Dusting-атаки: как через «пыль» отслеживают кошельки

Иногда всё начинается с «подарка» — несколько копеек в крипте, о которых вы не просили и, скорее всего, даже не заметили их появления. Такие микропереводы выглядят как шум: ни смысла, ни пользы, ни угрозы. Проблема в том, что это способ хакеров атаковать и похитить активы. Криптовалютная «пыль» — это метка.

Она нужна, чтобы посмотреть, что получатель сделает дальше. Потратит — значит, даст связку адресов. Не заметит — значит, «пыль» будет лежать в истории и станет удобной приманкой для подмены адреса. Пользователь может ошибиться сразу или чуть позже, в любом случае он рискует потерять свои активы.

В этой статье разберём, что такое dusting атака, расскажем реальные кейсы похищений огромных сумм с помощью отправки «пыли», а также какие привычки и инструменты защищают средства и данные.

Коротко о главном

• Dusting-атака начинается с микроперевода. Злоумышленники рассылают крошечные суммы криптовалюты на тысячи адресов, чтобы пометить кошельки и подготовить почву для анализа.
• «Пыль» используется для отслеживания поведения. Когда пользователь тратит средства и случайно включает dust-вход, появляются данные для связывания адресов между собой.
• Адреса объединяются в кластеры. Через on-chain анализ атакующие определяют, какие кошельки принадлежат одному владельцу, и оценивают масштаб его активности.
• Атаки выходят за рамки слежки. Dusting-атаки всё чаще используются вместе с address poisoning, фишингом и подменой адресов, превращаясь в инструмент прямого хищения средств.
• Ошибки, спровоцированные «пылевыми» транзакциями, уже приводили к потере сотен тысяч и десятков миллионов долларов. Защита строится на контроле и дисциплине. . Неиспользование dust-входов, проверка адресов и применение кошельков с расширенным контролем значительно снижает риски, особенно в корпоративной среде.

Что такое dusting-атака

Dust-атака (или пылевая атака криптовалюты) — это метод деанонимизации владельцев криптовалютных кошельков. Злоумышленник отправляет крошечные суммы криптовалюты — «пыль» (dust) — на большое количество адресов, а затем отслеживает, как эти суммы расходуются в будущем.

Термин «пыль» в криптовалютной среде обозначает настолько малые суммы, что их стоимость часто не покрывает даже комиссию за перевод. Например, в сети Bitcoin это может быть 546 сатоши или меньше, в Ethereum — несколько Gwei. Именно эта незначительность и делает атаку незаметной для жертвы.

Как работает dusting атака: механизм шаг за шагом:

1. Массовая рассылка пыли. Атакующий отправляет микроскопические суммы на тысячи и даже миллионы адресов. Эти транзакции публично записываются в блокчейн.
2. Период ожидания. Мошенники ждут, пока владельцы адресов начнут проводить обычные операции со своими кошельками.
3. Отслеживание движения средств. Когда пользователь тратит свои криптоактивы и случайно включает в транзакцию полученную «пыль», атакующий получает ценную информацию.
4. Анализ и деанонимизация. Через анализ блокчейна злоумышленники выявляют связи между разными адресами одного владельца, строят граф транзакций и пытаются установить личность пользователя.

Согласно исследованию Gemini, dust-атаки на криптокошельки впервые были замечены ещё в 2018 году, но с тех пор значительно эволюционировали по сложности и масштабу.

Чем опасны dusting-атаки

На первый взгляд может показаться, что получение нескольких центов в криптовалюте — это безобидно. Однако последствия могут быть серьёзными:

Деанонимизация

Путём сопоставления dust-транзакций с последующими переводами злоумышленники выстраивают связи между кошельками. Это позволяет:

• Определить, какие адреса принадлежат одному человеку или организации.
• Оценить общий баланс и активность пользователя.
• Связать криптоадреса с реальной личностью через биржи, IP-адреса или другие метаданные.

