Атака пылью (dusting attack) — способ слежки и деанонимизации: злоумышленник рассылает крошечные суммы криптовалюты («пыль») на множество адресов, за которыми хочет следить. Затем он наблюдает, что происходит с этими адресами дальше, — особенно за транзакциями, где «пыль» объединяется с другими входами, — и по этим связям восстанавливает граф адресов вплоть до одного владельца или реального человека.
Как это работает в Bitcoin
В модели UTXO, на которой построен Bitcoin, входы транзакции видны всем. Когда кошелёк объединяет несколько UTXO (в том числе полученную «пыль») в одну транзакцию, инструменты анализа блокчейна (Chainalysis, Elliptic, TRM Labs) делают вывод, что все эти входы, скорее всего, принадлежат одному владельцу. Злоумышленник ждёт таких «консолидаций» и с их помощью расширяет карту адресов жертвы.
Сумма «пыли» обычно настолько мала — от нескольких центов до нескольких долларов в BTC, — что получатель её не замечает. Атака рассчитана на терпение: «пыль» отправляют сегодня, а деанонимизация окупается через месяцы или годы, когда жертва использует адрес для чего-то, что интересует злоумышленника (крупная покупка, операция, которую хотелось бы скрыть, вывод с биржи).
Атака пылью в Ethereum и других сетях
В сетях с моделью аккаунтов (Ethereum, BSC, Polygon) модель угроз другая: UTXO там не объединяются, поэтому отслеживание через консолидацию не работает. Но та же идея проявляется в виде рассылки мусорных токенов: злоумышленник отправляет на адрес жертвы токен ERC-20. Токен ничего не стоит, но сам перевод показывает, что адрес существует и за ним следят.
Разновидность: в контракте мусорного токена спрятаны вредоносные функции approve или transfer, которые при взаимодействии с кошельком, где остались старые одобрения, пытаются вывести активы. Защита простая: не трогайте незнакомые токены, появившиеся в кошельке. Скройте их в интерфейсе и не пытайтесь «продать».
Кто устраивает атаки пылью
Три группы.
Правоохранительные органы и налоговые службы: анализ блокчейна помогает им установить реальных владельцев подозрительных адресов.
Компании, занимающиеся анализом блокчейна (Chainalysis, Elliptic, TRM Labs). Они работают по контрактам с биржами, банками и государственными органами и поддерживают базы связей между адресами, сочетая данные от «пыли», сведения от бирж и сопоставление закономерностей.
Преступные группировки. Они используют «пыль», чтобы находить потенциальные жертвы — кошельки с крупным балансом, горячие кошельки бирж, владельцев определённых активов — и следить за конкурентами. Иногда адресная рассылка «пыли» предшествует попыткам фишинга или вымогательства по тому же адресу.
Как защититься
Большинству пользователей хватит двух привычек.
Помечайте полученную «пыль» как «не тратить». Большинство современных кошельков для Bitcoin (Sparrow, Electrum, Wasabi) это умеют. «Пыль» навсегда остаётся на адресе, никогда не объединяется с другими входами, и слежка не срабатывает.
Если приватность для вас особенно важна, пользуйтесь ручным выбором монет (coin control). Составляя транзакцию, сами выбирайте, какие UTXO тратить, и никогда не давайте кошельку объединять входы автоматически. Удобнее всего это сделано в Sparrow Wallet; в Electrum и Wasabi похоже.
Для подавляющего большинства пользователей атака пылью — скорее неприятность для приватности, чем финансовая угроза. Сумма, которой вы рискуете, мала, а опасность деанонимизации зависит от того, насколько вы вообще собирались скрываться. Подстраивайте защиту под свою реальную модель угроз.