Що таке пилова атака?

Blockchain є публічним, тому будь-хто може побачити, що адреса отримала пил. Самі по собі адреси є псевдонімними і не привʼязані до імені.

Звʼязок встановлюється тоді, коли Ви витрачаєте кошти. Якщо подальша транзакція використовує пил одночасно з Вашими власними коштами — це явище називають консолідацією входів — така транзакція є публічним доказом того, що обидві адреси контролює одна особа. Далі зловмисник може згрупувати Ваші адреси в кластер і оцінити загальний обсяг Ваших активів. Якщо будь-яка адреса в такому кластері взаємодіяла з верифікованим обліковим записом біржі або з мерчантом, кластер можна повʼязати з реальною особою.

Найчіткіше це видно на Bitcoin та інших мережах, що використовують невитрачені виходи транзакцій (UTXO), але той самий аналіз патернів працює і для мереж на основі облікових записів, як-от Ethereum.

Щоб деанонімізувати Вас. Щойно гаманець повʼязують із конкретною особою і стає відомо про значний баланс на ньому, ця людина перетворюється на мішень для цільового фішингу, вимагання, а в регіонах підвищеного ризику — і фізичних погроз.

Щоб рекламувати шахрайство. Пил часто надходить у вигляді невідомого токена, назва, зображення або примітка якого веде на сайт — «отримайте нагороду», «ви виграли». Сайт пропонує підключити гаманець і підтвердити транзакцію, яка надає зловмиснику дозвіл на переміщення Ваших реальних активів.

Щоб отруїти Вашу історію транзакцій. Зловмисник надсилає мізерний або нульовий переказ з адреси, схожої на ту, якою Ви користуєтеся, розраховуючи, що згодом Ви її скопіюєте. Цей різновид атаки, відомий як отруєння адреси, призводить до найбільших збитків. Див. Як працює отруєння адреси.

Не весь пил є шкідливим. Правоохоронні та податкові органи вдаються до дастингу в розслідуваннях, аналітичні компанії blockchain — для досліджень, а розробники — для навантажувального тестування або перевірки стійкості мереж до спаму. Пил також використовують для поширення рекламних повідомлень. За однією лише транзакцією неможливо визначити, з якою метою його надіслано, тому ставтеся до будь-якого пилу однаково.

1. Шахрай відстежує публічну активність у blockchain і знаходить адресу, на яку Ви регулярно надсилаєте кошти.
2. Він створює адресу, яка починається і закінчується тими самими символами, що й Ваша. Більшість гаманців і застосунків відображають лише початок і кінець адреси, тому обидві виглядають однаково.
3. Шахрай надсилає з цієї адреси мізерну суму, нульовий переказ або фальшивий токен — і вона зʼявляється у Вашій історії транзакцій.
4. Наступного разу, надсилаючи кошти, Ви копіюєте адресу з історії — і Ваша крипта потрапляє до шахрая.

Особливо часто це трапляється зі стейблкоїнами — зокрема USDT та USDC. Деяке шкідливе програмне забезпечення діє схожим чином: воно підміняє скопійовану Вами адресу на адресу шахрая в момент вставки. Див. Обережно: шкідливе програмне забезпечення.

Криптовалюта, що зберігається на Kraken, перебуває під кастодіальним зберіганням Kraken. Надсилання пилу на адресу внесення Kraken не ставить під загрозу Ваш обліковий запис, баланс чи облікові дані.

• Невелике несподіване поповнення не є ознакою того, що Ваш обліковий запис скомпрометовано.
• Вам не потрібно повідомляти про пил чи вживати будь-яких заходів для захисту облікового запису.
• Внесення нижче мінімальної суми для відповідного активу не зараховуються на Ваш обліковий запис.
• Торгівля або конвертація невеликого балансу на Kraken не розкриває Ваші адреси. Будь-яка консолідація відбувається всередині систем Kraken, а не на blockchain.
• Будь-яке повідомлення, електронний лист або дзвінок після отримання пилу розцінюйте як можливу спробу фішингу — особливо якщо в них згадується це надходження для створення видимості довіри.
• Перевіряйте адресу виведення коштів. Отруєння адреси може спрацювати й тоді, коли Ви виводите кошти з Kraken. Копіюйте адресу призначення з оригінального джерела, а не з історії транзакцій гаманця, і звіряйте адресу повністю. Адреси, якими користуєтеся регулярно, після перевірки зберігайте до списку адрес виведення коштів. Див. Додавання та підтвердження нової адреси виведення криптовалюти.

Самостійне зберігання криптоактивів — це саме та сфера, де дастинг має значення, адже Ви контролюєте адреси й підписуєте транзакції.

