Czym jest atak dusting?

„Dust" to znikoma ilość krypto, zazwyczaj o wartości niższej niż opłata sieciowa potrzebna do jej wydania. Atak dusting polega na wysłaniu dust do tysięcy adresów jednocześnie, a następnie monitorowaniu blockchaina w celu śledzenia dalszych działań tych adresów.

Otrzymanie dust nie daje nikomu dostępu do twoich środków. Ryzyko wiąże się z tym, co zrobisz później.

Blockchainy są publiczne, więc każdy może zobaczyć, że dany adres otrzymał dust. Same w sobie adresy są pseudonimowe i nie są powiązane z żadną tożsamością.

Powiązanie powstaje w momencie wydania środków. Jeśli późniejsza transakcja korzysta jednocześnie z dust i twoich własnych środków – proces znany jako konsolidacja wejść – stanowi publiczny dowód na to, że obie kontroluje ta sama osoba. Atakujący może wtedy pogrupować twoje adresy i oszacować łączną wartość posiadanych aktywów. Jeśli którykolwiek adres w tej grupie był użyty na zweryfikowanym koncie giełdy lub u sprzedawcy, całą grupę można powiązać z prawdziwą tożsamością.

Najlepiej widać to w przypadku Bitcoin i innych sieci wykorzystujących niewydane wyjścia transakcji (UTXO), ale ta sama analiza wzorców dotyczy też sieci opartych na kontach, takich jak Ethereum.

Aby Cię zidentyfikować. Gdy portfel zostanie powiązany z konkretną osobą i okaże się, że przechowuje duże saldo, osoba ta staje się celem spear-phishingu, szantażu, a w regionach wysokiego ryzyka – również fizycznych zagrożeń.

Aby promować oszustwo. Dust często pojawia się w postaci nieznanego tokena z nazwą, obrazem lub memo wskazującym na stronę internetową – „odbierz swoją nagrodę", „wygrałeś". Strona prosi o podłączenie portfela i zatwierdzenie transakcji, która daje atakującemu uprawnienia do przeniesienia Twoich rzeczywistych aktywów.

Aby zatruć Twoją historię transakcji. Atakujący generuje adres, którego pierwsze i ostatnie znaki są identyczne jak adres, którego już używałeś, a następnie wysyła z niego przelew na minimalną lub zerową kwotę. Podrobiony adres trafia teraz do Twojej historii. Jeśli później skopiujesz adres z historii zamiast z pierwotnego źródła, Twoje środki trafią do atakującego. Ten wariant, znany jako zatrucie adresu (address poisoning), powoduje największe straty.

Nie każdy dust jest wrogi. Organy ścigania i urzędy skarbowe stosują dusting w dochodzeniach, firmy analityczne blockchain – w badaniach, a deweloperzy – do testów obciążeniowych i spamowania sieci. Dust bywa też nośnikiem wiadomości reklamowych. Na podstawie samej transakcji nie można odróżnić jednego od drugiego – traktuj każdy dust tak samo.

Krypto przechowywane na Kraken znajduje się w powiernictwie Kraken. Dust wysłany na adres wpłaty Kraken nie naraża Twojego konta, salda ani danych uwierzytelniających.

  • Mała, nieoczekiwana wpłata nie oznacza, że Twoje konto zostało przejęte.
  • Nie musisz zgłaszać dust ani podejmować żadnych działań w celu zabezpieczenia konta.
  • Kraken nigdy nie poprosi Cię o podłączenie portfela, odebranie tokena ani zatwierdzenie transakcji w celu odblokowania środków.
  • Wpłaty poniżej minimalnej kwoty wpłaty dla danego aktywa nie zostaną zaksięgowane na Twoim koncie.
  • Handel i konwersja niewielkiego salda na Kraken nie ujawniają Twoich adresów. Wszelka konsolidacja odbywa się w systemach Kraken, nie na blockchainie.
  • Każdą wiadomość, e-mail lub telefon, który pojawia się po wpłacie dust, traktuj jako potencjalną próbę phishingu – zwłaszcza jeśli odwołuje się do tej wpłaty, by nadać sobie wiarygodność.

