Le "dust" désigne une infime quantité de crypto, généralement inférieure aux frais de réseau nécessaires pour la dépenser. Une attaque de dusting consiste à envoyer du dust à des milliers d'adresses simultanément, puis à surveiller la blockchain pour observer ce que ces adresses font ensuite.
Recevoir du dust ne donne à personne accès à vos fonds. Le risque vient de ce que vous faites par la suite.
Les blockchains sont publiques : n'importe qui peut voir qu'une adresse a reçu du dust. Prises isolément, les adresses sont pseudonymes et ne sont associées à aucun nom.
Le lien se crée au moment où vous dépensez. Si une transaction ultérieure utilise le dust en même temps que vos propres fonds – ce que l'on appelle la consolidation d'entrées – cette transaction constitue une preuve publique qu'une même personne contrôle les deux. L'attaquant peut alors regrouper vos adresses et estimer le total de vos positions. Si l'une des adresses de ce groupe a été en contact avec un compte de plateforme d'échange vérifié ou un commerçant, l'ensemble peut être rattaché à une identité réelle.
C'est sur le Bitcoin et les autres blockchains utilisant des sorties de transaction non dépensées (UTXO) que ce phénomène est le plus marqué, mais la même analyse de schémas s'applique aux blockchains à base de comptes, comme Ethereum.
Pour vous désanonymiser. Dès qu'un portefeuille est associé à une personne et qu'il est établi qu'il détient un solde important, cette personne devient une cible pour le spear-phishing, l'extorsion, ou – dans les régions à risque élevé – des menaces physiques.
Pour promouvoir une arnaque. La poussière arrive souvent sous la forme d'un token inconnu dont le nom, l'image ou le mémo renvoie vers un site web — "réclamez votre récompense", "vous avez gagné". Le site vous invite à connecter votre portefeuille et à approuver une transaction qui donne à l'attaquant l'autorisation de déplacer vos actifs réels.
Pour empoisonner votre historique des transactions. L'attaquant génère une adresse dont les premiers et derniers caractères correspondent à une adresse que vous avez déjà utilisée, puis effectue un transfert d'un montant infime ou nul depuis celle-ci. Cette adresse sosie apparaît désormais dans votre historique. Si vous copiez ultérieurement une adresse depuis votre historique plutôt que depuis la source d'origine, vos fonds sont envoyés à l'attaquant. Cette variante, connue sous le nom d'empoisonnement d'adresse, est à l'origine des pertes les plus importantes.
La poussière n'est pas toujours malveillante. Les forces de l'ordre et les administrations fiscales utilisent le dusting dans leurs enquêtes, les sociétés d'analyse de blockchain y ont recours à des fins de recherche, et les développeurs s'en servent pour tester la résistance des réseaux ou y envoyer du spam. La poussière sert également à véhiculer des messages publicitaires. Il est impossible de distinguer les uns des autres par la seule transaction : traitez-les tous de la même façon.
Les crypto-monnaies détenues sur Kraken sont sous la garde de Kraken. La poussière envoyée à une adresse de dépôt Kraken ne met pas en danger votre compte, votre solde ou vos identifiants.
Le self-custody est le contexte où le dusting est vraiment risqué, car c'est vous qui contrôlez les adresses et signez les transactions.
Pour la plupart des utilisateurs, la poussière de crypto-monnaies est une gêne, pas une menace. La désanonymisation est principalement un risque si vous détenez un solde important en self-custody, ou si vous vivez dans un contexte où la sécurité personnelle ou l'instabilité politique est une préoccupation.
L'empoisonnement d'adresse est différent. Il ne dépend pas de la taille de votre solde et peut toucher quiconque copie une adresse depuis son historique des transactions. Vérifiez l'adresse complète à chaque envoi.
Recevoir des crypto-monnaies ne donne à l'expéditeur aucun contrôle sur votre portefeuille. Personne ne peut déplacer vos fonds en vous envoyant une transaction. Des pertes ne surviennent que si vous signez quelque chose, approuvez une autorisation de dépense de token ou envoyez des fonds vers une adresse non vérifiée.