Dusting Attack

Apa Itu Dusting Attack?

Dusting attack adalah serangan privasi terhadap mata uang kripto. Dalam serangan ini, seseorang mengirim sejumlah kecil kripto ke satu atau beberapa alamat wallet, lalu memantau bagaimana dana tersebut dibelanjakan setelahnya.

Penyerang berharap wallet akan menggabungkan deposit kecil tersebut dengan dana lain dalam transaksi di kemudian hari.

Penggabungan beberapa input transaksi dapat memberikan petunjuk bahwa alamat-alamat yang terlibat mungkin dikendalikan oleh orang atau organisasi yang sama.

Penyerang dapat menggunakan petunjuk ini untuk membentuk klaster alamat, mengamati perilaku pembayaran, memperkirakan kepemilikan aset, atau menghubungkan aktivitas blockchain dengan informasi yang diperoleh di luar blockchain.

Dusting attack paling sering dikaitkan dengan mata uang kripto yang menggunakan model pencatatan unspent transaction output atau UTXO.

Bitcoin adalah contoh jaringan berbasis UTXO yang paling dikenal.

Dusting attack biasanya tidak mencuri kunci privat, mengambil alih wallet, atau memindahkan dana yang sudah ada hanya karena pembayaran kecil tersebut diterima.

Tujuan tradisionalnya adalah melakukan pengawasan blockchain dan mengurangi privasi.

Namun, istilah ini juga digunakan secara lebih luas untuk deposit token dan NFT yang tidak diminta, yang mengarahkan pengguna ke situs phishing atau smart contract berbahaya.

Karena itu, pengguna harus membedakan serangan privasi UTXO dari penipuan berbasis token yang berupaya memperoleh tanda tangan berbahaya.

Apa Arti Dust dalam Mata Uang Kripto?

Dust adalah jumlah mata uang kripto yang sangat kecil sehingga mungkin tidak ekonomis atau praktis untuk dibelanjakan.

Dalam sistem UTXO, setiap output yang diterima tetap menjadi unit terpisah sampai dibelanjakan dalam transaksi berikutnya.

Dokumentasi transaksi Bitcoin resmi menjelaskan bahwa saldo wallet terbentuk dari satu atau beberapa output transaksi yang belum dibelanjakan.

Output kecil tetap menggunakan ruang transaksi ketika dipakai sebagai input.

Jika biaya yang diperlukan untuk membelanjakan output mendekati atau melebihi nilainya, output tersebut secara ekonomi dapat dianggap sebagai dust.

Tidak ada satu definisi numerik permanen untuk dust yang berlaku bagi semua mata uang kripto, jenis script, wallet, dan kondisi biaya.

Biaya untuk membelanjakan output sebagian bergantung pada ukuran input yang diperlukan untuk membukanya dan tingkat biaya yang dipilih untuk transaksi berikutnya.

Bitcoin Core juga menggunakan ambang batas dust berbasis kebijakan untuk menentukan output transaksi baru yang memenuhi standar relay biasa.

Kode sumber kebijakan transaksi Bitcoin Core saat ini menetapkan biaya relay dust yang digunakan dalam perhitungan standardness.

Kebijakan ini berbeda dari aturan konsensus universal yang menyatakan bahwa setiap output di bawah jumlah tertentu tidak valid.

Penyerang dapat mengirim jumlah yang melebihi ambang batas relay terkait, tetapi tetap cukup kecil untuk disebut dust dalam percakapan umum.

Cara Kerja Dusting Attack

Dusting attack tradisional dimulai ketika penyerang memilih alamat mata uang kripto publik untuk dipantau.

Alamat tersebut dapat diperoleh dari permintaan pembayaran publik, halaman donasi, riwayat transaksi, catatan pelanggan yang bocor, alamat yang digunakan ulang, atau analisis blockchain sebelumnya.

Penyerang mengirim UTXO kecil ke setiap alamat yang dipilih.

Wallet korban mencatat output tersebut sebagai bagian dari saldo yang tersedia atau saldo total.

Pada waktu berikutnya, wallet dapat memilih output dust bersama output yang lebih besar saat membuat pembayaran.

Transaksi yang dihasilkan memperlihatkan secara publik bahwa input-input yang dipilih digunakan dalam operasi pembelanjaan yang sama.

Penyerang kemudian dapat menambahkan input yang baru terpantau, output kembalian, dan pola penerima ke dalam klaster alamat.

Pengamatan berulang secara bertahap dapat mengungkap lebih banyak aktivitas wallet.

Penyerang dapat menggabungkan klaster blockchain tersebut dengan catatan identitas, unggahan publik, faktur pembayaran, informasi pengiriman, atau aktivitas pada layanan keuangan teregulasi.

Hasilnya dapat berupa profil yang lebih terperinci mengenai kepemilikan mata uang kripto dan hubungan transaksi target.

Model UTXO

Memahami dusting attack mengharuskan kita memahami model UTXO.

UTXO adalah output transaksi yang belum dibelanjakan.

Ketika wallet menerima beberapa pembayaran, wallet dapat menyimpan beberapa UTXO terpisah, bukan satu saldo akun yang terus diperbarui.

Misalnya, wallet menerima output senilai 0.01 BTC, 0.005 BTC, dan sejumlah kecil dust.

Antarmuka wallet mungkin menampilkan satu saldo gabungan meskipun blockchain mencatat tiga output yang berdiri sendiri.

Untuk mengirim jumlah yang lebih besar daripada output tunggal yang sesuai, wallet dapat memilih beberapa UTXO sebagai input transaksi.

Setiap input yang dipilih akan terlihat secara publik dalam transaksi yang selesai.

