«Пил» (dust) — це мізерна кількість криптовалюти, зазвичай менша за мережеву комісію, необхідну для її витрачання. Атака запилення полягає в тому, що зловмисник надсилає пил на тисячі адрес одночасно, а потім відстежує blockchain, щоб дізнатися, що ці адреси роблять далі.
Отримання пилу не надає нікому доступу до Ваших коштів. Ризик виникає від того, що Ви робите далі.
Blockchain є публічним, тому будь-хто може побачити, що адреса отримала пил. Самі по собі адреси є псевдонімними і не привʼязані до жодного імені.
Звʼязок встановлюється в момент витрачання коштів. Якщо пізніша транзакція використовує пил разом із Вашими власними коштами — це явище відоме як консолідація входів — така транзакція стає публічним доказом того, що обома адресами керує одна й та сама особа. Зловмисник може згрупувати Ваші адреси й оцінити загальний розмір Ваших активів. Якщо будь-яка адреса в цьому кластері була повʼязана з верифікованим обліковим записом на біржі або з торговцем, кластер можна привʼязати до реальної особи.
Найчіткіше це простежується на Bitcoin та інших мережах, що використовують невитрачені виходи транзакцій (UTXO), однак той самий аналіз патернів застосовується й до мереж на основі облікових записів, зокрема Ethereum.
Щоб деанонімізувати Вас. Щойно гаманець повʼязується з конкретною особою і стає відомо, що на ньому зберігається значний баланс, ця особа перетворюється на ціль для цільового фішингу, вимагання, а в регіонах підвищеного ризику — і фізичних погроз.
Щоб рекламувати шахрайство. Пил нерідко надходить у вигляді невідомого токена з назвою, зображенням або приміткою, що веде на певний сайт, — «отримайте свою нагороду», «ви виграли». Сайт просить підключити гаманець і підтвердити транзакцію, яка надає зловмиснику дозвіл розпоряджатися Вашими реальними активами.
Щоб отруїти Вашу історію транзакцій. Зловмисник генерує адресу, перші та останні символи якої збігаються з тією, що Ви вже використовували, а тоді надсилає з неї мінімальний або нульовий переказ. Адреса-двійник тепер відображається у Вашій історії. Якщо пізніше Ви скопіюєте адресу з історії, а не з першоджерела, Ваші кошти підуть зловмиснику. Цей різновид атаки, відомий як отруєння адрес, призводить до найбільших збитків.
Не весь пил надсилають зі зловмисною метою. Правоохоронні органи та податкові служби застосовують дастинг у розслідуваннях, blockchain-аналітичні компанії — у дослідженнях, а розробники — для навантажувального тестування або спаму мереж. Пил також використовують для розповсюдження рекламних повідомлень. За самою лише транзакцією неможливо визначити її мету, тому ставтеся до будь-якого пилу однаково.
Криптовалюта на Kraken перебуває в кастодіальному зберіганні Kraken. Пил, надісланий на депозитну адресу Kraken, не створює ризику для Вашого Облікового запису, балансу чи облікових даних.
Дастинг має значення саме для самостійного зберігання криптоактивів, адже Ви контролюєте адреси й підписуєте транзакції.
Для більшості користувачів даст — це радше незручність, ніж загроза. Деанонімізація становить реальний ризик насамперед для тих, хто зберігає значний баланс у режимі самостійного зберігання криптоактивів або мешкає в регіоні з проблемами особистої безпеки чи політичної нестабільності.
Отруєння адрес — це інша ситуація. Воно не залежить від розміру балансу і спрацьовує проти будь-кого, хто копіює адресу з історії транзакцій. Перевіряйте повну адресу перед кожним надсиланням.
Отримання крипто не дає відправнику жодного контролю над Вашим гаманцем. Ніхто не може перевести Ваші кошти, надіславши Вам транзакцію. Збитки виникають лише тоді, коли Ви щось підписуєте, схвалюєте ліміт токена або надсилаєте кошти на адресу, яку не перевіряли.