Dusting attack, czyli podejrzane drobne wpłaty na portfel kryptowalutowy – po co oszuści je wysyłają?

W świecie kryptowalut nie każda wpłata na portfel jest dobrą wiadomością. Przy tradycyjnym rachunku bankowym niespodziewany przelew od obcej osoby od razu wzbudziłby podejrzenia, ale w kryptowalutach wielu użytkowników wciąż reaguje inaczej. Widzą na portfelu drobną kwotę, kilka groszy albo ułamek tokena, i zakładają, że to przypadek, promocja, airdrop albo techniczna pozostałość po jakiejś transakcji. Tymczasem taka mikrowpłata może być elementem ataku na prywatność użytkownika. Właśnie na tym polega dusting attack.

Nazwa pochodzi od słowa „dust”, czyli pył. W kryptowalutach tym określeniem nazywa się bardzo małe ilości środków, często tak niskie, że ich samodzielne przesłanie albo wymiana nie ma większego sensu ekonomicznego. Mogą to być ułamki bitcoina, niewielkie ilości tokenów na Ethereum, BNB Smart Chain, Polygonie albo innej sieci. Same w sobie nie muszą mieć prawie żadnej wartości. Ich znaczenie nie polega na kwocie, lecz na tym, że trafiają na konkretny adres portfela i mogą zostać później wykorzystane do analizy aktywności właściciela.

Dusting attack polega na tym, że atakujący wysyła bardzo małe ilości kryptowaluty albo tokenów na wiele adresów. Następnie obserwuje, co użytkownicy zrobią z tymi środkami. Jeżeli odbiorca połączy je z innymi środkami, prześle dalej, wymieni albo wykorzysta w transakcji, atakujący może próbować powiązać różne adresy z jedną osobą. W blockchainie wiele informacji jest publicznych. Nie zawsze widać imię i nazwisko właściciela portfela, ale widać adresy, transakcje, kwoty, daty i powiązania między środkami. Dla analityka, oszusta albo firmy śledzącej przepływy to bardzo dużo danych.

Wbrew pozorom celem dusting attack zwykle nie jest bezpośrednia kradzież pieniędzy w momencie otrzymania drobnej wpłaty. Sam fakt, że ktoś wysłał na portfel kilka groszy w tokenie, nie oznacza jeszcze, że przejął klucze prywatne albo ma dostęp do portfela. Groźniejsze jest to, co może wydarzyć się później. Atakujący próbuje zmusić użytkownika do wykonania ruchu, który ujawni powiązania między adresami, giełdą, portfelem prywatnym, portfelem firmowym albo innymi aktywami. Dusting attack jest więc przede wszystkim atakiem na prywatność i etapem rozpoznania.

To ważne, bo wielu użytkowników kryptowalut ma kilka portfeli. Jeden do przechowywania większych środków, drugi do testowania aplikacji DeFi, trzeci do NFT, czwarty do giełdy, piąty do konkretnych tokenów. Taka separacja ma sens, ale tylko wtedy, gdy adresy nie zostaną później łatwo połączone w jeden profil. Jeżeli użytkownik nieuważnie przeniesie „pył” razem z innymi środkami, może pomóc atakującemu w ustaleniu, które adresy należą do tej samej osoby. Z punktu widzenia oszusta to cenna informacja, bo pozwala lepiej dobrać kolejne działania.

Kolejnym krokiem po dustingu może być phishing. Jeżeli atakujący uzna, że dany adres należy do osoby posiadającej większe środki, może próbować dotrzeć do niej inną drogą: przez fałszywy e-mail, wiadomość w mediach społecznościowych, podszywanie się pod giełdę, aplikację portfelową, obsługę techniczną albo projekt kryptowalutowy. Celem może być wyłudzenie frazy seed, nakłonienie do podpisania złośliwej transakcji, kliknięcie fałszywego linku albo przeniesienie środków na podstawiony adres. Mikrowpłata bywa więc tylko początkiem większej układanki.