Samodzielne przechowywanie to obszar, w którym ataki dust mają znaczenie – to Ty kontrolujesz adresy i podpisujesz transakcje.

  • Zostaw pył w spokoju. Nie wydawaj go, nie wymieniaj ani nie łącz z pozostałymi środkami. Niewydany pył nie może posłużyć do powiązania Twoich adresów.
  • Oznacz go jako „nie wydawaj", jeśli Twój portfel obsługuje coin control. Dzięki temu portfel nie uwzględni pyłu automatycznie podczas budowania kolejnej transakcji.
  • Nie wchodź w interakcję z nieznanymi tokenami ani NFT pojawiającymi się w Twoim portfelu – nie odbieraj, nie zamieniaj, nie wysyłaj ani nie zatwierdzaj.
  • Nigdy nie łącz portfela ze stroną, do której trafiłeś przez nazwę tokena, memo, wiadomość airdrop lub wyniki wyszukiwania.
  • Ukrywaj tokeny-spam zamiast próbować je przenosić lub sprzedawać. W Kraken Wallet skorzystaj z ustawień reputacji tokenów, aby odfiltrować tokeny nieznajdujące się na liście lub oznaczone jako spam.
  • Weryfikuj pełny adres przed każdym wysłaniem. Sprawdzaj cały ciąg znaków – nie tylko kilka pierwszych i ostatnich – i kopiuj go z oryginalnego źródła, nigdy z historii transakcji.
  • Używaj nowego adresu odbiorczego do każdej transakcji. Portfele hierarchiczne deterministyczne (HD) robią to automatycznie – rozkładają posiadane aktywa na wiele adresów, utrudniając ich grupowanie. Rozważ korzystanie z oddzielnych portfeli – jednego do długoterminowego przechowywania, drugiego do codziennych operacji.
  • Nigdy nie udostępniaj Secret Recovery Phrase. Żaden uprawniony proces odbioru środków, zwrotu środków ani wsparcia tego nie wymaga. Kraken nigdy Cię o to nie poprosi.

Dla większości użytkowników dust to uciążliwość, a nie zagrożenie. Ryzyko de-anonimizacji jest realne przede wszystkim wtedy, gdy przechowujesz duże środki w trybie samodzielnego przechowywania (self-custody) lub mieszkasz w miejscu, gdzie bezpieczeństwo osobiste albo niestabilność polityczna stanowią problem.

Zatrucie adresu to inna sprawa. Nie zależy od wielkości salda i może dotknąć każdego, kto kopiuje adres z historii transakcji. Przy każdym przelewie weryfikuj pełny adres.

Otrzymanie krypto nie daje nadawcy żadnej kontroli nad Twoim portfelem. Nikt nie może przenieść Twoich środków, wysyłając Ci transakcję. Do strat dochodzi wyłącznie wtedy, gdy podpiszesz transakcję, udzielisz zezwolenia na token lub wyślesz środki na adres, którego nie zweryfikowałeś.

  • Wstrzymaj transakcje z portfela, którego dotyczy problem.
  • Cofnij wszelkie zezwolenia na tokeny, których udzieliłeś danej witrynie lub kontraktowi.
  • Jeśli gdziekolwiek wprowadzałeś lub eksportowałeś swoje tajne wyrażenie odzyskiwania, przenieś pozostałe aktywa do nowego portfela utworzonego przy użyciu nowego tajnego wyrażenia odzyskiwania.
  • Zgłoś to do Kraken, korzystając z poniższych linków.
  • Chroń się przed oszustwami
  • Jak zgłosić incydent phishingowy?
  • Zabezpieczanie konta Kraken i cyfrowego życia
  • Pokazywanie i ukrywanie tokenów według reputacji (Kraken Wallet)
  • Tworzenie kopii zapasowej i zabezpieczanie Kraken Wallet
  • Kraken Wallet — często zadawane pytania
  • Brak wpłaty kryptowaluty