Jika jumlah input melebihi nilai pembayaran dan biaya, wallet biasanya membuat output kembalian untuk sisa nilainya.

Analis blockchain mempelajari hubungan input dan output ini untuk memperkirakan alamat mana yang mungkin dimiliki wallet yang sama.

Heuristik Kepemilikan Input Bersama

Heuristik kepemilikan input bersama mengasumsikan bahwa beberapa input dalam transaksi biasa kemungkinan dikendalikan oleh entitas yang sama.

Asumsi ini sering kali berlaku karena setiap input biasanya memerlukan tanda tangan valid dari kunci yang mengendalikan input tersebut.

Pemilik wallet yang membuat pembayaran biasa umumnya memberikan semua tanda tangan yang diperlukan.

Jika output dust digabungkan dengan UTXO lain, penyerang dapat menyimpulkan bahwa kedua output tersebut berasal dari wallet yang sama.

Penyerang dapat mengulangi proses ini saat dana dalam klaster ikut serta dalam transaksi berikutnya.

Metode ini merupakan heuristik, bukan bukti matematis.

Transaksi kolaboratif dapat berisi input yang diberikan oleh beberapa peserta independen.

Contohnya, spesifikasi Payjoin BIP-78 menjelaskan pembayaran yang inputnya dapat diberikan oleh pengirim maupun penerima.

Karena itu, alat privasi dan perilaku wallet yang tidak biasa dapat membuat asumsi kepemilikan sederhana menjadi keliru.

Analisis profesional sebaiknya menyatakan kesimpulan pengelompokan sebagai probabilitas atau perkiraan berbasis bukti, bukan klaim identitas yang pasti.

Mengapa Penggunaan Ulang Alamat Meningkatkan Risiko Dusting

Penggunaan ulang alamat berarti menerima lebih dari satu pembayaran melalui alamat mata uang kripto yang sama.

Alamat publik yang digunakan ulang memberikan sasaran tetap yang dapat dipantau penyerang dari waktu ke waktu.

Penyerang dapat mengirim dust ke alamat tersebut setelah alamat itu dikaitkan dengan seseorang, perusahaan, atau transaksi sebelumnya.

Jika wallet kemudian membelanjakan dust bersama dana dari alamat yang lebih baru, transaksi pembelanjaan tersebut dapat menghubungkan alamat-alamat itu.

Panduan pemrosesan pembayaran Bitcoin resmi menyarankan penggunaan alamat terpisah untuk setiap pembayaran masuk.

Wallet deterministik hierarkis memudahkan pembuatan alamat baru karena banyak alamat dapat diturunkan dari satu seed utama.

Standar wallet deterministik hierarkis BIP-32 menetapkan struktur pohon untuk menurunkan banyak kunci yang saling terkait.

Menggunakan alamat penerima baru tidak membuat aktivitas blockchain sepenuhnya anonim.

Namun, hal itu menghilangkan satu hubungan sederhana dan sangat andal yang tercipta dari penggunaan berulang atas pengenal publik yang sama.

Informasi Apa yang Dapat Diketahui Penyerang Dusting?

Dusting attack yang berhasil dapat membantu mengidentifikasi alamat mana yang kemungkinan dikendalikan oleh satu wallet.

Serangan ini dapat mengungkap kapan wallet mulai aktif dan seberapa sering pemiliknya melakukan pembayaran.

Serangan ini dapat membantu memperkirakan saldo target secara keseluruhan ketika beberapa klaster berhasil dihubungkan.

Serangan ini dapat mengungkap pembayaran kepada merchant, kontak pribadi, layanan kustodian, alamat donasi, atau entitas lain yang dapat dikenali.

Waktu transaksi dapat memberi petunjuk tentang lokasi, jam kerja, perjalanan, atau aktivitas bisnis.

Jumlah pembayaran yang berulang dapat mengungkap langganan, gaji, transfer internal, atau pola operasional.

Penyerang yang sudah mengetahui bahwa satu alamat milik sebuah perusahaan dapat menggunakan dust untuk mencari wallet treasury, penggajian, pemasok, atau pelanggan.

Penyerang juga dapat menggunakan informasi tersebut untuk phishing tertarget, pemerasan, peniruan identitas, atau ancaman terhadap keamanan fisik.

Keakuratan kesimpulan tersebut bergantung pada perilaku pemilihan koin wallet dan ketepatan asumsi penyerang.

Hal yang Tidak Dapat Dilakukan Dusting Attack dengan Sendirinya

Menerima dust Bitcoin biasa tidak mengungkap kunci privat penerima.

Hal itu tidak memberi pengirim izin untuk menandatangani transaksi dari wallet penerima.

Hal itu tidak memasang perangkat lunak di perangkat penerima.

Hal itu tidak otomatis memindahkan aset lain milik penerima.

Hal itu tidak membuktikan identitas hukum pemilik wallet tanpa bukti tambahan.

Hal itu tidak menjamin bahwa dust tersebut akan pernah dibelanjakan.

Hal itu juga tidak menjamin bahwa setiap input yang kelak digabungkan dengan dust dimiliki oleh satu orang.

Serangan tradisional ini berhasil dengan mendorong perilaku pembelanjaan yang dapat diamati, bukan dengan memecahkan kriptografi.

Apakah Dusting Attack Merupakan Serangan Pencurian?

Dusting attack UTXO tradisional terutama merupakan serangan privasi, bukan serangan pencurian langsung.

Korban bahkan mungkin tetap memiliki sejumlah kecil aset yang dikirim penyerang.

Nilai finansial dust biasanya tidak sepenting fungsinya sebagai penanda yang dapat dilacak.

Namun, hilangnya privasi tetap dapat menimbulkan ancaman lanjutan yang serius.