Dusting attack trzeba też odróżnić od podobnych, ale nieco innych zagrożeń. Jednym z nich jest address poisoning, czyli „zatruwanie” historii transakcji. W takim ataku oszust generuje adres podobny do prawdziwego adresu, z którym użytkownik wcześniej wykonywał transakcje, a następnie wysyła drobną transakcję po to, aby fałszywy adres pojawił się w historii portfela. Liczy na to, że użytkownik przy kolejnej płatności skopiuje adres z historii, sprawdzi tylko pierwsze i ostatnie znaki, a następnie wyśle środki do oszusta. To inny mechanizm niż klasyczny dusting, ale oba wykorzystują nieuwagę i publiczny charakter blockchaina.

W praktyce użytkownik może zauważyć kilka sygnałów ostrzegawczych. Na portfelu pojawia się nieznany token. W historii widać mikrowpłatę od obcego adresu. Saldo pokazuje aktywa, których użytkownik nigdy nie kupował. Portfel wyświetla podejrzany komunikat przy tokenie albo zachęca do odwiedzenia strony, aby „odebrać nagrodę”, „odblokować środki” czy „wymienić token”. W takiej sytuacji najgorszą reakcją jest ciekawość połączona z pośpiechem. W kryptowalutach bardzo często to właśnie ciekawość jest pierwszym krokiem do straty.

Nieznanego tokena nie należy od razu sprzedawać, przesyłać ani zatwierdzać w aplikacji DeFi. Problem polega na tym, że niektóre tokeny i strony powiązane z ich rzekomą wymianą mogą służyć do nakłonienia użytkownika do podpisania niebezpiecznej zgody. Użytkownik myśli, że tylko sprawdza wartość darmowego tokena albo próbuje go wymienić, a w rzeczywistości może nadać złośliwemu kontraktowi uprawnienia do dysponowania innymi środkami. Dlatego zasada jest prosta: nie rozumiesz pochodzenia tokena, nie wykonuj z nim żadnej akcji.

Najbezpieczniejszą reakcją na podejrzaną mikrowpłatę jest pozostawienie jej bez ruchu. Jeśli portfel pozwala ukryć nieznany token, można go ukryć w interfejsie, ale nie trzeba go przesyłać. Ukrycie tokena w aplikacji nie usuwa go z blockchaina, ale pomaga nie klikać w niego przypadkiem. Warto też sprawdzić, czy portfel ma funkcje oznaczania podejrzanych tokenów, ostrzeżenia przed phishingiem albo narzędzia do zarządzania zgodami nadanymi smart kontraktom. Takie funkcje nie zastępują ostrożności, ale zmniejszają ryzyko błędu.

Bardzo ważne jest sprawdzanie adresów przy każdej transakcji. Nie wystarczy porównać dwóch pierwszych i dwóch ostatnich znaków. Przy address poisoning oszuści potrafią tworzyć adresy podobne wizualnie, właśnie po to, aby szybka kontrola wyglądała poprawnie. Najlepiej korzystać z książki adresowej, zapisanych zaufanych odbiorców albo kodów QR z pewnego źródła. Przy większych kwotach sensowna jest też mała transakcja testowa, choć trzeba pamiętać, że sama transakcja testowa nie chroni przed skopiowaniem złego adresu z historii.

Osoby przechowujące większe kwoty powinny rozdzielać portfele według funkcji. Jeden portfel może służyć do trzymania środków, drugi do interakcji z aplikacjami DeFi, trzeci do testowania nowych projektów. Portfel, na którym znajdują się większe oszczędności, nie powinien być używany do przypadkowego łączenia ze stronami, odbierania airdropów i eksperymentów. To trochę jak z kontem bankowym: inaczej traktuje się konto z oszczędnościami życia, a inaczej kartę z niewielkim limitem do płatności internetowych.

Warto też ograniczyć publiczne chwalenie się adresami portfeli. Wiele osób publikuje adresy przy zbiórkach, projektach NFT, działalności internetowej albo w mediach społecznościowych. Czasem jest to konieczne, ale trzeba mieć świadomość, że publiczny adres może stać się punktem obserwacji. Jeżeli ten sam adres jest później używany do wielu prywatnych transakcji, łatwiej zbudować profil aktywności użytkownika. Kryptowaluty nie są automatycznie anonimowe. Bardzo często są raczej pseudonimowe: zamiast nazwiska widać adres, ale historia tego adresu może powiedzieć zaskakująco dużo.