Эволюция атак: от слежки к прямым потерям

Современные dust-атаки в крипте вышли за рамки простого наблюдения. Они стали частью многоступенчатых схем:

• Атака с отравлением адреса (address poisoning). Мошенники создают адреса, похожие на те, которыми пользуется жертва (совпадают первые и последние символы). После отправки dust-транзакции такой адрес появляется в истории кошелька. Когда пользователь копирует адрес из истории, он по ошибке отправляет средства злоумышленникам.
• Фишинг через memo-поля. Некоторые блокчейны (например, TRON) позволяют добавлять текстовые заметки к транзакциям. Атакующие используют это для размещения фишинговых ссылок, которые видит получатель dust-перевода.
• Целевые атаки на крупных держателей. Выявив владельца большого капитала через dust-анализ, мошенники могут организовать персонализированную фишинговую кампанию или даже физическое преследование.

Реальные кейсы dusting-атак

Dust-атаки уже принесли хакерам десятки миллионов долларов. Вот три громких кейса мошенничества, где отправка «пыли» была только первым шагом.

Кейс: от микроперевода к краже 170 тыс. USDT в TRON

В сентябре 2023 года пользователь сети TRON стал жертвой изощрённой схемы с отравлением адреса. Злоумышленники отправили на его кошелёк микроскопическую сумму USDT — настолько малую, что жертва даже не обратила внимания на уведомление.

Затем мошенники создали адрес-клон: первые пять и последние четыре символа совпадали с адресом, на который пользователь регулярно отправлял средства. Подставной адрес появился в истории транзакций сразу под легитимным.

Через несколько дней, когда пользователь совершал очередную транзакцию, он открыл историю кошелька, бегло взглянул на начало и конец адреса, скопировал его и отправил ~$170 тыс. USDT напрямую мошенникам.

Потеря $68 млн через address poisoning

Этот случай стал одним из самых дорогостоящих в истории криптовалютных мошенничеств, связанных с dust-атаками. В мае 2024 года владелец крупного кошелька потерял $68 млн в результате целенаправленной кампании address poisoning.

Атака была многоэтапной и тщательно спланированной. Мошенники в течение нескольких недель отслеживали активность жертвы, изучали паттерны её транзакций и выявили наиболее часто используемые адреса получателей.

Затем злоумышленники создали несколько адресов-двойников и начали массированную рассылку dust-транзакций. Каждый день на кошелёк жертвы приходили микроскопические суммы с подставных адресов, засоряя историю операций.

Когда пользователь проводил очередной крупный перевод на 714 WBTC (Wrapped Bitcoin), он не заметил подмены. Адрес выглядел знакомым: те же первые и последние символы и уже имеющиеся транзакции с его участием в истории. Средства ушли безвозвратно.

Масштабная атака с потерями $10 млн+

В конце октября 2025 года аналитическая компания TRM Labs в своём отчёте описала масштабную кампанию мошенников, которая затронула сотни тысяч пользователей сети TRON. Особенность этой атаки заключалась в её комбинированном характере. Злоумышленники использовали три вектора одновременно:

• Классический dusting. Массовая рассылка микроскопических сумм TRX для деанонимизации пользователей и построения графа связей между кошельками.
• Address poisoning. Создание адресов-клонов и их внедрение в историю транзакций жертв. За период наблюдения эксперты TRM Labs зафиксировали создание более двух миллионов подставных адресов.
• Фишинг через memo-поля. В сети TRON каждая транзакция может содержать текстовое поле с заметкой. Мошенники использовали это для размещения сообщений с фишинговыми ссылками: «Получите вашу награду [ссылка]» или «Верифицируйте ваш кошелёк, чтобы избежать ограничений: [ссылка]».

Эта кампания привела к подтверждённым потерям более $10 млн. Реальная цифра, вероятно, значительно выше, поскольку многие жертвы не сообщают о происшествиях.

Что делает эти примеры особенно показательными — это эволюция самой угрозы. Если в 2018-2019 годах dust-атаки были инструментом аналитики, то к 2026 году они стали полноценным оружием киберпреступников, приносящим им десятки миллионов долларов.

Как распознать dusting-атаку

Выявить dust-атаку на ранней стадии не всегда просто, но есть несколько признаков:

• Неожиданные микроскопические поступления. Если на ваш кошелёк пришла транзакция с суммой в несколько центов или даже долей цента, которую вы не ожидали — это повод насторожиться.
• Множественные dust-транзакции. Получение нескольких микроплатежей в короткий период времени — характерный признак атаки.
• Странные адреса отправителей. Dust обычно приходит с адресов, которые не имеют длинной истории транзакций или выглядят случайно сгенерированными.
• Похожие адреса в истории. Если в истории транзакций появились адреса, очень похожие на те, с которыми вы часто работаете, но вы их не добавляли — это признак address poisoning.
• Подозрительные memo-заметки. Ссылки, рекламные сообщения или призывы к действию в текстовых полях транзакций должны вызывать подозрение.