Pemilik wallet bernilai tinggi yang teridentifikasi dapat menerima pesan phishing tertarget atau permintaan dukungan palsu.

Sebuah bisnis dapat mengungkap hubungan dengan pemasok atau praktik pengelolaan treasury.

Individu yang dikenal publik dapat menghadapi pemerasan atau risiko keamanan fisik setelah kepemilikan asetnya diperkirakan.

Karena itu, pengguna sebaiknya menanggapi serangan ini dengan serius tanpa menganggap bahwa deposit tersebut berarti kunci mereka telah disusupi.

Dusting Attack Tertarget

Dusting attack tertarget berfokus pada alamat yang diyakini milik orang atau organisasi tertentu.

Penyerang mungkin sudah memiliki informasi off-chain yang menghubungkan satu alamat dengan target.

Tujuannya adalah memperluas titik yang diketahui itu menjadi klaster yang lebih besar.

Alamat donasi publik, alamat pembayaran yang dipublikasikan, alamat faktur yang digunakan ulang, dan catatan penarikan yang bocor dapat menjadi titik awal.

Penyerang tertarget dapat menggunakan jumlah dust atau waktu transaksi yang berbeda untuk membedakan beberapa target yang dipantau.

Penyerang kemudian dapat memantau apakah output tertentu dibelanjakan.

Kampanye tertarget dapat lebih berbahaya daripada dust acak karena penyerang memulainya dengan hipotesis identitas.

Kampanye Dusting Massal

Kampanye dusting massal mendistribusikan sejumlah kecil aset ke banyak alamat.

Pengirim mungkin sedang menguji perilaku wallet, mengiklankan layanan, mengumpulkan data aktivitas alamat, atau berupaya melakukan pengelompokan blockchain secara luas.

Sebagian transfer massal merupakan distribusi promosi, bukan pengawasan yang ditargetkan secara cermat.

Penerima tidak dapat mengetahui tujuan pengirim hanya dari jumlah kecil tersebut.

Struktur transaksi, riwayat pengirim, pola berulang, metadata token, dan situs terkait dapat memberikan petunjuk tambahan.

Tanggapan paling aman didasarkan pada risiko teknis saat membelanjakan atau berinteraksi dengan aset, bukan dugaan tentang motif pengirim.

Dusting Attack pada Jaringan Berbasis Akun

Blockchain berbasis akun tidak mengelola saldo biasa sebagai UTXO yang berdiri sendiri.

Transfer aset native dalam jumlah kecil mengubah saldo akun penerima tanpa membuat input terpisah yang nantinya harus digabungkan dengan koin lain.

Karena itu, metode pengelompokan UTXO klasik tidak bekerja dengan cara yang persis sama.

Namun, setiap transaksi dari akun tersebut tetap menggunakan alamat akun publik yang sama, kecuali pengguna membuat akun terpisah.

Pembayaran yang tidak diminta dapat memastikan bahwa akun masih aktif atau menarik perhatian pengguna.

Penyerang juga dapat menyebarkan token spam dan NFT yang nama atau metadatanya mengarahkan penerima ke situs penipuan.

Perilaku ini sering disebut dusting meskipun mekanisme teknisnya berbeda dari analisis dust ala Bitcoin.

Token dan NFT yang Tidak Diminta

Siapa pun mungkin dapat mentransfer token atau NFT ke alamat blockchain publik tanpa izin penerima.

Aset tersebut dapat muncul secara otomatis di wallet atau blockchain explorer.

Namanya mungkin mengiklankan reward, refund, voucher, halaman klaim, atau tindakan akun yang mendesak.

Penerima mungkin diminta mengunjungi situs web dan menghubungkan wallet.

Situs tersebut dapat meminta persetujuan token, transfer yang menipu, tanda tangan pesan berbahaya, atau frasa pemulihan wallet.

Panduan keamanan dan pencegahan penipuan Ethereum menjelaskan penipuan airdrop yang menggunakan aset tidak diminta untuk mengarahkan pengguna ke aktivitas klaim palsu.

Menerima aset yang tidak diinginkan biasanya tidak berarti pengirim sudah mengendalikan wallet.

Interaksi dengan aplikasi tertaut atau penandatanganan permintaannya dapat menjadi penyebab kerugian yang sebenarnya.

Persetujuan Token Berbahaya

Persetujuan token memberikan izin kepada smart contract untuk mentransfer jenis dan jumlah token tertentu dari sebuah akun.

Persetujuan diperlukan oleh banyak aplikasi terdesentralisasi yang sah.

Situs web berbahaya dapat menyamarkan persetujuan sebagai klaim reward, verifikasi akun, konversi token, atau pembaruan keamanan.

Persetujuan tanpa batas dapat mengizinkan kontrak mentransfer seluruh saldo token yang disetujui di kemudian hari.

Pengguna sebaiknya memeriksa kontrak yang meminta persetujuan, aset, jumlah, jaringan, dan izin sebelum menandatangani.

Panduan keamanan Ethereum menyarankan penetapan batas pengeluaran smart contract alih-alih memberikan akses tanpa batas yang tidak diperlukan.

Token spam yang menyerupai dust terutama berbahaya jika mendorong penerima untuk mengizinkan operasi lain.

Dusting Attack vs. Address Poisoning

Address poisoning adalah serangan berbeda yang sering disalahartikan sebagai dusting.

Dalam serangan address poisoning, penyerang membuat alamat yang secara visual mirip dengan alamat yang pernah digunakan korban.

Penyerang lalu mengirim transaksi kecil agar alamat tiruan tersebut muncul dalam riwayat transaksi korban.