Nie należy też wierzyć w komunikaty, że drobny token „trzeba odebrać”, „aktywować” albo „odblokować”. To częsty schemat psychologiczny. Oszust tworzy wrażenie okazji, która czeka tylko na kliknięcie. Użytkownik widzi darmowe pieniądze, nawet jeśli bardzo małe, i chce sprawdzić, czy da się coś z tym zrobić. Tymczasem prawdziwe bezpieczeństwo w kryptowalutach często polega na rezygnacji z takich okazji. Jeżeli coś pojawiło się bez powodu, od nieznanego nadawcy i wymaga wejścia na obcą stronę, najlepiej założyć, że nie jest to prezent.

Dusting attack pokazuje jedną z najważniejszych różnic między tradycyjnymi finansami a kryptowalutami. W banku wiele procesów jest niewidocznych dla osób postronnych, a klient ma instytucję, do której może zgłosić problem. W blockchainie transakcje są publiczne, a odpowiedzialność użytkownika jest znacznie większa. To daje niezależność, ale zwiększa też wagę własnych błędów. Nie ma infolinii, która cofnie źle podpisaną transakcję albo odzyska środki wysłane na adres oszusta.

Nie każda drobna wpłata musi oznaczać duże zagrożenie. Czasem są to techniczne pozostałości, spam tokenowy, przypadkowe transakcje albo masowe działania marketingowe. Mimo to każdą nieznaną wpłatę warto traktować ostrożnie. Samo otrzymanie „pyłu” zwykle nie jest katastrofą. Ryzyko rośnie wtedy, gdy użytkownik zaczyna z nim coś robić, łączy go z innymi środkami, wchodzi na podejrzane strony albo podpisuje transakcje, których nie rozumie.

Najważniejsza zasada brzmi więc: nie ruszać podejrzanych mikrowpłat bez potrzeby. Nie klikać w linki powiązane z nieznanym tokenem. Nie podpisywać transakcji tylko po to, żeby sprawdzić, czy „darmowe środki” da się wypłacić. Nie kopiować adresów z historii bez dokładnego sprawdzenia. Nie używać jednego portfela do wszystkiego. To nie są skomplikowane zabezpieczenia, ale w praktyce właśnie takie nawyki często decydują o tym, czy użytkownik pozostanie bezpieczny.

Dusting attack nie musi wyglądać groźnie. Przeciwnie, jego siła polega na tym, że wygląda niepozornie. Kilka groszy na portfelu, nieznany token, drobna transakcja w historii. Nic wielkiego. A jednak dla oszusta może to być początek próby powiązania adresów, rozpoznania majątku, przygotowania phishingu albo podstawienia fałszywego adresu. W kryptowalutach drobiazgi bywają ważne, bo każda transakcja zostawia ślad. Dlatego najlepszą odpowiedzią na podejrzany „pył” nie jest panika, lecz chłodna ostrożność.

Źródła

https://help.coinbase.com/en/coinbase/privacy-and-security/avoid-scams/dusting-attacks – materiał Coinbase wyjaśniający, czym są dusting attacks, jak działają i dlaczego mogą być wykorzystywane do prób identyfikacji właścicieli portfeli.

https://www.coinbase.com/learn/tips-and-tutorials/what-is-crypto-dusting-attack-and-how-to-avoid-it – poradnik Coinbase opisujący mechanizm crypto dustingu oraz podstawowe zasady ograniczania ryzyka.

https://www.binance.com/en/academy/articles/what-is-a-dusting-attack – artykuł Binance Academy wyjaśniający pojęcie dusting attack, jego związek z prywatnością użytkowników i analizą aktywności portfeli.

https://www.chainalysis.com/blog/address-poisoning-scam/ – analiza Chainalysis dotycząca address poisoning, czyli ataku polegającego na podstawianiu podobnych adresów w historii transakcji.

https://arxiv.org/abs/2501.16681 – praca naukowa „Blockchain Address Poisoning” opisująca skalę, mechanizm i skutki ataków polegających na zatruwaniu historii adresów w sieciach blockchain.