"Dust" is een minimale hoeveelheid crypto, meestal minder waard dan de netwerkkosten om het te versturen. Bij een dusting-aanval stuurt iemand dust naar duizenden adressen tegelijk en volgt vervolgens de blockchain om te zien wat die adressen daarna doen.
Het ontvangen van dust geeft niemand toegang tot je tegoeden. Het risico zit in wat je daarna doet.
Blockchains zijn openbaar, dus iedereen kan zien dat een adres dust heeft ontvangen. Op zichzelf zijn adressen pseudoniem en niet gekoppeld aan een naam.
De koppeling ontstaat zodra je uitgeeft. Als een latere transactie de dust tegelijk met je eigen tegoeden gebruikt – ook wel input-consolidatie genoemd – is die transactie publiek bewijs dat dezelfde persoon beide beheert. De aanvaller kan je adressen vervolgens clusteren en een schatting maken van je totale bezittingen. Als een adres in dat cluster ooit in contact is gekomen met een geverifieerd exchange-account of een handelaar, kan het cluster aan een echte identiteit worden gekoppeld.
Dit is het duidelijkst bij Bitcoin en andere blockchains die gebruikmaken van onbenutte transactie-outputs (UTXO's), maar dezelfde patroonanalyse geldt ook voor account-gebaseerde blockchains zoals Ethereum.
Om je te de-anonimiseren. Zodra een Wallet aan een persoon is gekoppeld en blijkt dat die persoon een groot tegoed aanhoudt, wordt hij een doelwit voor spear-phishing, afpersing of, in risicovolle regio's, fysieke bedreigingen.
Om oplichting te adverteren. Dust komt vaak binnen als een onbekende Token met een naam, afbeelding of memo die verwijst naar een website – "claim je reward", "je hebt gewonnen". De site vraagt je je Wallet te koppelen en een transactie goed te keuren waarmee de aanvaller toestemming krijgt om je echte tegoeden te verplaatsen.
Om je Transactiegeschiedenis te vergiftigen. De aanvaller genereert een adres waarvan de eerste en laatste tekens overeenkomen met een adres dat je al eerder hebt gebruikt, en stuurt daar vervolgens een kleine of waardeloze overdracht vanaf. Het nep-adres staat nu in je geschiedenis. Als je later een adres kopieert uit je geschiedenis in plaats van uit de oorspronkelijke bron, gaan je tegoeden naar de aanvaller. Deze variant, bekend als adresvergiftiging, veroorzaakt de grootste verliezen.
Niet alle dust is kwaadaardig. Opsporingsdiensten en belastingdiensten gebruiken dusting bij onderzoeken, blockchain-analysebedrijven gebruiken het voor onderzoek en ontwikkelaars gebruiken het om netwerken te stresstesten of te spammen. Dust wordt ook gebruikt om reclameboodschappen te verspreiden. Aan de transactie alleen kun je niet zien welk doel de dust dient, dus behandel het altijd op dezelfde manier.
Crypto die je bij Kraken aanhoudt, valt onder bewaring van Kraken. Dust die naar een Kraken-stortingsadres wordt gestuurd, brengt je account, je tegoed of je inloggegevens niet in gevaar.
Bij zelfbewaring is dusting het meest relevant, omdat jij de adressen beheert en de transacties ondertekent.
Voor de meeste mensen is dust een ergernis, geen bedreiging. De-anonimisering is vooral een risico als je een groot tegoed in eigen beheer hebt, of ergens woont waar persoonlijke veiligheid of politieke instabiliteit een punt van zorg is.
Adresvergiftiging werkt anders. Het hangt niet af van de hoogte van je tegoed en treft iedereen die een adres kopieert uit zijn transactiegeschiedenis. Controleer het volledige adres bij elke verzending.
Crypto ontvangen geeft de verzender geen controle over je wallet. Niemand kan je tegoeden verplaatsen door je een transactie te sturen. Verliezen ontstaan alleen als je iets ondertekent, een token-toestemming goedkeurt of tegoeden verstuurt naar een adres dat je niet hebt geverifieerd.