Penyerang berharap korban kelak menyalin alamat palsu dari riwayat tersebut, bukan menggunakan sumber tepercaya.

Alamat mata uang kripto bisa sangat panjang. Pengguna yang hanya membandingkan beberapa karakter pertama dan terakhir mungkin tidak menyadari perbedaan di bagian tengah.

Dusting attack terutama bertujuan mengumpulkan informasi melalui perilaku pembelanjaan berikutnya.

Address poisoning bertujuan mengalihkan pembayaran di masa mendatang.

Keduanya dapat melibatkan transfer kecil, tetapi tujuan dan cara pencegahannya berbeda.

Dusting Attack vs. Phishing

Phishing berupaya menipu pengguna agar mengungkap kredensial, mengunjungi situs palsu, memasang malware, atau mengotorisasi transaksi berbahaya.

Transfer dust dapat digunakan sebagai langkah awal kampanye phishing.

Contohnya, nama token atau deskripsi NFT dapat berisi alamat situs web yang menjanjikan klaim reward kepada penerima.

Deposit blockchain membuat pesan tersebut tampak lebih meyakinkan karena terlihat di dalam wallet.

Pengguna tidak boleh menganggap aset yang tidak diminta sebagai bukti bahwa situs web atau promosi tersebut sah.

Proses pemulihan yang sah tidak pernah meminta frasa seed atau kunci privat wallet.

Cara Mendeteksi Dusting Attack

Pengguna mungkin melihat deposit tak terduga dalam jumlah sangat kecil di riwayat transaksi wallet.

Jumlahnya mungkin terlalu kecil untuk memiliki tujuan ekonomi yang jelas.

Transaksi pengiriman yang sama mungkin mendistribusikan jumlah serupa ke banyak alamat yang tidak terkait.

Blockchain explorer mungkin menunjukkan bahwa pengirim berulang kali melakukan transfer bernilai rendah secara massal.

Aset tersebut mungkin tidak memiliki hubungan yang dikenal dengan aktivitas penerima biasanya.

Di jaringan token, nama token atau metadata NFT mungkin berisi teks promosi atau situs web yang mencurigakan.

Perangkat lunak wallet mungkin menandai output, token, atau koleksi tersebut sebagai mencurigakan.

Tidak satu pun tanda ini membuktikan bahwa pengirim menjalankan operasi pengawasan resmi.

Namun, tanda-tanda tersebut menjadi alasan untuk berhati-hati.

Hal yang Perlu Dilakukan Setelah Menerima Bitcoin Dust

Pengguna sebaiknya tidak panik karena menerima UTXO biasa tidak mengungkap kunci privat.

Transaksi harus diperiksa melalui blockchain explorer atau antarmuka wallet tepercaya.

Pengguna perlu mengidentifikasi jumlah output, alamat penerima, transaksi pengirim, dan apakah pembayaran tersebut memang diharapkan.

Wallet dengan fitur coin control dapat menandai, membekukan, mengunci, atau mengecualikan UTXO mencurigakan dari pembelanjaan otomatis.

Jangan sembarangan menggabungkan output tersebut dengan UTXO bernilai tinggi karena penggabungan dapat menciptakan hubungan alamat yang diinginkan penyerang.

Pengguna juga sebaiknya tidak mengirim dust kembali ke pengirim yang terlihat tanpa memahami dampaknya terhadap privasi.

Ikuti dokumentasi khusus wallet karena perilaku coin control berbeda-beda antar aplikasi.

Pemilik wallet bernilai tinggi atau wallet organisasi dapat mempertimbangkan saran dari spesialis privasi dan keamanan blockchain yang kompeten.

Coin Control

Coin control memungkinkan pengguna memilih UTXO yang akan dimasukkan ke dalam transaksi.

Tanpa coin control, perangkat lunak wallet memilih input secara otomatis berdasarkan algoritma pemilihan koinnya.

Pengguna yang memperhatikan privasi dapat mengecualikan output yang tidak diminta dari pembayaran.

Coin control juga dapat mencegah sumber dana yang tidak terkait digabungkan.

Penggunaan yang keliru dapat menyebabkan biaya berlebihan, kembalian yang tidak perlu, atau masalah privasi baru.

Sebelum membuat transaksi manual, pengguna sebaiknya memahami label, perilaku pembekuan, penanganan alamat kembalian, dan perhitungan biaya wallet.

Sekadar memilih output terbesar tidak menjamin privasi yang kuat.

Kontrol Avoid-Reuse Bitcoin Core

Bitcoin Core memiliki kontrol wallet yang dirancang untuk mengurangi pembelanjaan dari alamat yang sudah pernah digunakan.

Dokumentasi setwalletflag menjelaskan flag wallet

.

Jika fitur ini diaktifkan, wallet melacak output yang terkait dengan alamat yang sebelumnya digunakan untuk pembelanjaan.

Antarmuka informasi wallet Bitcoin Core saat ini melaporkan apakah penghindaran penggunaan ulang aktif.

Fitur ini dapat membantu mencegah kebocoran privasi tertentu akibat pembelanjaan pembayaran berikutnya yang dikirim ke alamat yang sudah terekspos.

Fitur ini bukan perlindungan universal terhadap setiap teknik pengelompokan atau setiap cara alternatif untuk mengodekan informasi kunci publik yang saling terkait.

Pengguna sebaiknya menganggapnya sebagai salah satu kontrol privasi dalam strategi wallet yang lebih luas.

Mengapa Menggabungkan Dust Secara Otomatis Berisiko

Konsolidasi UTXO menggabungkan beberapa output menjadi sejumlah kecil output yang lebih besar.

Konsolidasi dapat mengurangi ukuran transaksi di masa depan dan mungkin ekonomis saat biaya rendah.

