Ciao a tutti,
nei giorni scorsi è uscita questa notizia (in inglese)
LITECOIN WALLETS HIT BY LARGE-SCALE DUSTING ATTACK, SO WHAT IS IT?Di seguito riporto la traduzione di un paio di passaggi significativi:
Stanno emergendo delle analisi secondo le quali diversi portafogli Litecoin sono stati colpiti da un nuovo tipo di attacco informatico chiamato dust attack. Non ha interessato gli exchange LTC ma è qualcosa di cui i trader e i detentori di criptovalute dovrebbero essere consapevoli. Binance Academy ha offerto una spiegazione.
In breve, un dust attack si verifica quando i truffatori tentano di violare la privacy di una criptovaluta, in questo caso Litecoin, inviandone piccole quantità a portafogli privati. Gli attaccanti tentano quindi di tracciare l'attività transazionale di questi portafogli nel tentativo di scoprire l'identità della persona che li possiede.
Il termine "dust" (polvere) si riferisce alle minuscole frazioni di criptovalute che la maggior parte degli utenti ignora. Un paio di centinaia di satoshi possono essere definiti "dust" in quanto la somma è così piccola che la maggior parte delle persone non se ne accorgerebbe nemmeno. È anche molto diffusa sugli exchange di criptovalute in quanto costituiscono i resti di transazioni che rimangono nei portafogli e non possono più essere utilizzati o trasferiti.
Con il termine
dust ci si riferisce quindi a quegli ammontari di crittovalute che non possono essere trasferiti singolarmente o perché il loro importo è inferiore alle transaction fees della blockchain, o perché inferiori al minimo trasferibile di un exchange, rimanendo quindi bloccate nel portafoglio dell'account presso un determinato exchange.
Qui potete trovare un video di Binance academy che spiega cosa sia un Dust Attack:
Cos'è un Dusting Attack?Questa tecnica è usata anche su Bitcoin, quindi cercate di stare attenti quando ricevete dei Satoshi senza apparentemente
Perchè il dust attack è pericoloso? cosa serve mandare dei satoshi per tracciare le transazioni se le transazioni sono in realtà pubbliche?
Beh i casi possono essere molteplici:
- L'attaccante manda dei satoshi su un indirizzo usato, con un balance positivo. Meccanismo curioso, in realtà l'attaccante non ottiene nessun vantaggio, visto che i movimenti dell'indirizzo potevano essere monitorati anche precedentemente. L'unico vantaggio potrebbe essere quello di "abituare" l'utente a ricevere fondi su un indirizzo, rendendolo quindi meno prudente in sede del vero attacco dust.
- L'attaccante manda dei satoshi su un indirizzo usato, ma vuoto. Il ricevente quindi aggrega quei satoshi ad un nuovo indirizzo facendo un pagamento. A quel punto il vecchio indirizzo ed il nuovo sono "legati" e l'attaccante può, con metodi di chain analysis provare a risalire alla vostra identità, avendo però scoperto che avete il controllo anche del vecchio indirizzo.
- L'attaccante mette in piedi un bitcoin faucet, dove sia possibile ottenere qualche satoshi a fronte della registrazione con una mail. A quel punto, se unite quei satoshi al vostro indirizzo principale, beh, l'attaccante ha dei dati di partenza in più per identificarvi (una mail, anche se finta fornisce molte informazioni, ad esempio IP di connessione).
- Estremizzando: un exchange che vi offre 30$ per registrarvi, previo KYC, sta in pratica effettuando un dust attack. Solo che in quel caso, usando la società di chain analysis che ha appena comprato, può effettuare un tracking molto efficiente dei vostri UTXO. Vi pare uno scenario irrealizzabile? è già successo.
- Estremizzando 2: un exchange (lo stesso del punto precedente) vi offre 80$ in shitcoins rispondendo a facili video e domande, previo KYC, sta in pratica effettuando un dust attack. Solo che in quel caso, usando la società di chain analysis che ha appena comprato, può effettuare un tracking molto efficiente dei vostri UTXO. Vi pare uno scenario irrealizzabile? Sta succedendo ora.
Come difendersi da un dust attack?
La morale è che i BTC "anonimi" e quelli "soggetti a KYC" non devono mai essere mischiati, pena la de-anonimizzazione di tutti i Bitcoin.
Facciamo l'esempio relativo al dust attack tramite degli airdrop di un exchange.
Vi regalano degli Stellar Lumens, a patto di vedere dei video.
Naturalmente a voi gli XLM non interessano, quindi una volta ottenuti li vendete immediatamente per BTC.
Siccome siete utenti evoluti di BTC, sapere che "not your keys not your Bitcoin", quindi prelevate i vostri BTC e li mettete nel vostro wallet.
Ve ne dimenticate.
Due mesi dopo, approfittando della mempool vuota, consolidate i vostri indirizzi in uno solo. e quindi mettete quei pochi satoshi assieme ai vostri 100 BTC comprati nel 2010.
Ebbene, ora la sagace società di chain analytics è in grado di capire che anche i 100 BTC sono vostri.
La società di chain analytics vende l'informazione al fisco, e voi siete fregati.
Oppure la vende ad una organizzazione criminale, e siete ancora più fregati.
Come difendersi:
Due consigli vengono immediatamente in mente:
- Tenete assolutamente separati gli indirizzi "sottoposti a kyc" e quelli "anonimi", molti wallet permettono di contrassegnare con label diverse i diversi UTXO: usate questa opzione!
- Se proprio dovete consolidare gli indirizzi, prima di farlo, fateli passare attraverso un coinjoin. Comunque avere un anonimity set non perfetto, ma almeno non avete un link ovvio con il vostro indirizzo.
Come al solito cercherò di aggiornare questo thread completandolo con informazioni ed esempi migliori man mano che si renderanno disponibili.
Chiaramente attendo i vostri commenti!
