Topic: DUST ATTACK: come avviene e come difendersi (Read 406 times)

per fortuna ancora ci sono degli exchange che entro certi limiti non richiedono kyc per il withdraw su conto corrente,ovviamente non sono anonimi visto che devi dare loro gli estremi del conto ma almeno non devi caricare i documenti su internet,bitcoin sporchi che vuol dire? sospetti di essere usati per comprare droga o armi o per riciclaggio?e poi chi lo decide? cè un ente apposito che controlla? ci sono degli indirizzi sospetti? fanno gia la catalogazione(esiste questa parola?) degli indirizzi?i bitcoin puliti(senza transazioni) costano di piu perche? basta usare un mixer o un passagio ad altcoin anonime e quelli presunti sporchi(presunti da chi?) ridiventano puliti,per me i bitcoin sono tutti puliti fino a prova(dimostrabile) contraria...

Non è un rischio ma è realtà, Bitstamp anni fa chiedeva di descrivere la provenienza dei fondi a sua totale discrezione (con alcuni clienti si, con altri no)

be i mixer lasciano il tempo che trovano non mi fido tanto,quasi tutti i wallet cambiano indirizzo in automatico quando si deve ricevere,il vero problema sorge quando si vuole fare cashout da exchange o in qualche altro modo,li cè il rischio che si possa associare persona-conto-vari wallet/indirizzi ma e facilmente risolvibile con un paio di passaggi a monero...

E comunque questa cosa dell'anonimizzazione può avere già senso anche su BTC se si considera di non riutilizzare mai gli indirizzi. Le tracce verranno seguite, ma non si saprà a chi appartengono le chiavi private.

Coinjoin decentralizzati con Wasabi Wallet, magari con più cicli, possono essere una buona soluzione.

Considera che chi vuole proteggere i suoi movimenti già oggi utilizza alternative stile monero o zcash, BTC già da tempo ha perso molti strumenti che consentivano di avere una buona privacy (fee alte per fare transazioni e molti mixer chiusi)

non ero a conoscenza di questo tipo di attacco, grazie per le info!

Ma non è più semplice mettere insieme una serie di passi per trombarsi Charlize Theron che mandare in porto questo attacco? 

Nuovi sviluppi sul caso del Dust attack di Binance.

https://cointelegraph.com/news/ltc-dusting-attack-on-binance-affected-nearly-300-000-addresses-report





EDIT: Ulteriore update che sembra confermare la tesi della trovata pubblicitaria.

 Understanding Litecoin’s Dusting Attack: What Happened and Why



Sono assolutamente d'accordo: non solo la "trovata pubblicitaria" è di dubbia efficacia, ma inoltre ha fornito, intenzionalmente o meno, una base d'attacco a chi volesse approfittarne.
In entrambi i casi è un'ottima ragione per decidere di stare alla larga dal soggetto in questione.

Mi stai dando del benzinaio ?!?   
Comunque sono moooooolto lontano da Torino 

La prossima volta che passo da Torino mi fai un pieno per non rivelare la tua identità!

Beh certo, le "regole" erano quelle e tutti facevamo così.
Ma erano anche anni nei quali non si badava molto a questi aspetti, in tanti c'era ancora la convinzione che Btc fosse una valuta anonima.....  



A me no però devo dire che il wallet btc lo guardo si e no una volta all'anno, giusto quando avvio la VM sulla quale tengo i vari wallet (uso il plurale non riferendomi a Btc ma alle alt) per un aggiornamento massivo.
L'ultima volta che l'ho fatto non ho notato briciole regalate.


Fammi un ping tra un anno come memo, se no magari rischio di fare la ca@@ata che renderebbe pubblica la mia identità a chi non deve saperla 

mai fidarsi se ti regalano cose, nessuno regala niente oggi come oggi
sapevatelo

mi riferisco alla storia KYC

A me personalmente no, ma ora saprei perchè mi sono stati mandati e cosa fare (al contrario di duesoldi magari dopo un pò li avrei consolidati per comodità!)

mmmm, non ci si può distrarre un attimo: sempre all'erta e spalle coperte!
A qualcuno qui è capitato di riceverne?

Già.

Beh, ovvio che con un po di attenzione si eliminino i rischi, ma ora ti faccio un esempio: non so se eri già nel mondo dei bitcoin al momento dei fork. Ti ricordi come funzionava? fork, prendi i tuoi bitcoin, spostali su un nuovo indirizzo, fai claim dei coin poi cambia le monete in btc (due indirizzi). Poi nuovo fork, prendi i vecchi bitcoin originari, quelli nuovi, spostali, fai claim della nuove  monete cambiale (4 indirizzi) .. e così via...
Ti sfido a non aver riunito in un punto tutti i tuoi BTC in un unico indirizzo.
ed ecco qui che alcuni fork seguivano proprio questi spostamenti per provare a "deanonimizzare " un bel pò di coins
https://news.bitcoin.com/united-bitcoin-may-be-the-most-controversial-fork-to-date/
Forse non è un vero e proprio dust attack, ma molto ci assomiglia.

