Пилова атака (dusting attack) — спосіб стеження й деанонімізації: зловмисник розсилає мізерні («пилові») суми криптовалюти на безліч адрес, за якими хоче стежити. Потім він відстежує подальшу активність цих адрес — особливо транзакції, у яких «пил» поєднується з іншими входами, — і за цими зв'язками вибудовує граф адрес, що веде до одного власника або до реальної особи.
Як це працює в Bitcoin
У моделі UTXO, на якій побудовано Bitcoin, входи транзакції видно всім. Коли гаманець об'єднує в одній транзакції кілька UTXO (зокрема й «запилений»), сервіси блокчейн-аналітики (Chainalysis, Elliptic, TRM Labs) роблять висновок, що всі ці входи, найімовірніше, належать одному власникові. Зловмисник чекає саме таких об'єднань і з їхньою допомогою розширює карту адрес своєї цілі.
Суми «пилу» зазвичай настільки малі — від $0,10 до $5 у BTC, — що отримувач їх не помічає. Атака розрахована на терпіння: пил надсилають сьогодні, а деанонімізація «окупається» через місяці чи роки, коли ціль використає адресу для чогось, що цікавить зловмисника (велика покупка, чутлива до приватності транзакція, виведення з біржі).
Пилові атаки в Ethereum та інших мережах
У мережах з моделлю рахунків (Ethereum, BSC, Polygon) загроза інша: адреси не об'єднують UTXO, тож стеження через об'єднання входів тут не працює. Але схожий прийом трапляється у вигляді «розсилки шахрайських токенів»: зловмисник надсилає на адресу токен ERC-20. Токен нічого не вартий, але сам переказ показує, що адреса існує і за нею стежать.
Різновид: контракт шахрайського токена має шкідливі функції «approve» або «transfer», які при взаємодії через гаманець зі старими дозволами намагаються вивести активи. Захист простий: не чіпайте невідомі токени, що з'явилися у вашому гаманці. Приховайте їх в інтерфейсі гаманця і не намагайтеся їх «продати».
Хто проводить пилові атаки
Три категорії:
Правоохоронні та податкові органи. Вони можуть використовувати блокчейн-аналітику, щоб встановити реальних власників підозрілих адрес.
Компанії блокчейн-аналітики (Chainalysis, Elliptic, TRM Labs). Працюють комерційно за контрактами з біржами, банками й державними установами. Поєднують дані з пилових розсилок, дані, які розкривають біржі, і пошук закономірностей, щоб постійно оновлювати бази графів адрес.
Злочинці. Російські та північнокорейські угруповання використовують пилові атаки, щоб вистежувати потенційні цілі — гаманці з великим балансом, гарячі гаманці бірж, власників певних активів — і стежити за конкурентами. Іноді цілеспрямована розсилка «пилу» передує фішингу чи вимаганню на ту саму адресу.
Що захищає від пилових атак
Для більшості людей достатньо двох звичок:
Позначте «пилові» UTXO у гаманці як «не витрачати». Більшість сучасних Bitcoin-гаманців (Sparrow, Electrum, Wasabi) це вміють. Пил назавжди залишається на адресі, ніколи не поєднується з іншими входами — і задум зловмисника провалюється.
Якщо приватність для вас критична, користуйтеся ручним вибором монет (coin control). Складаючи транзакцію, самі обирайте, які UTXO витрачати, і ніколи не дозволяйте гаманцю «автоматично» їх об'єднувати. Найзручніше це зроблено в Sparrow Wallet; в Electrum і Wasabi схоже.
Для переважної більшості людей пилова атака — радше незручність для приватності, ніж фінансова загроза. Коштів під ризиком небагато, а ризик деанонімізації залежить від того, наскільки ви взагалі хотіли залишатися непомітним. Підлаштовуйте захист під свою реальну модель загроз.