仮想通貨業界におけるダスト攻撃：その実態と対策

主なポイント： ダスト攻撃は、ごく少額の取引を利用してウォレットの活動を追跡し、アドレスと所有者を結びつけるものです。こうした送金には経済的価値はほとんどありませんが、もしそのダストが後で他の資金と共に使用された場合、オンチェーンのヒューリスティック分析によってプライバシーが侵害され、標的型攻撃が可能になる恐れがあります。対策は単純明快です。望まないダストを一緒に使用せず、コインコントロールやインプット凍結機能を活用し、リスクの高い支出をブロックするポリシー主導型のカストディを徹底することです。

ダストアタックとは何ですか？

ビットコインやライトコインのようなUTXOベースのブロックチェーンでは、残高は財布の中の現金のように機能します。各未使用取引出力（UTXO）は、額面が決まっている特定の紙幣のようなものです。支払いまたは送金を行う際、ウォレットはいくつかの紙幣を選び、それらを手渡すと、お釣りとして新しい紙幣を受け取ることになります。

ダスト攻撃は、この「1枚ずつ処理される」仕組みを悪用するものです。見知らぬ人が、目印をつけた紙幣をあなたの財布に忍ばせた場面を想像してみてください。その紙幣を他の資金と一緒に使ってしまうと、ブロックチェーン上では取引内容が公開されているため、使った資金だけでなく、受け取ったお釣りまで目印がついた状態になってしまいます。その時点から、攻撃者はその目印のついた紙幣が取引やその後の受け取ったお釣りに影響を与えたことで、その財布からのすべての取引を事実上監視できるようになります。 その紙幣、あるいは暗号資産ウォレットの場合の「ダスト」は、あなたの秘密鍵や移動する資金には触れません。その代わりに、あなたのプライバシーを侵害しうる追跡可能なシグナルを生み出すのです。

ほこりの攻撃の仕組み

ダスト攻撃の目的は、攻撃者があなたの正当な資金と自分のダストを一緒に使わせ、それによってあなたの取引を追跡できるようにすることにあります。

1. 小さな入力を分散させる。 攻撃者は、多くのアドレスに対してごくわずかな出力をブロードキャストするが、その量は無視できるほど小さい場合が多い。

2. 相場が落ち着くのを待ちましょう。 後で誰かに支払いを行う際、ウォレットは合計金額に達するように複数の入力を選択する場合があります。ダストが選択された場合、それは大きな入金額の横に表示されます。

3. クラスタリングのヒューリスティックを適用する。 攻撃者は「共通入力所有権」というヒューリスティックに依存しています。これは、同一トランザクション内の入力は、1人の所有者によって管理されている可能性が高いと推測するものです。この推測を利用することで、関連するウォレットやアドレスのマップを作成したり、暗号資産の保有高を推定したりすることが可能です。

4. 変化についていこう。 アドレス変更検出やタイミング解析などの追加手法を用いることで、関連性の信頼性が高まる。

5. その情報を活用せよ。 信頼性の高いクラスター情報を入手した攻撃者は、標的型詐欺を実行したり、恐喝に及んだり、あるいはフィッシング攻撃へと展開したりすることが可能になる。

要するに、話は単純だ。未使用のダストUTXOが一度も共同使用されなければ、それを用いて所有者を追跡することははるかに困難になる。

実例

ダスティングはさまざまなブロックチェーンやユースケースで発生しており、その手口は状況に応じて変化しています。2018年、Samourai Walletは、活発なビットコイン・ダスティング攻撃についてユーザーに警告し、不審なUTXOにラベルを付けて支出を回避できる簡単な保護機能を追加しました。この小さな変更により、攻撃者の可視性が遮断されました。

2019年、ライトコインは取引所での取引が活発だった時期に、広範囲にわたるダスティング攻撃に見舞われた。当初の報告では少数のアドレスに焦点が当てられていたが、その後の分析により、この攻撃が非常に多くのウォレットに及んでいたことが明らかになった。これは、取引手数料が低い状況下では、攻撃者が大規模な戦術を試みることができるという事実を改めて示すものだった。

攻撃者はこの手口をアカウントを標的とした攻撃にも応用している。2020年のBNB Chainでは、フィッシングリンクを含む取引メモが添付された少額の送金が確認された。2022年のイーサリアムでは、匿名の攻撃者が著名人に対し、法的な問題や評判の低下を引き起こそうと、Tornadoで汚染された少額のETHを送付した。

ダストはマーケティングにも利用されてきました。2018年後半、ミキシングサービスのBestMixerは、自社のサービス認知度を高めるため、宣伝メッセージを添えたごく少額のBTCを送金し、数千もの異なるアドレスに送信しました。すべてのダスティング攻撃が悪意のあるものとは限りませんが、そうした取引を自身の送金に組み込んでしまうと、重要なデータが不必要に危険にさらされる可能性があります。

