Le "dust" désigne une infime quantité de crypto, généralement d'une valeur inférieure aux frais de réseau nécessaires pour la dépenser. Une attaque de dusting consiste à envoyer du dust à des milliers d'adresses simultanément, puis à surveiller la blockchain pour observer les transactions suivantes.
Recevoir du dust ne donne à personne accès à vos fonds. Le risque vient de ce que vous faites ensuite.
Les blockchains sont publiques : n'importe qui peut constater qu'une adresse a reçu du dust. Prises isolément, les adresses sont pseudonymes et ne sont rattachées à aucune identité.
Le lien se crée au moment où vous dépensez. Si une transaction ultérieure utilise le dust en même temps que vos propres fonds — c'est ce que l'on appelle la consolidation d'entrées — cette transaction constitue une preuve publique qu'une seule et même personne contrôle les deux adresses. L'attaquant peut alors regrouper vos adresses et estimer le total de vos positions. Si l'une des adresses de ce groupe a été en contact avec un compte vérifié sur une plateforme d'échange ou avec un commerçant, l'ensemble peut être rattaché à une identité réelle.
Ce mécanisme est particulièrement visible sur le Bitcoin et les autres blockchains qui utilisent les sorties de transaction non dépensées (UTXOs), mais la même analyse de patterns s'applique aux blockchains à base de comptes, comme Ethereum.
Pour vous désanonymiser. Une fois qu'un portefeuille est associé à une personne et qu'il affiche un solde important, cette personne devient une cible pour le spear-phishing, l'extorsion, ou dans les régions à risque élevé, des menaces physiques.
Pour promouvoir une arnaque. La poussière arrive souvent sous la forme d'un token inconnu dont le nom, l'image ou le mémo renvoie vers un site web — "réclamez votre récompense", "vous avez gagné". Le site vous invite à connecter votre portefeuille et à approuver une transaction qui accorde à l'attaquant l'autorisation de déplacer vos actifs réels.
Pour empoisonner votre historique des transactions. L'attaquant envoie un transfert de faible valeur ou de valeur nulle depuis une adresse imitant l'une de celles que vous utilisez, en espérant que vous la copiiez ultérieurement. Cette variante, connue sous le nom d'empoisonnement d'adresse, est à l'origine des pertes les plus importantes. Consultez Comment fonctionne l'empoisonnement d'adresse.
La poussière n'est pas toujours malveillante. Les forces de l'ordre et les administrations fiscales y ont recours dans le cadre d'enquêtes, les sociétés d'analyse blockchain l'utilisent à des fins de recherche, et les développeurs s'en servent pour tester la robustesse des réseaux ou les saturer. La poussière est également utilisée pour véhiculer des messages publicitaires. La seule transaction ne permet pas de faire la distinction — traitez-les toutes de la même façon.
Ce type d'attaque est particulièrement répandu avec les stablecoins tels que USDT et USDC. Certains logiciels malveillants procèdent de façon similaire : ils remplacent l'adresse que vous avez copiée par celle de l'escroc au moment où vous la collez. Consultez Méfiez-vous des logiciels malveillants.
La crypto détenue sur Kraken est conservée sous la garde de Kraken. La poussière envoyée à une adresse de dépôt Kraken ne compromet pas votre compte, votre solde ni vos identifiants.
Le self-custody est le contexte où le dusting représente un vrai risque, car c'est vous qui contrôlez les adresses et signez les transactions.
Pour la plupart des gens, le dust est une nuisance plutôt qu'une menace. La désanonymisation est principalement un risque si vous détenez un solde important en self-custody, ou si vous vivez dans un contexte où la sécurité personnelle ou l'instabilité politique est une préoccupation.
L'empoisonnement d'adresse est différent. Il ne dépend pas du montant de votre solde et peut toucher quiconque copie une adresse depuis son historique des transactions. Vérifiez l'adresse complète à chaque envoi.
Recevoir de la crypto ne donne à l'expéditeur aucun contrôle sur votre portefeuille. Personne ne peut transférer vos fonds en vous envoyant une transaction. Des pertes ne surviennent que si vous signez quelque chose, approuvez une autorisation de token ou envoyez des fonds à une adresse non vérifiée.
Les transactions blockchain sont irréversibles, et Kraken ne peut pas récupérer de la crypto envoyée à une adresse qu'il ne contrôle pas. Signalez l'arnaque aux autorités compétentes (voir Se protéger des arnaques). Méfiez-vous de quiconque propose de récupérer vos fonds.