Czym jest atak dust?

Blockchainy są publiczne, więc każdy może sprawdzić, że dany adres otrzymał dust. Adresy same w sobie są pseudonimowe i nie są powiązane z żadną tożsamością.

Połączenie powstaje w momencie wydania środków. Jeśli późniejsza transakcja wykorzystuje dust razem z własnymi środkami użytkownika – co określa się mianem konsolidacji wejść – stanowi to publiczny dowód, że ta sama osoba kontroluje oba adresy. Atakujący może wówczas pogrupować Twoje adresy i oszacować łączną wartość posiadanych aktywów. Jeśli którykolwiek adres w tej grupie miał kontakt z zweryfikowanym kontem giełdowym lub sprzedawcą, cała grupa może zostać powiązana z prawdziwą tożsamością.

Najwyraźniej widać to na Bitcoin i innych sieciach korzystających z niewydanych wyjść transakcji (UTXO), jednak ta sama analiza wzorców dotyczy sieci opartych na kontach, takich jak Ethereum.

Aby cię zdeanonimizować. Gdy portfel zostanie powiązany z konkretną osobą i okaże się, że ma duże saldo, staje się ona celem spear-phishingu, wymuszeń, a w regionach podwyższonego ryzyka – również zagrożeń fizycznych.

Aby reklamować oszustwo. Dust często pojawia się jako nieznany token z nazwą, grafiką lub memo wskazującym na stronę internetową – „odbierz swoją nagrodę", „wygrałeś". Strona prosi o podłączenie portfela i zatwierdzenie transakcji, która daje atakującemu uprawnienia do przenoszenia twoich aktywów.

Aby zatruć historię transakcji. Atakujący wysyła przelew o znikomej lub zerowej wartości z adresu łudząco podobnego do jednego z twoich, licząc, że go skopiujesz. Ten wariant, znany jako zatrucie adresu (address poisoning), powoduje największe straty. Zobacz Jak działa zatrucie adresu.

Nie każdy dust jest złośliwy. Organy ścigania i urzędy skarbowe stosują dusting w dochodzeniach, firmy analityczne blockchain – w badaniach, a deweloperzy – do testów obciążeniowych lub zalewania sieci spamem. Dust bywa też wykorzystywany do rozsyłania komunikatów reklamowych. Na podstawie samej transakcji nie da się ustalić, czym jest dany dust – traktuj każdy z nich jednakowo.

1. Oszust obserwuje publiczną aktywność na blockchainie i namierza adres, na który regularnie wysyłasz środki.
2. Tworzy adres, który zaczyna się i kończy takimi samymi znakami jak twój. Większość portfeli i aplikacji wyświetla jedynie początek i koniec adresu, więc oba wyglądają identycznie.
3. Oszust wysyła z tego adresu drobną kwotę, przelew o zerowej wartości lub fałszywy token – tak, by pojawił się w twojej historii transakcji.
4. Przy następnym wysyłaniu kopiujesz adres z historii i twoje krypto trafia do oszusta.

Zjawisko to jest szczególnie powszechne w przypadku stablecoinów, takich jak USDT i USDC. Niektóre malware działa podobnie: podmienia adres skopiowany przez ciebie na adres oszusta w momencie wklejania. Zobacz Uwaga na malware.

Krypto przechowywane na Kraken pozostaje w powiernictwie Kraken. Dust wysłany na adres wpłaty Kraken nie zagraża Twojemu kontu, saldu ani danym uwierzytelniającym.

• Mała nieoczekiwana wpłata nie jest oznaką naruszenia bezpieczeństwa konta.
• Nie musisz zgłaszać dustu ani podejmować żadnych działań w celu zabezpieczenia konta.
• Wpłaty poniżej minimalnej kwoty wpłaty dla danego aktywa nie zostaną zaksięgowane na Twoim koncie.
• Handel lub konwersja małego salda na Kraken nie ujawnia Twoich adresów. Wszelka konsolidacja odbywa się wewnątrz systemów Kraken, nie na blockchainie.
• Każdą wiadomość, e-mail lub telefon po wpłacie dustu traktuj jako możliwą próbę phishingu – zwłaszcza jeśli odwołuje się do tej wpłaty, aby uwiarygodnić przekaz.
• Sprawdź, na jaki adres wypłacasz środki. Zatruwanie adresów może Cię jednak dosięgnąć podczas wypłat z Kraken. Skopiuj adres docelowy z oryginalnego źródła – nie z historii transakcji portfela – i zweryfikuj cały adres. Regularnie używane adresy zapisz w adresach wypłaty po ich weryfikacji. Zobacz: Dodawanie i potwierdzanie nowego adresu wypłaty kryptowaluty.

Samodzielne przechowywanie to obszar, w którym ataki dust mają znaczenie – kontrolujesz adresy i podpisujesz transakcje.