粉塵の侵入を防ぐ

最も効果的な第一歩は、行動面での対策です。不審な送金は使用しないでください。多くのウォレットプロバイダーは、予期せぬ少額の入金についてはそのまま放置し、メモ欄に記載されたリンクやメッセージには反応しないようアドバイスしています。

コインコントロールや入力の固定機能を利用することで、疑わしいUTXOを取引から除外することができます。Bitcoin Coreや、いくつかのハードウェア・ソフトウェアウォレットでは、手動での入力選択や「do not spend」フラグがサポートされており、これらによって誤って他のUTXOと一緒に使用してしまうのを防ぐことができます。

また、ユーザーはHDウォレット内のアドレスをローテーションさせたり、顧客、ベンダー、財務業務間でアドレスの再利用を避けたりすることで、追跡可能性を低減できます。UTXOを統合する際は、意図せずダスト（微小残高）とUTXOを結合しないよう注意してください。他者に取引を送っていないからといって、攻撃が成功しないとは限りません。

業務フローを区分する。財務、仕入先への支払い、社内振込にはそれぞれ別のウォレットや口座を使用し、ダスティングによる業務上の入金が、単一の取引から全体的な状況を推測できないようにする。これはクラスタリング・ヒューリスティクスの仕組みに沿ったものであり、万が一ウォレットがダスティングによって侵害された場合でも、被害の範囲を限定することができる。

金融機関においては、ポリシーに基づく承認を徹底し、異常な少額入金（マイクロデポジット）を監視するとともに、不明な少額入金の支出をブロックするルールを設定してください。こうした管理措置により、日常業務においてダストが誤って支出されてしまうリスクを低減できます。

BitGoがダスト攻撃をどのように軽減するか

BitGoの「カストディ・ファースト」インフラは、ポリシーと管理を重視して構築されており、きめ細かな承認プロセス、不審な活動の監視、および疑わしい入力の誤った共同使用を防ぐUTXOレベルでの管理機能を通じて、機関投資家のワークフローをサポートします。このアプローチは、UTXOの衛生管理およびプライバシー保護を重視した運用に関する業界のベストプラクティスに沿ったものであり、チームは匿名性の喪失リスクを低減しつつ、安心して資金を移動させることができます。

よくある質問

ほこりは財布や鍵に悪影響を及ぼしますか？
いいえ。ダストだけでは、ウォレットや鍵へのアクセス権は得られません。リスクが生じるのは、ダストを他の入力と組み合わせて送金した場合のみであり、その際に分析者がアドレスを関連付けるのに十分な手がかりを与えてしまう可能性があります。

自分が「ダスト」されたかどうか、どうすればわかりますか？
予期していなかった少額の入金には注意してください。多くのウォレットでは、こうした取引を目立たせて表示しており、中にはそれらにマークを付けて、支出時に選択されないようにできるものもあります。

ダスティングは、BNB ChainやXRPのような非UTXOチェーンに影響を及ぼすのでしょうか？
従来の匿名化解除の手法はUTXOの共同支出に依存していますが、アカウントベースのブロックチェーンでは、少額の送金がメモ欄を通じてフィッシングリンクを送信するために悪用されるケースが見られます。適切な対策としては、予期しない送金を無視し、メモ欄に記載されたリンクには決してアクセスしないことです。

なぜ攻撃者はわざわざお金をかけてダストを送るのでしょうか？
その見返りとして得られるのは情報です。もし1つのダストウォレットへの入金が共同支出された場合、攻撃者は関連するウォレットやアドレスのツリーを作成し、成功率の高い詐欺や恐喝を仕掛けることができるようになります。

教育機関は今、具体的にどのような措置を講じるべきでしょうか？
出所不明の少額入金の支出をブロックし、運用においてコイン管理を徹底し、ウォレットを機能別に分離し、異常な少額入金を監視する。これらの対策に加え、UTXOレベルでの管理や多段階承認に対応したカストディサービスを組み合わせる。

警戒を怠らず、安全を確保しましょう

ダスティングは、攻撃者がオンチェーン上であなたに関する情報を入手するための低コストな手段です。規律ある習慣とポリシーに基づいた管理を行えば、わずかな入力データが大きな情報漏洩につながることはありません。意識の向上、適切なセキュリティ対策、そして適切なインフラの整備は、プライバシーと業務の両方を守る上で極めて重要です。

セキュリティを強化する準備はできていますか？

BitGoがお客様のデジタル資産セキュリティ体制にどのように組み込めるかご興味をお持ちですか？当社のウェブサイトにあるフォームにご記入ください。