Namun, konsolidasi juga menampilkan semua input yang dipilih dalam satu transaksi publik.

Jika output dust yang mencurigakan disertakan, transaksi tersebut dapat menghubungkannya dengan dana lain dalam wallet.

Menggabungkan UTXO yang terkait dengan pelanggan, identitas, bisnis, atau kategori tabungan yang berbeda dapat mengungkap hubungan meskipun tidak ada dust dari penyerang.

Pemilik wallet sebaiknya merencanakan konsolidasi dengan mempertimbangkan biaya dan privasi.

Biaya jaringan yang rendah tidak otomatis membuat setiap konsolidasi layak dilakukan.

Apakah Dust Aman untuk Dibelanjakan?

Output dust dapat dibelanjakan secara teknis jika script, kunci, biaya transaksi, dan kebijakan wallet mengizinkannya.

Persoalan privasinya adalah apakah pembelanjaan tersebut mengungkap informasi tentang dana lain.

Membelanjakan output itu sendiri tanpa menggabungkannya dengan input wallet lain dapat menghindari penggabungan, tetapi nilainya mungkin lebih kecil daripada biaya yang diperlukan.

Menambahkan dana eksternal untuk membayar biaya dapat menciptakan hubungan baru.

Usulan pembuangan secara kolaboratif dan teknik wallet khusus dapat melibatkan asumsi serta kerumitan tambahan.

Bagi kebanyakan pengguna, membekukan atau mengabaikan dust mencurigakan lebih sederhana daripada mencoba membuat transaksi pembuangan sendiri.

Tidak ada satu tanggapan universal yang optimal untuk semua wallet dan kondisi biaya.

Hal yang Perlu Dilakukan terhadap Token atau NFT yang Tidak Diminta

Token atau NFT yang tidak diminta biasanya sebaiknya dibiarkan atau disembunyikan melalui kontrol tampilan wallet.

Pengguna sebaiknya tidak mengunjungi situs web yang tercantum pada nama, simbol, gambar, atau metadata aset tersebut.

Jangan menyetujui kontrak hanya untuk menjual, mengklaim, membakar, memigrasikan, atau menghapus aset tersebut.

Jangan pernah memasukkan frasa pemulihan ke situs web.

Menyembunyikan aset mengubah tampilan wallet, tetapi tidak memindahkan atau menghapus catatan blockchain.

Jika pengguna sudah menandatangani persetujuan yang mencurigakan, persetujuan tersebut perlu diperiksa dan dicabut melalui metode tepercaya.

Aset berharga yang tersisa mungkin perlu dipindahkan ke wallet baru yang diamankan jika kunci privat atau frasa pemulihan telah terungkap.

Wallet baru tidak menyelesaikan masalah jika seed phrase yang sama dan telah disusupi digunakan kembali.

Apakah Menyembunyikan Dust Menghapusnya?

Menyembunyikan transaksi, token, atau NFT mengubah apa yang ditampilkan antarmuka wallet.

Tindakan ini tidak menghapus transaksi blockchain.

UTXO tetap dapat dibelanjakan sampai digunakan dalam transaksi lain.

Saldo token tetap tercatat sesuai kontraknya.

NFT tetap ditetapkan ke alamat tersebut sampai ditransfer, dibakar berdasarkan aturan yang didukung, atau diubah oleh kontraknya.

Menyembunyikan konten mencurigakan tetap berguna karena mengurangi kemungkinan interaksi yang tidak disengaja.

Pertahanan privasi harus dilakukan melalui pengelolaan alamat, pemilihan koin, pemisahan akun, dan pembuatan transaksi, bukan hanya pengaturan tampilan.

Bagaimana Alamat Baru Mengurangi Risiko

Alamat penerima baru mempersulit pengaitan pembayaran terpisah melalui penggunaan ulang alamat secara langsung.

Wallet deterministik hierarkis modern dapat menurunkan banyak alamat penerima dari satu seed yang dilindungi.

Pengguna tidak memerlukan frasa pemulihan terpisah untuk setiap alamat jika wallet mengikuti standar derivasi yang kompatibel.

Alamat baru tidak mencegah penyerang menganalisis transaksi berikutnya yang menggabungkan outputnya.

Alamat baru paling efektif jika dipadukan dengan pemilihan koin yang memperhatikan privasi dan label yang akurat.

Bisnis sebaiknya membuat alamat unik untuk setiap faktur agar pembayaran pelanggan tidak tercampur di bawah satu pengenal publik.

Memublikasikan satu alamat permanen menciptakan sasaran pemantauan yang mudah, meskipun secara operasional praktis.

Pelabelan Wallet dan Pemisahan Akun

Label wallet membantu mencatat alasan suatu output diterima dan identitas atau aktivitas yang terkait dengannya.

Label yang akurat dapat mencegah pengguna tanpa sengaja menggabungkan dana bisnis, dana pribadi, donasi, dan tabungan privat.

Akun wallet terpisah dapat memberikan batas operasional yang lebih kuat jika menggunakan cabang kunci berbeda dan prosedur yang jelas.

Pemisahan menyeluruh mungkin memerlukan wallet, perangkat, koneksi jaringan, atau pengaturan kustodian terpisah, bergantung pada model ancamannya.

Label biasanya merupakan data lokal wallet dan dapat hilang jika tidak disertakan dalam proses pencadangan.

Seed phrase dapat memulihkan kunci dan dana tanpa memulihkan setiap label atau keputusan coin control.

Pengguna sebaiknya memastikan hal-hal yang disimpan oleh metode pencadangan mereka.