• Zostaw dust w spokoju. Nie wydawaj go, nie wykonuj na nim swapów ani nie łącz z innymi środkami. Niewydany dust nie może posłużyć do powiązania Twoich adresów.
• Oznacz go jako „nie wydawaj", jeśli Twój portfel obsługuje kontrolę monet (coin control). Dzięki temu portfel nie wybierze tego dust automatycznie podczas budowania przyszłej transakcji.
• Nie wchodź w interakcje z nieznanymi tokenami ani NFT pojawiającymi się w portfelu – nie odbieraj, nie zamieniaj (swap), nie wysyłaj i nie zatwierdzaj.
• Nigdy nie łącz portfela ze stroną, do której trafiłeś z nazwy tokena, memo, wiadomości airdrop lub wyników wyszukiwania.
• Ukryj tokeny spam zamiast próbować je przenosić lub sprzedawać. W Kraken Wallet skorzystaj z ustawień reputacji tokenów, aby odfiltrować tokeny nieznajdujące się na liście lub oznaczone jako spam.
• Weryfikuj pełny adres przy każdym wysyłaniu. Sprawdzaj cały ciąg znaków – nie tylko pierwsze i ostatnie znaki – i kopiuj go z oryginalnego źródła, nigdy z historii transakcji.
• Ostrożnie z transakcjami testowymi. Nawet niewielka transakcja testowa może wywołać atak zatruwania adresów. Gdy transakcja testowa dotrze, i tak kopiuj adres z oryginalnego źródła, a nie z historii.
• Używaj nowego adresu odbiorczego do każdej transakcji. Portfele hierarchiczne deterministyczne (HD) robią to automatycznie – rozkładają posiadane aktywa między wiele adresów, co utrudnia ich grupowanie. Rozważ prowadzenie osobnych portfeli: jednego do długoterminowego przechowywania aktywów i drugiego do bieżących operacji.
• Nigdy nie udostępniaj swojej frazy seed (zwanej też frazą odzyskiwania). Żaden legalny proces – odebranie nagrody, zwrot środków ani obsługa wsparcia – nie wymaga jej podania. Kraken nigdy nie poprosi Cię o jej podanie.

• Podawać nazwy użytkownika, hasła, kodów 2FA ani klucza głównego.
• Udostępniać ani przekazywać e-maila z zatwierdzeniem urządzenia ani linku zawartego w takim e-mailu.
• Podawać frazy seed (nazywanej też frazą odzyskiwania) do żadnego portfela.
• Usuwać ani zmieniać 2FA, klucza głównego ani blokady ustawień globalnych (GSL) – chyba że to Ty skontaktował(-a) się z nami w tej sprawie za pośrednictwem oficjalnych kanałów wsparcia.
• Instalowanie oprogramowania do zdalnego dostępu, np. AnyDesk lub TeamViewer. Zobacz Ryzyko związane z oprogramowaniem do zdalnego dostępu.
• Wysyłać krypto ani przenosić środków do „bezpiecznego" portfela lub adresu.
• Wysyłać płatności w celu odblokowania, odmrożenia ani „weryfikacji" środków.

Dla większości osób dust to uciążliwość, a nie zagrożenie. De-anonimizacja stanowi ryzyko głównie wtedy, gdy przechowujesz duże saldo w ramach samodzielnego przechowywania albo mieszkasz w miejscu, gdzie bezpieczeństwo osobiste lub niestabilność polityczna są realnym problemem.

Zatrucie adresu to zupełnie inny rodzaj zagrożenia. Nie zależy od wielkości salda i działa na każdego, kto kopiuje adres z historii transakcji. Weryfikuj pełny adres przed każdym wysłaniem.

Otrzymanie krypto nie daje nadawcy żadnej kontroli nad Twoim portfelem. Nikt nie może ruszyć Twoich środków, wysyłając Ci transakcję. Straty zdarzają się wyłącznie wtedy, gdy podpiszesz coś, zatwierdzisz limit tokena lub wyślesz środki na niezweryfikowany adres.

• Wstrzymaj wszelkie transakcje z portfela, którego dotyczy problem.
• Cofnij wszelkie uprawnienia tokenów nadane tej stronie lub kontraktowi.
• Jeśli gdziekolwiek wpisałeś lub wyeksportowałeś swoją frazę seed, przenieś pozostałe środki do nowego portfela utworzonego z nową frazą seed.
• Zgłoś oszustwo. Jeśli ktoś mógł uzyskać dostęp do Twojego Konta Kraken, skontaktuj się niezwłocznie z Działem Wsparcia Kraken przez ten formularz i odpowiedz na pytania zgodnie z prawdą, podając jak najwięcej szczegółów.

Transakcji na blockchainie nie można cofnąć, a Kraken nie jest w stanie odzyskać krypto wysłanego na adres, który nie jest przez niego kontrolowany. Zgłoś oszustwo i powiadom organy ścigania (zob. Chroń się przed oszustwami). Zachowaj ostrożność wobec osób oferujących odzyskanie środków.

• Chroń się przed oszustwami
• Jak zgłosić incydent phishingowy?
• Zabezpieczanie konta Kraken i cyfrowego życia
• Pokazywanie i ukrywanie tokenów na podstawie reputacji (Kraken Wallet)
• Tworzenie kopii zapasowej i zabezpieczanie portfela Kraken Wallet
• Kraken Wallet — często zadawane pytania
• Brak wpłaty kryptowaluty
• Oszustwa phishingowe
• Uważaj na malware
• Dodawanie i potwierdzanie nowego adresu do wypłat kryptowalut