L'attacco su larga scala, beh, apparentemente funziona proprio così, la storia di Coinbase/Neutrino sta a testimoniarlo. I continui tentativi di Coinbase di regalarti soldi (per registrarti, per guardare dei video): puntano tutto su questo comportamento "poco prudente" da parte degli utenti.

Non sarà la forma di attacco più letale, su questo siamo d'accordo, ma già sapere COME possano essere sfruttati certi meccanismi, ti aiuta a stare più attento.

Coinbase?

Vediamo un po' i due scenari:

Piccola scala:

lo scenario è concreto (ad es. quante volte vedi nei siti il bottone "dona")  ma bisognerebbe essere davvero un po' "sbadati"  (o quanto meno poco consapevoli) per usare un address dello stesso wallet dove tengo i miei "veri" btc per ricevere una donazione. Diciamo che con un minimo di accortezza dovrebbe venirmi in mente di creare un wallet dedicato, e a quel punto lo scenario che descrivi non sarebbe più concreto, almeno fintato che non facessi io l'errore di fare una tx tra i due wallet invece che dal wallet delle donazioni verso (per esempio) un exchange.
Quindi diciamo che il pericolo dello scenario "piccola scala" è concreto ma cancellabile con un po' di attenzione.

Larga scala:
questo scenario invece imho regge davvero poco perché affinché il rischio che descrivi possa essere concreto deve essere vera un'ipotesi (troppo) forte: l'address al quale l'exchange invia il dust, oltre che vuoto deve anche essere un address di un wallet di un suo cliente.
Perché se l'exchange inviasse dust su indirizzi vuoti ma di wallet non di suoi clienti, non avrebbe modo di collegare quell'address con altri non vuoti dello stesso wallet (a fronte di una tx xhe li collega, ovvio).
Questa ipotesi è troppo forte secondo me: facendo invii a caso su address vuoti quante probabilità avrebbe un exchange di beccare un address di quello stesso wallet e di un suo cliente ?  penso 0,00000000000 (e vai avanti tu con zeri a piacere fino a fondo pagina).
Non dimentichiamo poi che questi dust hanno un valore.....


Boh, continuo a non vedere rischi concreti, sebbene sia interessante conoscere la tecnica.

non conoscevo questa tecnica e molto fine/sottile si cerca di associare vari indirizzi a una solo entita/persona credo che in parte funzioni,certo io non faro mai kyc e sopratutto per pochi spiccioli pero se mi arrivassero pochi satoshi in effetti sarei tentato di integrarli da un altro indirizzo per poterli spostare,be d ora in poi ci penserò 2 volte...

Same here!
se vedo qualcosa di interessante lo studio un pò e lo condivido!


mi vengono in mente due scenari:

• Larga scala: sei un exchange, mandi dust a tanti wallet usati, ma con balance nullo, speri che qualcuno ti mandi qualcuno di questi dust attaccato ai coin di un'altro indirizzo. a quel punto, hai collegato quel vecchio indirizzo (Che tu non conoscevi) al tuo cliente. Et voilà, perso anonymity set sul vecchio indirizzo che magari tu utente avevi usato anni prima.
  A questo punto, chessò (modalità complotto ON) l'exchange è in combutta con qualche società di chainanalisys ed alla fine vende le informazioni al governo (che guarda caso ha più che finanziato i costi iniziali) per andare a stanare tutti i vecchi possessori di bitcoin. Fantascienza? Mah, basta vedere la storia di Coinbase/Neutrino che ha scatenato il movimento #deletecoinbase.
  
• Piccola scala: con una scusa qualsiasi ti chiedo di generarmi un address (tipo per mandarti una mancia o donazione). Ti invio qualche satoshi, poi tu dopo qualche mese, o anno, te ne dimentichi e li consolidi con i tuoi bitcoin "veri". Ecco qui che io scopro che duesoldi ha 234.56 Bitcoin. Magari finisce qui, ma magari io intanto ti sono diventato amico, siamo diventati amici su Telegram, so che abiti a Grugliasco (TO) di nome ti chiami Giuseppe e tua moglie insegna. Mi presento quindi a casa tua con una chiave inglese da 5$.
  
  
  https://xkcd.com/538/
  
   

Grazie: non lo conoscevo e devo dire che è molto interessante.
Per la serie: non si finisce mai di imparare.... 

Non capisco però chi possa trarre beneficio da un attacco di questo tipo che alla fine mira a "scoprire" la reale identità del possessore di un wallet. Nell'articolo si dice che lo scopo sarebbe :

ovvero di riuscire a scoprire - che so - l'email del proprietario del wallet, con l'intenzione poi di tentare un phising attack.
Mi sembra però costoso come tentativo: prima devi spendere (letteralmente) per fare il dust attack, poi una volta raccattati alcuni indirizzi email, fai il secondo tipo di attacco.
Probabilità di successo?  imho molto basse, e con costi iniziali invece non indifferenti.
Sbaglio?