Akun Kustodian dan Dusting Attack

Seseorang yang menggunakan akun kustodian mungkin tidak mengendalikan UTXO deposit individual atau proses pemilihan koin platform.

Kustodian dapat menggabungkan deposit pelanggan dalam wallet operasional yang besar.

Pengamat eksternal mungkin dapat mengidentifikasi klaster wallet kustodian tanpa mengetahui pelanggan mana yang memiliki saldo internal tertentu.

Kustodian itu sendiri mungkin memiliki catatan identitas dan akun yang menghubungkan deposit serta penarikan dengan pelanggan.

Pengguna sebaiknya tidak menganggap penggunaan kustodian memberikan privasi blockchain sepenuhnya.

Pengguna juga sebaiknya tidak mendepositkan token yang tidak diminta jika platform belum mengonfirmasi dukungan untuk aset dan jaringan tersebut secara spesifik.

Risiko Dusting bagi Bisnis

Bisnis sering memublikasikan alamat, memproses banyak pembayaran pelanggan, dan mengonsolidasikan dana secara berkala.

Praktik ini dapat menjadikannya target menarik bagi dusting dan pengelompokan transaksi.

Bisnis sebaiknya membuat alamat faktur unik dan menyimpan catatan pembayaran secara akurat.

Treasury, penggajian, penerimaan pelanggan, dana operasional, dan cadangan jangka panjang mungkin memerlukan struktur wallet terpisah.

Perangkat lunak pembayaran otomatis sebaiknya mendeteksi output bernilai rendah yang tidak diharapkan dan menerapkan kebijakan penanganan yang terdokumentasi.

Karyawan sebaiknya tidak berimprovisasi dengan mengembalikan dust atau memindahkannya melalui wallet pribadi.

Tim keamanan sebaiknya mempertimbangkan cara intelijen blockchain dapat mengungkap pemasok, pelanggan, pola pendapatan, dan kepemilikan treasury.

Risiko Dusting bagi Wallet Bernilai Tinggi

Wallet bernilai tinggi dapat menarik pengawasan meskipun pemiliknya belum mengungkapkan identitas secara publik.

Waktu transaksi, pihak lawan transaksi, penggunaan ulang alamat, dan pola konsolidasi dapat secara bertahap mengungkap petunjuk kepemilikan.

Dusting attack menambahkan sinyal yang dikendalikan ke dalam analisis tersebut.

Pemilik aset besar sebaiknya memisahkan dana untuk pembelanjaan publik dari cadangan jangka panjang.

Mereka sebaiknya meminimalkan pengungkapan alamat publik yang tidak perlu dan menggunakan perangkat lunak wallet yang mendukung coin control kuat.

Staf operasional perlu memahami bahwa satu konsolidasi yang ceroboh dapat melemahkan pemisahan alamat yang telah dijaga selama bertahun-tahun.

Keamanan fisik juga perlu dipertimbangkan ketika kepemilikan aset blockchain dapat dikaitkan dengan seseorang di dunia nyata.

Dusting dan Biaya Transaksi

Output dust dapat meningkatkan biaya transaksi di masa depan karena setiap UTXO yang dipilih menambahkan data input.

Wallet yang berisi banyak output kecil mungkin memerlukan transaksi besar untuk mengonsolidasikan atau membelanjakannya.

Ketika permintaan biaya tinggi, sebagian output mungkin sementara tidak ekonomis untuk digunakan.

Karena itu, saldo total yang ditampilkan wallet dapat lebih besar daripada jumlah yang dapat dipindahkan secara ekonomis pada tingkat biaya tertentu.

Penyerang juga harus membayar biaya transaksi dan menyediakan dana untuk output yang didistribusikan, sehingga membatasi keekonomian kampanye massal.

Perubahan kebijakan biaya relay dan kondisi biaya jaringan dapat mengubah jumlah kecil mana yang praktis untuk dibelanjakan oleh penyerang atau wallet.

Dust dan UTXO Set

Setiap output Bitcoin yang belum dibelanjakan harus dikenali oleh node validator sampai output tersebut dibelanjakan.

Jumlah output kecil yang belum dibelanjakan dalam skala besar dapat meningkatkan ukuran UTXO set.

UTXO set penting karena node memeriksanya untuk memastikan input transaksi membelanjakan output lama yang valid.

Kebijakan relay dust sebagian bertujuan mencegah pembuatan output yang nilai ekonominya kecil dibandingkan biaya pembelanjaan di masa mendatang.

Kebijakan ini menyeimbangkan kebebasan membuat transaksi dengan penggunaan sumber daya dan kekhawatiran terhadap serangan denial-of-service.

Kebijakan tersebut tidak mencegah setiap output kecil muncul on-chain.

Keterbatasan Analisis Dusting

Analisis dusting dapat menghasilkan kesimpulan yang keliru ketika perilaku wallet berbeda dari asumsi penyerang.

Transaksi kolaboratif dapat berisi input dari beberapa pemilik.

Kustodian dapat menggabungkan dana milik banyak pelanggan.

Pengguna dapat mengalihkan kendali atas wallet atau alamat.

Wallet organisasi bersama dapat dioperasikan oleh beberapa orang.

Metode deteksi kembalian dapat salah mengidentifikasi penerima atau output kembalian.

Bridge lintas blockchain dan aset wrapped dapat menghadirkan entitas serta lapisan pencatatan tambahan.

Karena itu, bukti blockchain harus ditafsirkan dengan mempertimbangkan ketidakpastian dan konteks pendukung.

Bagaimana Developer Wallet Dapat Mengurangi Risiko Dusting

Developer wallet dapat menyediakan alat coin control yang jelas dan peringatan untuk output bernilai rendah yang tidak diharapkan.

