Il "dust" è una quantità minima di crypto, di solito di valore inferiore alla commissione di rete necessaria per spenderla. Un dusting attack si verifica quando qualcuno invia dust a migliaia di indirizzi contemporaneamente, per poi monitorare la blockchain e osservarne le attività successive.
Ricevere dust non consente a nessuno di accedere ai tuoi fondi. Il rischio dipende da ciò che fai in seguito.
Le blockchain sono pubbliche, quindi chiunque può vedere che un indirizzo ha ricevuto dust. Di per sé, gli indirizzi sono pseudonimi e non collegati a un'identità.
Il collegamento avviene nel momento in cui spendi. Se una transazione successiva utilizza il dust insieme ai tuoi fondi – operazione nota come consolidamento degli input – quella transazione diventa la prova pubblica che la stessa persona controlla entrambi. L'attaccante può quindi raggruppare i tuoi indirizzi e stimare il totale dei tuoi asset. Se un indirizzo in quel gruppo ha interagito con un account di exchange verificato o con un esercente, il gruppo può essere ricondotto a un'identità reale.
Questo meccanismo è più evidente su Bitcoin e sulle altre chain che utilizzano gli Unspent Transaction Output (UTXO), ma la stessa analisi dei pattern si applica anche alle chain basate su account, come Ethereum.
Per de-anonimizzarti. Una volta che un wallet è collegato a una persona e si scopre che detiene un saldo elevato, quella persona diventa un bersaglio per spear-phishing, estorsioni o, nelle regioni ad alto rischio, minacce fisiche.
Per pubblicizzare una truffa. Il dust arriva spesso sotto forma di token sconosciuto con nome, immagine o memo che rimanda a un sito — "riscatta la tua ricompensa", "hai vinto". Il sito ti chiede di collegare il wallet e approvare una transazione che concede all'aggressore il permesso di spostare i tuoi asset.
Per avvelenare il tuo storico delle transazioni. L'aggressore invia un trasferimento minimo o di valore zero da un indirizzo simile a uno che usi, sperando che tu lo copi in seguito. Questa variante, nota come address poisoning, è responsabile delle perdite più ingenti. Consulta Come funziona l'address poisoning.
Non tutto il dust è ostile. Le forze dell'ordine e le autorità fiscali ricorrono al dusting nelle indagini, le società di analisi blockchain lo usano per la ricerca e gli sviluppatori per stress test o per sovraccaricare i network. Il dust viene usato anche per veicolare messaggi pubblicitari. Non è possibile distinguere i casi dalla sola transazione: trattali tutti allo stesso modo.
Il fenomeno è particolarmente diffuso con le stablecoin come USDT e USDC. Alcuni malware agiscono in modo simile: sostituiscono l'indirizzo che hai copiato con quello del truffatore nel momento in cui lo incolli. Consulta Attenzione al malware.
La crypto detenuta su Kraken è in custodia di Kraken. Il dust inviato a un indirizzo di deposito Kraken non mette a rischio il tuo account, il tuo saldo o le tue credenziali.
Nel self-custody il dusting è rilevante: sei tu a controllare gli indirizzi e a firmare le transazioni.
Per la maggior parte delle persone, il dust è una seccatura più che una minaccia. La de-anonimizzazione è un rischio soprattutto se detieni un saldo elevato in self-custody o vivi in un contesto in cui la sicurezza personale o l'instabilità politica sono una preoccupazione.
L'address poisoning è diverso. Non dipende dall'entità del tuo saldo e colpisce chiunque copi un indirizzo dallo storico delle transazioni. Verifica l'indirizzo completo a ogni invio.
Ricevere crypto non dà al mittente alcun controllo sul tuo wallet. Nessuno può spostare i tuoi fondi inviandoti una transazione. Le perdite si verificano solo quando firmi qualcosa, approvi un'autorizzazione di token o invii fondi a un indirizzo non verificato.
Le transazioni blockchain non possono essere annullate e Kraken non può recuperare crypto inviata a un indirizzo che non controlla. Segnala la truffa e rivolgiti alle autorità competenti (vedi Proteggiti dalle truffe). Diffida di chiunque si offra di recuperare i fondi.