Ciao a tutti,

nei giorni scorsi è uscita questa notizia (in inglese)

LITECOIN WALLETS HIT BY LARGE-SCALE DUSTING ATTACK, SO WHAT IS IT?

Di seguito riporto la traduzione di un paio di passaggi significativi:


Con il termine dust ci si riferisce quindi a quegli ammontari di crittovalute che non possono essere trasferiti singolarmente o perché il loro importo è inferiore alle transaction fees della blockchain, o perché inferiori al minimo trasferibile di un exchange, rimanendo quindi bloccate nel portafoglio dell'account presso un determinato exchange.


Qui potete trovare un video di Binance academy che spiega cosa sia un Dust Attack:
Cos'è un Dusting Attack?

Questa tecnica è usata anche su Bitcoin, quindi cercate di stare attenti quando ricevete dei Satoshi senza apparentemente

Perchè il dust attack è pericoloso? cosa serve mandare dei satoshi per tracciare le transazioni se le transazioni sono in realtà pubbliche?

Beh i casi possono essere molteplici:

• L'attaccante manda dei satoshi su un indirizzo usato, con un balance positivo. Meccanismo curioso, in realtà l'attaccante non ottiene nessun vantaggio, visto che i movimenti dell'indirizzo potevano essere monitorati anche precedentemente. L'unico vantaggio potrebbe essere quello di "abituare" l'utente a ricevere fondi su un indirizzo, rendendolo quindi meno prudente in sede del vero attacco dust.
• L'attaccante manda dei satoshi su un indirizzo usato, ma vuoto. Il ricevente quindi aggrega quei satoshi ad un nuovo indirizzo facendo un pagamento. A quel punto il vecchio indirizzo ed il nuovo sono "legati" e l'attaccante può, con metodi di chain analysis provare a risalire alla vostra identità, avendo però scoperto che avete il controllo anche del vecchio indirizzo.
• L'attaccante mette in piedi un bitcoin faucet, dove sia possibile ottenere qualche satoshi a fronte della registrazione con una mail. A quel punto, se unite quei satoshi al vostro indirizzo principale, beh, l'attaccante ha dei dati di partenza in più per identificarvi (una mail, anche se finta fornisce molte informazioni, ad esempio IP di connessione).
• Estremizzando: un exchange che vi offre 30$ per registrarvi, previo KYC, sta in pratica effettuando un dust attack. Solo che in quel caso, usando la società di chain analysis che ha appena comprato, può effettuare un tracking molto efficiente dei vostri UTXO. Vi pare uno scenario irrealizzabile? è già successo.
• Estremizzando 2: un exchange (lo stesso del punto precedente) vi offre 80$ in shitcoins rispondendo a facili video e domande, previo KYC, sta in pratica effettuando un dust attack. Solo che in quel caso, usando la società di chain analysis che ha appena comprato, può effettuare un tracking molto efficiente dei vostri UTXO. Vi pare uno scenario irrealizzabile? Sta succedendo ora.

Come difendersi da un dust attack?
La morale è che i BTC "anonimi" e quelli "soggetti a KYC" non devono mai essere mischiati, pena la de-anonimizzazione di tutti i Bitcoin.

Facciamo l'esempio relativo al dust attack tramite degli airdrop di un exchange.
Vi regalano degli Stellar Lumens, a patto di vedere dei video.
Naturalmente a voi gli XLM non interessano, quindi una volta ottenuti li vendete immediatamente per BTC.
Siccome siete utenti evoluti di BTC, sapere che "not your keys not your Bitcoin", quindi prelevate i vostri BTC e li mettete nel vostro wallet.
Ve ne dimenticate.
Due mesi dopo, approfittando della mempool vuota, consolidate i vostri indirizzi in uno solo. e quindi mettete quei pochi satoshi assieme ai vostri 100 BTC comprati nel 2010.
Ebbene, ora la sagace società di chain analytics è in grado di capire che anche i 100 BTC sono vostri.
La società di chain analytics vende l'informazione al fisco, e voi siete fregati.
Oppure la vende ad una organizzazione criminale, e siete ancora più fregati.

Come difendersi:
Due consigli vengono immediatamente in mente:

• Tenete assolutamente separati gli indirizzi "sottoposti a kyc" e quelli "anonimi", molti wallet permettono di contrassegnare con label diverse i diversi UTXO: usate questa opzione!
• Se proprio dovete consolidare gli indirizzi, prima di farlo, fateli passare attraverso un coinjoin. Comunque avere un anonimity set non perfetto, ma almeno non avete un link ovvio con il vostro indirizzo.

Come al solito cercherò di aggiornare questo thread completandolo con informazioni ed esempi migliori man mano che si renderanno disponibili.
Chiaramente attendo i vostri commenti!