Algoritma pemilihan koin dapat menghindari penggabungan otomatis output mencurigakan atau output dari alamat yang digunakan ulang.

Wallet dapat membuat alamat baru untuk setiap permintaan pembayaran.

Wallet dapat mempertahankan label, status penggunaan ulang, dan informasi output beku dalam cadangan yang aman.

Antarmuka dapat menjelaskan alasan saldo yang terlihat mungkin mencakup output yang sengaja tidak disertakan dalam pembelanjaan.

Wallet token dapat menandai aset mencurigakan dan menyembunyikan metadata atau tautan eksternal yang tidak tepercaya.

Layar penandatanganan sebaiknya menjelaskan persetujuan, jumlah aset, alamat kontrak, dan informasi jaringan dalam format yang mudah dipahami.

Fitur privasi sebaiknya diuji dengan riwayat transaksi realistis, bukan hanya pembayaran biasa.

Cara Pengguna Mencegah Dusting Attack

Pengguna tidak dapat mencegah orang asing mengirim dana ke alamat publik.

Namun, pengguna dapat mencegah output yang tidak diminta tersebut menciptakan hubungan yang berguna bagi penyerang akibat pembelanjaan yang ceroboh.

Alamat penerima baru sebaiknya digunakan untuk setiap pembayaran jika wallet mendukung praktik tersebut.

Fitur coin control dan pembekuan output sebaiknya digunakan untuk UTXO mencurigakan.

Identitas dan tujuan yang berbeda sebaiknya dipisahkan ke dalam akun wallet yang dikelola dengan jelas.

Jangan mengaitkan alamat publik dengan informasi pribadi jika tidak diperlukan.

Token dan NFT tak terduga sebaiknya diabaikan, bukan diklaim melalui situs web yang belum diverifikasi.

Setiap transaksi dan persetujuan harus ditinjau melalui tampilan wallet tepercaya sebelum ditandatangani.

Kunci privat dan frasa pemulihan tidak boleh dibagikan.

Kesalahan Umum dalam Dusting Attack

Kesalahan umum pertama adalah menganggap penerimaan dust berarti kunci privat sudah dicuri.

Kesalahan lainnya adalah langsung membelanjakan output mencurigakan bersama dana wallet yang lebih besar.

Kesalahan ketiga adalah mengembalikan dust ke pengirim tanpa mempertimbangkan hubungan transaksi yang dihasilkan.

Kesalahan keempat adalah mengonsolidasikan semua UTXO kecil secara otomatis saat biaya jaringan turun.

Kesalahan kelima adalah menggunakan satu alamat publik untuk banyak pembayaran yang tidak terkait.

Kesalahan keenam adalah mengeklik situs web yang ditampilkan di dalam token atau NFT yang tidak diminta.

Kesalahan ketujuh adalah memberikan izin kepada smart contract untuk menghapus aset yang tidak diinginkan.

Kesalahan kedelapan adalah menyalin alamat tujuan dari riwayat transaksi tanpa memeriksa keseluruhan alamat.

Kesalahan kesembilan adalah menganggap pengelompokan blockchain sebagai bukti pasti bahwa semua input memiliki satu pemilik.

Kesalahan kesepuluh adalah mengabaikan serangan karena jumlah yang diterima hampir tidak memiliki nilai finansial.

FAQ

Apa itu dusting attack dalam kripto?

Dusting attack mengirim sejumlah kecil mata uang kripto ke berbagai alamat agar pengirim dapat memantau transaksi berikutnya dan mencoba menghubungkan alamat-alamat tersebut.

Apa itu crypto dust?

Crypto dust adalah saldo atau output transaksi yang sangat kecil sehingga mungkin tidak praktis atau ekonomis untuk dibelanjakan.

Apakah dust dan dusting attack sama?

Tidak. Dust adalah jumlah kecil, sedangkan dusting attack sengaja mendistribusikan jumlah kecil untuk pengawasan, phishing, manipulasi, atau tujuan berbahaya lainnya.

Bisakah dusting attack mencuri mata uang kripto?

Menerima dust UTXO biasa tidak mencuri dana, tetapi aktivitas phishing atau persetujuan berbahaya terkait dapat menyebabkan pencurian jika pengguna menandatangani permintaan berbahaya.

Bisakah dust mengungkap kunci privat?

Tidak. Transfer dust biasa tidak mengungkap kunci privat penerima.

Bisakah pengirim mengendalikan wallet saya setelah mengirim dust?

Tidak. Mengirim mata uang kripto ke sebuah alamat tidak memberi pengirim wewenang untuk menandatangani transaksi dari alamat tersebut.

Mengapa penyerang mengirim pembayaran kripto dalam jumlah kecil?

Mereka mungkin melacak aktivitas wallet, menguji alamat aktif, beriklan, meracuni riwayat transaksi, atau mengarahkan pengguna ke penipuan.

Bagaimana dusting Bitcoin melacak pengguna?

Penyerang memantau apakah UTXO dust kemudian digabungkan dengan input lain yang mungkin berasal dari wallet yang sama.

Apa itu heuristik kepemilikan input bersama?

Ini adalah asumsi bahwa input yang digunakan bersama dalam transaksi biasa kemungkinan dikendalikan oleh satu entitas.

Apakah heuristik input bersama selalu benar?

Tidak. Transaksi kolaboratif, wallet kustodian, wallet bersama, dan struktur transaksi yang tidak biasa dapat menghasilkan input dari pemilik berbeda.

Apakah dusting attack bekerja di Ethereum?

Serangan UTXO klasik tidak bekerja dengan cara yang sama, tetapi transfer yang tidak diminta dapat mengidentifikasi akun aktif atau memancing pengguna ke phishing dan persetujuan berbahaya.

