Пылевая атака на Kraken: как микропереводы стали инструментом блокировки

Пылевая атака на Kraken показала новый способ использования криптовалютных микропереводов против пользователей бирж. В августе 2026 года часть клиентов Kraken временно потеряла доступ к аккаунтам после получения небольших сумм с кошелька, связанного с HTX. Биржа заявила, что предполагаемой целью было не похищение средств, а запуск автоматических compliance-проверок через распространение санкционных активов.

Сама сумма перевода почти не имела значения. Важным оказалось происхождение средств.

Что произошло на Kraken

По данным Bloomberg, небольшие нежелательные переводы поступали клиентам Kraken с кошелька, который аналитические системы связывали с HTX. После этого некоторые аккаунты были временно ограничены. Kraken назвала происходящее dust attack и объяснила, что подобные микропереводы могли использоваться для провоцирования санкционных и AML-проверок.

HTX отрицает, что инициировала эти операции. Компания заявила, что расследует ситуацию и рассматривает в том числе ошибочную атрибуцию адресов или действия третьей стороны. Поэтому утверждать, что сама HTX организовала атаку, нельзя.

Почему фигурирует HTX

23 августа 2026 года ограничения ЕС в отношении HTX (HUOBI GLOBAL SA) вступили в силу. Платформа была включена в список криптосервисов и финансовых организаций, которые, согласно документам Евросоюза, существенно препятствуют достижению целей санкционного режима.

После этого происхождение средств, связанных с такими платформами, стало особенно чувствительным для регулируемых криптобирж.

Именно поэтому несколько центов с обычного адреса и несколько центов с адреса, имеющего санкционную метку, для автоматической compliance-системы — совершенно разные события.

Как работает такая атака

Централизованные биржи анализируют blockchain-транзакции с помощью систем risk scoring.

Они проверяют:

• адрес отправителя;
• происхождение средств;
• связи с санкционными сервисами;
• украденные активы;
• mixers;
• ransomware;
• darknet;
• мошеннические адреса.

Если входящая транзакция имеет высокий риск, система может автоматически создать alert и отправить аккаунт на дополнительную проверку.

Проблема в том, что владелец публичного blockchain-адреса не может запретить другому человеку отправить ему криптовалюту.

Получатель ничего не подписывает и не подтверждает.

Но запись в blockchain всё равно появляется.

В результате возникает простая схема:

рискованный адрес → микроперевод → клиент биржи → AML-alert → временное ограничение.

Атакуется не приватный ключ и не программный код биржи.

Атакуется логика compliance-системы.

Это не обычная пылевая атака

Классическая dust attack обычно используется для анализа кошельков.

Злоумышленник отправляет небольшие суммы на множество адресов и затем наблюдает за дальнейшим движением средств. Это может помочь связать несколько адресов с одним владельцем.

В случае Kraken механизм был другим.

Микроперевод использовался не для деанонимизации, а как способ создать нежелательную связь пользователя с санкционным источником.

Поэтому здесь «пыль» становится не инструментом слежки, а триггером AML-проверки.

Почему такая атака может быть эффективной

У подобной схемы есть неприятная экономическая особенность.

Для отправителя стоимость атаки может быть минимальной: небольшие суммы плюс комиссии сети.

Но каждая успешная реакция compliance создаёт расходы уже для биржи:

alert → ограничение → обращение клиента → support → ручная проверка → compliance → восстановление доступа.

Если рассылка становится массовой, возникает нагрузка уже не на blockchain, а на внутренние процессы биржи.

По сути, это напоминает DoS-атаку, только вместо серверов целью становится система финансового контроля.

Можно ли таким способом заблокировать любой кошелёк

Нет.

Self-custody кошелёк вроде MetaMask, Rabby или Phantom невозможно отключить таким входящим переводом. Приватный ключ остаётся у владельца.

Но микроперевод может создать нежелательную on-chain связь.

Проблемы могут появиться позже — например, когда владелец отправит активы на регулируемую биржу, кастодиану или в другой сервис, использующий blockchain analytics.

Тогда история происхождения средств уже может стать предметом дополнительной проверки.

То есть риск заключается не в блокировке самого blockchain-адреса, а в том, как этот адрес будет восприниматься внешними compliance-системами.

Почему это особенно важно для крупных кошельков

Публичные адреса крупных китов, фондов, трейдеров и компаний часто хорошо известны.

Их движения постоянно отслеживаются аналитическими сервисами.

Это делает такие адреса удобной целью для намеренного «загрязнения».

Злоумышленник теоретически может специально отправлять на известные кошельки средства с токсичной историей, чтобы создавать дополнительные вопросы при дальнейшем взаимодействии владельца с регулируемыми площадками.

Сам кошелёк продолжит работать.

Но часть его дальнейших операций может потребовать дополнительных объяснений.

Вывод КЛЁМПУС

История Kraken показывает новый тип атаки на криптовалютную инфраструктуру.

Раньше основной риск был понятен: украсть seed-фразу, взломать смарт-контракт, заразить устройство или подменить адрес.

Теперь злоумышленники могут пытаться использовать саму систему AML в качестве инструмента давления.

Особенно опасным такой подход может стать против известных кошельков крупных держателей.

Если адрес кита публичен, на него можно намеренно отправлять активы с токсичной историей и пытаться создать проблемы при дальнейшем выводе средств на биржи или кастодиальные платформы.

Это уже другой уровень атаки.

Цель — не обязательно украсть деньги. Иногда достаточно сделать так, чтобы пользоваться ими стало сложнее.

И именно это делает историю Kraken важной: blockchain остаётся открытым, а значит любой публичный адрес потенциально можно попытаться связать с тем источником, с которым его владелец никогда не хотел иметь ничего общего.

Источник: Kraken Support — EU sanctions and certain crypto-asset services