Il «dust» è una quantità minima di crypto, di solito inferiore alla commissione di rete necessaria per spenderla. Un dusting attack avviene quando qualcuno invia dust a migliaia di indirizzi contemporaneamente, poi monitora la blockchain per vedere cosa fanno quegli indirizzi.
Ricevere dust non concede a nessuno accesso ai tuoi fondi. Il rischio dipende da ciò che fai dopo.
Le blockchain sono pubbliche, quindi chiunque può vedere che un indirizzo ha ricevuto dust. Di per sé, gli indirizzi sono pseudonimi e non collegati a un nome.
Il collegamento avviene nel momento in cui spendi. Se una transazione successiva utilizza il dust insieme ai tuoi fondi – processo noto come consolidamento degli input – quella transazione diventa prova pubblica che la stessa persona controlla entrambi. L'aggressore può quindi raggruppare i tuoi indirizzi e stimare il totale degli asset detenuti. Se un indirizzo di quel gruppo ha interagito con un account di un exchange verificato o con un esercente, il gruppo può essere ricondotto a una vera identità.
Il fenomeno è più evidente su Bitcoin e su altre chain che utilizzano gli Unspent Transaction Output (UTXO), ma la stessa analisi dei pattern si applica anche alle chain basate su account, come Ethereum.
Per de-anonimizzarti. Una volta che un wallet viene collegato a una persona e risulta detenere un saldo elevato, quella persona diventa un bersaglio per spear-phishing, estorsioni o, nelle aree ad alto rischio, minacce fisiche.
Per pubblicizzare una truffa. Il dust arriva spesso sotto forma di token sconosciuto, con un nome, un'immagine o un memo che rimanda a un sito web: "riscatta la tua ricompensa", "hai vinto". Il sito ti chiede di collegare il wallet e approvare una transazione che concede all'attaccante il permesso di spostare i tuoi asset reali.
Per avvelenare il tuo storico delle transazioni. L'attaccante genera un indirizzo i cui primi e ultimi caratteri corrispondono a uno che hai già utilizzato, quindi invia da quell'indirizzo un trasferimento di importo minimo o nullo. L'indirizzo fasullo compare ora nel tuo storico. Se in seguito copi un indirizzo dallo storico anziché dalla fonte originale, i tuoi fondi finiscono all'attaccante. Questa variante, nota come address poisoning, è responsabile delle perdite maggiori.
Non tutto il dust è ostile. Le forze dell'ordine e le autorità fiscali usano il dusting nelle indagini, le società di analisi blockchain per la ricerca, gli sviluppatori per lo stress test o per sovraccaricare i network. Il dust viene anche usato per veicolare messaggi pubblicitari. Dalla sola transazione non è possibile distinguere un caso dall'altro, quindi trattali tutti allo stesso modo.
La crypto detenuta su Kraken è sotto la custodia di Kraken. Il dust inviato a un indirizzo di deposito Kraken non mette a rischio il tuo account, il tuo saldo o le tue credenziali.
Il self-custody è importante perché sei tu a controllare gli indirizzi e a firmare le transazioni.
Per la maggior parte delle persone il dust è una seccatura, non una minaccia. La deanonimizzazione è un rischio soprattutto se detieni un saldo elevato in self-custody o vivi in un contesto di instabilità politica o rischio per la sicurezza personale.
L'address poisoning è diverso. Non dipende dall'entità del tuo saldo e può colpire chiunque copi un indirizzo dallo storico delle transazioni. Verifica l'indirizzo completo a ogni invio.
Ricevere crypto non dà al mittente alcun controllo sul tuo wallet. Nessuno può spostare i tuoi fondi inviandoti una transazione. Le perdite si verificano solo quando firmi qualcosa, approvi un token allowance o invii fondi a un indirizzo che non hai verificato.