retiras fondos de Kraken. Copia la dirección de destino desde su fuente original, no desde el historial de transacciones de un monedero, y verifica la dirección completa. Guarda las direcciones que uses con frecuencia en tus direcciones de retiro, una vez verificadas. Consulta Cómo añadir y confirmar una nueva dirección de retiro de criptomonedas.

La autocustodia es donde el dusting importa de verdad, porque tú controlas las direcciones y firmas las transacciones.

• No toques el dust. No lo gastes, no hagas swap ni lo consolides con el resto de tus fondos. El dust que no se gasta no puede usarse para vincular tus direcciones.
• Márcalo como "no gastar" si tu monedero tiene control de monedas. Así evitas que el monedero seleccione el dust automáticamente al construir una transacción futura.
• No interactúes con tokens o NFTs desconocidos que aparezcan en tu monedero: sin reclamar, sin hacer swap, sin enviar ni aprobar.
• Nunca conectes tu monedero a un sitio al que hayas llegado desde el nombre de un token, un memo, un mensaje de airdrop o un resultado de búsqueda.
• Oculta los tokens spam en lugar de intentar moverlos o venderlos. En Kraken Wallet, usa los ajustes de reputación de token para filtrar los tokens que no estén listados o estén marcados como spam.
• Verifica la dirección completa cada vez que envíes. Comprueba toda la cadena de caracteres, no solo el principio y el final, y cópiala desde la fuente original, nunca desde tu historial de transacciones.
• Ten cuidado con las transacciones de prueba. Incluso una prueba pequeña puede desencadenar un envenenamiento. Cuando llegue la transacción de prueba, copia igualmente la dirección desde la fuente original, no desde tu historial.
• Usa una dirección de recepción nueva para cada transacción. Los monederos deterministas jerárquicos (HD) hacen esto de forma automática, lo que distribuye tus tenencias entre muchas direcciones y dificulta el clustering. Considera mantener monederos separados para las tenencias a largo plazo y la actividad diaria.
• Nunca compartas tu frase semilla (también llamada frase de recuperación). Ningún proceso legítimo de reclamación, devolución o soporte la requiere. Kraken nunca te la pedirá.

• Compartir tu nombre de usuario, contraseña, códigos 2FA o clave maestra.
• Compartir o reenviar un email de autorización de dispositivo, o el enlace que contiene.
• Compartir tu frase semilla (también llamada frase de recuperación), de cualquier monedero.
• Eliminar o cambiar tu 2FA, clave maestra o Bloqueo global de configuración (GSL), salvo que hayas contactado con nosotros primero para obtener ayuda a través de nuestros canales oficiales.
• Instala software de acceso remoto como AnyDesk o TeamViewer. Consulta Riesgos del software de acceso remoto.
• Enviar cripto ni mover tus fondos a un monedero o dirección "seguro" o "de confianza".
• Realizar un pago para liberar, desbloquear o "verificar" tus fondos.

Para la mayoría de las personas, el dust es una molestia más que una amenaza. La desanonimización es principalmente un riesgo si tienes un saldo elevado en autocustodia o vives en un lugar donde la seguridad personal o la inestabilidad política son una preocupación.

El envenenamiento de direcciones es diferente. No depende del tamaño de tu saldo y afecta a cualquiera que copie una dirección de su historial de transacciones. Verifica la dirección completa en cada envío.

Recibir cripto no otorga al remitente ningún control sobre tu monedero. Nadie puede mover tus fondos enviándote una transacción. Las pérdidas solo se producen cuando firmas algo, apruebas un permiso de token o envías fondos a una dirección que no has verificado.

• Deja de realizar transacciones desde el monedero afectado.
• Revoca cualquier aprobación de token que hayas concedido al sitio o contrato.
• Si introdujiste o exportaste tu frase semilla en algún lugar, transfiere tus activos restantes a un nuevo monedero creado con una nueva frase semilla.
• Denuncia la estafa. Si alguien pudiera tener acceso a tu cuenta de Kraken, contacta con la Atención al cliente de Kraken de inmediato mediante este formulario y responde a las preguntas con sinceridad y con el mayor detalle posible.

Las transacciones en blockchain no se pueden revertir y Kraken no puede recuperar cripto enviada a una dirección que no controla. Denuncia la estafa y notifícala a las autoridades (consulta Protégete de las estafas). Desconfía de cualquiera que se ofrezca a recuperarla.

• Protéjase de las estafas
• ¿Cómo denuncio un incidente de phishing?
• Protección de su cuenta de Kraken y su vida digital
• Mostrar u ocultar tokens según su reputación (Kraken Wallet)
• Copia de seguridad y protección de tu Kraken Wallet
• Preguntas frecuentes de Kraken Wallet
• Depósito faltante de criptomoneda
• Estafas de phishing
• Cuidado con el software malicioso
• Agregar y confirmar una nueva dirección de retiro para criptomonedas