Una dust attack Bitcoin cerca di sfruttare piccoli output non richiesti per osservare eventuali collegamenti nelle spese successive. Riceverli non autorizza il mittente a usare gli altri fondi. Il problema principale è la privacy, non un codice che viene eseguito automaticamente quando arriva il pagamento.
Non ogni importo minimo è un attacco
Resto, prove di pagamento o ricompense possono produrre piccoli output legittimi. Inoltre, dust come termine tecnico dipende dalle regole di relay e dal tipo di output: non esiste una soglia universale valida per ogni script. L’importo da solo non dimostra le intenzioni del mittente.
Un esempio prudente
Se compare un accredito inatteso di poche centinaia di satoshi, annota la transazione e prova a ricostruirne l’origine. Se il wallet supporta coin control e blocco degli output, puoi evitare che venga selezionato automaticamente. L’etichetta nascosta nell’interfaccia non è necessariamente un blocco della spesa: verifica il comportamento effettivo.
Approfondimento: approfondimento tecnico collegato.
Perché spostare tutto può peggiorare le cose
Una transazione che unisce output prima separati può suggerire un controllo comune. Trasferire subito tutto a un indirizzo nuovo può quindi includere proprio l’accredito sospetto. Il nuovo indirizzo non cancella il collegamento pubblico appena creato. Anche durante una migrazione futura, ricontrolla selezione degli input ed etichette.
Approfondimento: guida operativa correlata.
Bitcoin e spam token non sono lo stesso caso
Su reti diverse, token o NFT indesiderati possono essere usati per pubblicizzare siti di phishing. Non aprire link promettendo un rimborso e non firmare per eliminare una presunta minaccia. La semplice ricezione di un UTXO Bitcoin e una firma che concede poteri a un contratto sono meccanismi differenti.
Approfondimento: checklist di sicurezza.
Cosa conservare e cosa non condividere
Tieni hash, importo, data e annotazioni sulla provenienza. Non consegnare seed o chiavi private a un analista; anche una xpub rivela informazioni sensibili. La risposta va proporzionata al rischio: isolamento dell’output e controllo degli invii possono essere più sensati di una migrazione precipitosa di tutto il patrimonio.
Un explorer non è un certificato di identità
L’hash permette di vedere gli output e la loro storia, ma non identifica automaticamente la persona che li ha creati. Anche le etichette fornite da servizi esterni possono essere incomplete o errate. Una verifica deve separare i fatti osservabili dalle ipotesi: importo e transazione sono dati, mentre l’intenzione del mittente richiede altri elementi.
Il blocco dell’output può essere locale
Una funzione di congelamento nella tua app non modifica la blockchain e può non essere riportata in un altro wallet dopo il recupero. Per questo le note sugli output da non spendere fanno parte della gestione operativa. Dopo un aggiornamento o una migrazione, controlla che la selezione automatica non abbia ripreso a includerli.
Non pagare per far sparire la dust
Un messaggio che richiede una commissione a un indirizzo esterno per liberare il wallet è un segnale da verificare con particolare cautela. Il mittente dell’output non acquisisce poteri sul resto del saldo per il solo accredito. Non convertire un problema di tracciamento in un trasferimento a uno sconosciuto o in una firma che non comprendi.
Controlli pratici
- presumere che ogni piccolo pagamento dimostri un attacco.
- aprire un memo, una pagina token o un link di assistenza.
- spostare tutte le monete senza coin control.
- condividere xpub o seed con un presunto analista.
- dimenticare l’output bloccato durante una migrazione futura.