• Не чіпайте пил. Не витрачайте його, не обмінюйте й не обʼєднуйте з іншими своїми коштами. Невитрачений пил неможливо використати, щоб повʼязати Ваші адреси між собою.
• Позначте його як «не витрачати», якщо Ваш гаманець підтримує контроль монет. Це не дозволить гаманцю автоматично вибирати пил під час формування майбутніх транзакцій.
• Не взаємодійте з невідомими токенами чи NFT, що зʼявляються у Вашому гаманці, — не отримуйте, не обмінюйте, не надсилайте й не підтверджуйте їх.
• Ніколи не підключайте гаманець до сайтів, на які Ви потрапили через назву токена, примітку, повідомлення про ейрдроп або результати пошуку.
• Приховуйте спам-токени, замість намагатися перемістити чи продати їх. У Kraken Wallet використовуйте налаштування репутації токенів, щоб відфільтровувати токени, яких немає в лістингу або які позначено як спам.
• Перевіряйте повну адресу щоразу, коли надсилаєте кошти. Перевіряйте весь рядок адреси, а не лише перші та останні кілька символів, і копіюйте її з першоджерела — ніколи з історії транзакцій.
• Поводьтеся з тестовими транзакціями обережно. Навіть невелика тестова транзакція може спровокувати отруєння адреси. Коли тестова транзакція надійде, все одно скопіюйте адресу з першоджерела, а не з історії.
• Використовуйте нову адресу для отримання коштів у кожній транзакції. Ієрархічно детерміновані (HD) гаманці роблять це автоматично: Ваші активи розподіляються між багатьма адресами, що ускладнює їх кластеризацію. Розгляньте можливість використання окремих гаманців для довгострокових активів і щоденних операцій.
• Ніколи нікому не повідомляйте свою фразу відновлення (її також називають seed-фразою). Жоден законний запит, повернення коштів чи звернення до служби підтримки її не потребує. Kraken ніколи не запитає її у Вас.

• Повідомляти своє імʼя користувача, пароль, коди 2FA або майстер-ключ.
• Пересилати лист із підтвердженням пристрою або посилання з нього.
• Повідомляти фразу відновлення (seed phrase) від будь-якого гаманця.
• Видаляти або змінювати 2FA, майстер-ключ чи глобальне блокування налаштувань (GSL), якщо Ви самі не звернулися до нас по допомогу через офіційні канали.
• Встановлювати програмне забезпечення для віддаленого доступу, наприклад AnyDesk або TeamViewer. Див. Ризики використання програм віддаленого доступу.
• Надсилати крипто або переміщувати кошти до «безпечного» гаманця чи на «безпечну» адресу.
• Надсилати платіж, щоб розблокувати, розморозити або «підтвердити» Ваші кошти.

Для більшості користувачів пил — це радше незручність, ніж загроза. Деанонімізація є реальним ризиком насамперед для тих, хто зберігає значний баланс у режимі самостійного зберігання криптоактивів або мешкає в регіонах із загрозою особистій безпеці чи політичною нестабільністю.

З отруєнням адреси ситуація інша. Воно не залежить від розміру Вашого балансу і спрацьовує проти кожного, хто копіює адресу з Історії транзакцій. Перевіряйте повну адресу під час кожного надсилання.

Отримання крипто не дає відправнику жодного контролю над Вашим гаманцем. Ніхто не може перемістити Ваші кошти, просто надіславши Вам транзакцію. Збитки виникають лише тоді, коли Ви щось підписуєте, надаєте дозвіл на витрату токенів або надсилаєте кошти на адресу, яку не перевірили.

• Припиніть будь-які транзакції з ураженого гаманця.
• Скасуйте всі дозволи на токени, які Ви надали сайту або смартконтракту.
• Якщо Ви будь-де вводили або експортували фразу відновлення, перемістіть залишкові активи до нового гаманця, створеного з новою фразою відновлення.
• Повідомте про шахрайство. Якщо хтось міг отримати доступ до Вашого облікового запису Kraken, негайно зверніться до Служби підтримки Kraken через цю форму та відповідайте на запитання чесно й якомога повніше.

Транзакції в blockchain незворотні, і Kraken не може повернути крипто, надіслане на адресу, якою не керує. Повідомте про шахрайство та зверніться до правоохоронних органів (див. Захистіть себе від шахрайства). Остерігайтеся всіх, хто пропонує повернути Вам кошти.

• Захистіть себе від шахрайств
• Як повідомити про фішинговий інцидент ?
• Захист вашого акаунта Kraken і цифрового життя
• Показувати або приховувати токени за репутацією (Kraken Wallet)
• Резервне копіювання та захист Kraken Wallet
• Часті запитання про Kraken Wallet
• Внесена криптовалюта не надійшла
• Фішинг-шахрайства
• Остерігайтеся шкідливого програмного забезпечення
• Додавання та підтвердження нової адреси для виведення криптовалюти