По данным Coinbase, пользователи Bitcoin и Ethereum-кошельков получают dust-транзакции чаще всего в периоды высокой активности рынка, когда злоумышленникам проще затеряться в общем потоке операций.

Защита от dusting атак

Теперь о главном — как защитить себя и свои активы. Меры безопасности делятся на базовые для всех пользователей и продвинутые для бизнеса.

Для индивидуальных пользователей

1. Не тратьте «пыль» вместе с основными средствами

Самое важное правило: не включайте подозрительные dust-входы в свои транзакции. Если «пыль» останется нетронутой, атакующие не смогут связать ваши адреса.

2. Используйте кошельки с функцией Coin Control

Многие современные кошельки (например, Electrum, Wasabi Wallet, Bitcoin Core) позволяют вручную выбирать, какие именно входы использовать в транзакции. Вы можете пометить dust-активы и исключить их из расходных операций.

3. Применяйте HD-кошельки

HD-кошельки (Hierarchical Deterministic) автоматически генерируют новый адрес для каждой транзакции. Это значительно усложняет отслеживание и связывание ваших операций, даже если на один из адресов попала «пыль».

4. Проверяйте адреса полностью

Никогда не копируйте адреса из истории транзакций, если не уверены в их подлинности. Всегда сверяйте не только первые и последние символы, но и несколько знаков из середины, а лучше вообще весь адрес, с оригиналом.

Для бизнеса: корпоративные решения

Компании, работающие с криптовалютой, сталкиваются с дополнительными рисками. Dust-атака на корпоративный кошелёк может привести к утечке информации о контрагентах бизнеса и финансовых потоках. Это чрезвычайно опасно и может грозить даже физической атакой на компанию.

Один из клиентов BitHide заметил, что на его адреса начали регулярно поступать неожиданные микропереводы криптовалюты. На первый взгляд это выглядело как сетевой шум, однако повторяемость и характер поступлений вызвали закономерный вопрос: что происходит и несёт ли это риск.

Нашей команде не пришлось долго анализировать ситуацию, чтобы понять, что речь идёт о dusting-атаке. Мы разъяснили клиенту механизм таких атак, возможные последствия и напомнили о доступных инструментах BitHide, которые позволяют защититься:

• Ролевой доступ к кошельку. Не все менеджеры компании могут инициировать переводы — только авторизованные сотрудники с соответствующими правами. Это снижает вероятность ошибки из-за невнимательности.
• Двойное подтверждение отправки средств. Каждая транзакция требует подтверждения уполномоченного лица. Даже если один сотрудник ошибётся и укажет мошеннический адрес, второй заметит несоответствие.
• Автоматизация массовых выплат. Файл с адресами получателей заранее согласовывается и проверяется. После подтверждения система автоматически выполняет переводы. Человеческий фактор и вероятность скопировать подставной адрес из истории сводятся к минимуму.
• Уникальные адреса для каждого клиента. BitHide генерирует отдельный адрес для каждого перевода вашего клиента. Главного центрального адреса, на котором хранятся большие суммы просто не существует.

Такой подход особенно важен для компаний, проводящих десятки или сотни криптотранзакций ежедневно.

Заключение

Что такое пылевая атака? Это инструмент деанонимизации, который эволюционировал в сложную схему мошенничества, способную приводить к потере миллионов долларов.

Основные выводы:

• Dust-атаки нацелены на вашу приватность, а через неё — на ваши средства.
• Современные схемы с address poisoning опираются на невнимательность пользователей.
• Простые меры предосторожности (не тратить dust, проверять адреса, использовать HD-кошельки) значительно снижают риски.
• Для бизнеса критически важны корпоративные решения с многоуровневым контролем.

Криптовалютное пространство становится всё более опасным. Защита от dusting атак начинается с осведомлённости и заканчивается использованием правильных инструментов. Будьте внимательны к неожиданным поступлениям, проверяйте адреса полностью и не игнорируйте базовые меры безопасности — они действительно работают.

А чтобы узнать подробнее, как BitHide поможет с решением задач вашего бизнеса, свяжитесь с нашей командой.