Apa yang harus saya lakukan dengan token yang tidak diminta?

Tanggapan normal yang paling aman adalah mengabaikan atau menyembunyikannya serta menghindari situs web, persetujuan, atau instruksi klaim yang terkait dengannya.

Haruskah saya membakar token yang tidak dikenal?

Jangan melakukannya secara otomatis karena proses pembakaran atau penghapusan mungkin mengharuskan interaksi dengan kontrak atau situs web berbahaya.

Haruskah saya mengirim kembali Bitcoin dust?

Jangan melakukannya secara otomatis karena pengembalian dapat mengungkap hubungan transaksi tambahan dan menghabiskan biaya lebih besar daripada nilai dust tersebut.

Haruskah saya membelanjakan UTXO dust yang mencurigakan?

Umumnya, UTXO tersebut sebaiknya dikecualikan atau dibekukan, kecuali pengguna memahami coin control wallet dan dampak privasi dari transaksi yang direncanakan.

Apa itu coin control?

Coin control adalah fitur wallet yang memungkinkan pengguna memilih UTXO yang disertakan atau dikecualikan dari transaksi.

Bisakah hardware wallet menghentikan dusting attack?

Hardware wallet melindungi kunci privat, tetapi tidak mencegah alamat publik menerima dust atau menghentikan konsolidasi UTXO yang ceroboh.

Apakah menggunakan alamat baru mencegah dusting?

Penggunaan alamat baru mengurangi risiko penggunaan ulang alamat, meskipun transaksi berikutnya tetap dapat menciptakan hubungan ketika output digabungkan.

Bisakah wallet mengabaikan dust secara otomatis?

Beberapa wallet dapat membekukan, mengecualikan, menyembunyikan, atau menghindari output mencurigakan, tetapi kontrol yang tersedia dan perilaku default berbeda-beda.

Mengapa dust meningkatkan biaya transaksi?

Setiap UTXO yang dipilih sebagai input menambahkan data transaksi yang harus dibayar melalui biaya transaksi.

Apakah ada satu jumlah dust Bitcoin yang tetap?

Tidak. Ambang batas terkait bergantung pada jenis output, kebijakan relay, ukuran pembelanjaan, dan asumsi biaya.

Apakah Bitcoin dust tidak valid?

Belum tentu, karena validitas konsensus, standardness relay, aturan pembuatan wallet, dan kelayakan ekonomi untuk membelanjakan aset merupakan konsep yang berbeda.

Apa itu address poisoning?

Address poisoning mengirim transaksi kecil dari alamat yang menyerupai alamat asli dengan harapan korban menyalin alamat palsu tersebut dari riwayat transaksi.

Apakah address poisoning sama dengan dusting?

Tidak. Address poisoning berupaya mengalihkan pembayaran, sedangkan dusting tradisional berupaya mengumpulkan informasi dari perilaku pembelanjaan berikutnya.

Apakah menghapus token dari wallet dapat menghapusnya dari blockchain?

Tidak. Menyembunyikan aset hanya mengubah antarmuka karena catatan blockchain tetap ada.

Bagaimana bisnis dapat melindungi diri dari dusting attack?

Bisnis dapat menggunakan alamat faktur unik, memisahkan fungsi wallet, mempertahankan label, memantau output tak terduga, dan menerapkan kebijakan coin control yang terdokumentasi.

Haruskah saya memindahkan semua dana ke wallet baru setelah menerima dust?

Biasanya tidak, karena menerima dust saja tidak membahayakan kunci, dan memindahkan semuanya secara ceroboh dapat menciptakan lebih banyak hubungan publik.

Kapan dana perlu dipindahkan ke wallet baru?

Migrasi yang aman mungkin diperlukan ketika kunci privat, frasa pemulihan, perangkat penandatanganan, atau izin smart contract berbahaya benar-benar telah disusupi.

Kesimpulan

Dusting attack menggunakan transfer mata uang kripto dalam jumlah sangat kecil untuk mengamati perilaku wallet, mengurangi privasi, atau memancing pengguna agar melakukan aktivitas berbahaya.

Pada jaringan berbasis UTXO, penyerang berharap korban menggabungkan dust dengan output lain sehingga kemungkinan hubungan kepemilikan terungkap.

Serangan ini mengandalkan data transaksi publik dan perilaku wallet, bukan memecahkan kriptografi kunci privat.

Menerima dust biasa dengan sendirinya tidak memungkinkan pengirim mencuri dana atau mengendalikan wallet.

Risiko tradisional utamanya adalah pembelanjaan berikutnya dapat menghubungkan alamat, saldo, pihak lawan transaksi, dan informasi identitas dunia nyata.

Pada jaringan berbasis akun, token dan NFT yang tidak diminta lebih mungkin berfungsi sebagai iklan phishing atau ajakan untuk memberikan persetujuan smart contract yang berbahaya.

Pengguna sebaiknya menghindari penggunaan ulang alamat, memakai coin control, membekukan UTXO mencurigakan, memisahkan tujuan wallet, dan memverifikasi alamat tujuan secara lengkap.

Token dan NFT yang tidak dikenal biasanya sebaiknya diabaikan atau disembunyikan, bukan diklaim, diperdagangkan, atau dihapus melalui aplikasi yang belum diverifikasi.

Pengelompokan blockchain berguna tetapi tidak sempurna, sehingga transaksi dusting tidak membuktikan secara pasti bahwa setiap alamat terkait berikutnya memiliki satu pemilik.

Pengelolaan alamat dan pemeriksaan transaksi yang cermat dapat mencegah deposit yang hampir tidak bernilai menjadi jejak berharga bagi penyerang.