"Dust" is een minimale hoeveelheid crypto, doorgaans minder waard dan de netwerkkosten om het te versturen. Bij een dusting-aanval stuurt iemand dust naar duizenden adressen tegelijk en volgt vervolgens de blockchain om te zien wat die adressen doen.
Het ontvangen van dust geeft niemand toegang tot je tegoeden. Het risico zit in wat je daarna doet.
Blockchains zijn openbaar, dus iedereen kan zien dat een adres dust heeft ontvangen. Op zichzelf zijn adressen pseudoniem en niet aan een naam gekoppeld.
De koppeling ontstaat op het moment dat je uitgeeft. Als een latere transactie tegelijkertijd de dust en je eigen tegoeden gebruikt – ook wel input-consolidatie genoemd – is die transactie het publieke bewijs dat dezelfde persoon beide beheert. De aanvaller kan je adressen vervolgens clusteren en een schatting maken van je totale bezittingen. Als een adres in dat cluster in aanraking is gekomen met een geverifieerd Exchange-account of een merchant, kan het cluster aan een echte identiteit worden gekoppeld.
Dit is het duidelijkst bij Bitcoin en andere chains die gebruikmaken van onbenutte transactie-outputs (UTXO's), maar dezelfde patroonanalyse geldt ook voor op accounts gebaseerde chains zoals Ethereum.
Om je anonimiteit te doorbreken. Zodra een wallet aan een persoon wordt gekoppeld en blijkt dat die een groot tegoed bezit, wordt diezelfde persoon een doelwit voor spear-phishing, afpersing of – in risicogebieden – fysieke bedreigingen.
Om een scam te promoten. Dust komt vaak binnen als een onbekende token met een naam, afbeelding of memo die verwijst naar een website – "claim je reward", "je hebt gewonnen". De site vraagt je je wallet te koppelen en een transactie goed te keuren waarmee de aanvaller toestemming krijgt om je echte assets te verplaatsen.
Om je transactiegeschiedenis te vergiftigen. De aanvaller verstuurt een minuscule of waardeloze overboeking vanaf een adres dat sterk lijkt op een adres dat jij gebruikt, in de hoop dat je het later kopieert. Deze variant, bekend als address poisoning, veroorzaakt de grootste verliezen. Zie Hoe address poisoning werkt.
Niet alle dust is kwaadaardig. Opsporingsdiensten en belastingdiensten gebruiken dusting bij onderzoeken, blockchain-analysebedrijven voor onderzoeksdoeleinden en ontwikkelaars om netwerken te stresstesten of te spammen. Dust wordt ook gebruikt om reclameboodschappen te verspreiden. Op basis van de transactie alleen kun je niet zien welk doel het heeft, dus behandel alles op dezelfde manier.
Dit komt vooral veel voor bij stablecoins zoals USDT en USDC. Sommige malware doet iets vergelijkbaars: het vervangt een gekopieerd adres door dat van de oplichter op het moment dat je het plakt. Zie Pas op voor computermalware.
Crypto die je bij Kraken aanhoudt, valt onder de bewaring van Kraken. Dust naar een Kraken-stortingsadres brengt je account, tegoed of inloggegevens niet in gevaar.
Zelfbewaring is waar dusting ertoe doet, omdat jij de adressen beheert en de transacties ondertekent.
Voor de meeste mensen is dust een ergernis, geen bedreiging. De-anonimisering is vooral een risico als je een groot tegoed in eigen beheer hebt, of als je woont in een regio waar persoonlijke veiligheid of politieke instabiliteit een rol speelt.
Address poisoning werkt anders. Het hangt niet af van de grootte van je tegoed en kan iedereen treffen die een adres kopieert uit de Transactiegeschiedenis. Controleer het volledige adres bij elke verzending.
Crypto ontvangen geeft de verzender geen controle over je Wallet. Niemand kan je tegoeden verplaatsen door je een transactie te sturen. Verlies ontstaat alleen als je iets ondertekent, een token-toestemming verleent of tegoeden stuurt naar een adres dat je niet hebt geverifieerd.
Blockchain-transacties kunnen niet worden teruggedraaid en Kraken kan geen crypto terughalen die is verstuurd naar een adres dat het niet beheert. Meld de oplichting bij de bevoegde instanties (zie Bescherm jezelf tegen oplichting). Wees op je hoede voor iedereen die aanbiedt het terug te halen.