Højdepunkter fra ‘The Rug Pull Report’ af Solidus Labs

Solidus Labs, en blockchain‑overvågningsplatform, udgav sin 2022 Rug Pull Report, som afslører, at næsten to millioner investorer har mistet midler til rug‑pull‑tokens. Dette svarer til antallet af investorer, der oplevede usikrede tab som følge af sammenbruddet af nogle af de største kryptoplatforme.

Firmaets Web3 AML‑løsning scannede kildekoden for hver ny kryptovaluta, der er implementeret på en EVM‑blockchain siden 2020, hvilket indtil nu har vist 1,8 millioner tokens og 12 kæder.

Den fandt, at trusselsaktører inden for kryptovalutaindustrien igangsætter op til 15 kryptoscams i timen. Det blev desuden konstateret, at 12 % af alle BNB Chain‑tokens er scams, det højeste blandt alle blockchains, mens 8 % af alle Ethereum‑tokens er programmeret til at udføre rug pulls.

Rug pulls har skabt kaos i kryptosektoren, med 117.629 rapporterede scam‑tokens oprettet i 2022, ifølge Solidus Labs’ rapport pr. 1. december 2022. Undersøgelsen har afsløret, at næsten dobbelt så mange tabte i 2022 til svindlere og rug pulls.

Antallet af scam‑tokens oprettet i år er steget med 41 % sammenlignet med 2021, hvor Solidus opdagede næsten 83.400 svigagtige tokens. Og som forventet er 2022 det største år nogensinde for svigagtige kryptotokens, siden virksomheden begyndte at spore dem i september 2020.

I mellemtiden har forbrugerne ifølge Federal Trade Commission mistet mere end $1 milliard mellem begyndelsen af januar 2021 og marts 2022 på grund af kryptovaluta‑svindel. I første kvartal af det aktuelle år udgjorde tabene fra kryptosvindel & scams $185 millioner i USA.

En ny undersøgelse fra Privacy Affairs afslørede dog, at de fem største kryptotab, scams og hacks i 2022, målt på det beløb, der er tabt eller stjålet ($100 millioner eller mere), i alt næsten svimlende $3,5 milliard.

Rug Pull-epidemi

Rug pull‑epidemien fejer gennem kryptoverdenen, og mange investorer mister deres hårdt tjente penge. Som sådan giver Solidus Labs i sin specialrapport et omfattende kig på Rug Pulling, den mest almindelige smart‑contract‑svindel.

Ligesom i 2021 blev størstedelen af kryptohacks og scams i 2022 forårsaget af angreb og andre trusselsaktører, der udnyttede svagheder og sårbarheder i DeFi‑protokollen, udvekslingsplatforme og blockchain‑broer.

Kryptovaluta‑exit‑scams er generelt en taktik, hvor en kryptosvindler starter en indsats for at indsamle midler til en kryptotoken/-projekt, der lover betydelige afkast for investorer og uvidende kryptobrukere.

Rug pulling er derimod en exit‑scam, hvor en person eller en gruppe opretter en token og øger dens værdi, hvorefter de trækker hele projektets værdi ud.

Kort sagt er en rug pull et kryptosvindel, hvor hold pumpere værdien af deres tokens for at lokke investorer og derefter trækker sig tilbage, før projektet er bygget. Efter tokenen er lanceret, opbygger et rug‑pull‑hold typisk en likviditetspool på en decentraliseret børs (DEX), som ikke drives af en central enhed og ikke kræver KYC‑kontrol.

Solidus Labs fandt, at rug‑pull‑tokens bevidst er programmeret til tyveri, hvor deres smart contracts kan deaktivere sekundære salg, opkræve 100 % salgsgebyr af købere eller tillade udviklere at udstede nye tokens.

Ifølge en undersøgelse fra firmaet, der overvåger kryptorisk og markedet, er rug pulls en af de mest almindelige scams i crypto, med mere end 200.000 scam‑tokens udgivet af svindlere fra september 2020 til 1. december 2022.

Svindlere kan hvidevaske deres penge og så frø deres scams ved at bruge crypto‑til‑fiat‑børser. Det blev også konstateret, at de fleste af disse ondsindede tokens, mere end 99 %, har undgået opdagelse med traditionelle metoder til scam‑identifikation, fordi de udelukkende forekommer on‑chain.

Desuden opdages tokens ikke af myndighederne, da scammen er kodet i tokenens smart contract, handles på en decentraliseret børs, og de ulovlige gevinster er denomineret i crypto, ikke fiat‑valuta.

Derudover kan token‑svindlere bruge falsk markedsføring for at nå flere investorer, såsom at bruge bots til at spamme på sociale medier eller wash‑trade, hvilket kan gøres uden overhovedet at registrere et domæne.

Hårde og bløde rug pulls

Blockchain‑overvågningsfirmaet Solidus Labs udnyttede smart‑contract‑screening‑teknologi til at scanne millioner af token‑kontrakter og markere scam‑sårbarheder med hidtil uset nøjagtighed.

Når man dykker dybere ned i rug pulls, delte firmaet, at der findes to hovedtyper af rug pulls – hårde og bløde. I en hård rug pull, også kendt som en token‑scam, programmerer svindleren deres token til at stjæle fra investorer. Der er syv hovedtyper af hårde rug pulls; honeypots, skjulte mint‑funktioner, falske ejerskabsafståelser, skjulte balance‑modifikatorer, skjulte gebyr‑modifikatorer, skjulte maksimale transaktions‑beløbs‑modifikatorer og skjulte overførsler.

Firmaet opdagede 98.442 honeypot‑scams, der forhindrer købere i at videresælge deres tokens. I honeypot‑scams får købere ikke lov til at sælge tokens, hvilket får prisen til at stige så længe svindleren ønsker, hvilket skaber indtrykket af en “mooning”‑token og dermed narre endnu flere brugere til at købe den – hvilket gør dem langt den mest populære rug pull.

Flertallet af honeypots er implementeret på en af fire måder: likviditetspool‑blokeringer, brug af eksterne kontrakter, bloklister eller tilladelser. Ifølge Solidus Labs’ rug‑pull‑detektionsværktøj var der 30.323 likviditetspool‑blok‑scams, 35.424 eksterne kontrakt‑scams og 10.639 blokliste-/tilladelses‑scams.

Solidus siger, at den mest udbredte “honeypot”, der blev gennemført i år, var en $3,3 millioner squid‑game‑token‑scam (SQUID), som steg 45.000 % inden for få dage, da investorer købte ind i hype, men ikke kunne sælge, hvilket endte med, at en anonym grundlægger tilsyneladende løb væk med investorernes midler.

Firmaet opdagede desuden i alt 60.985 skjulte mint‑funktioner, hvor udviklere frit kan oprette ubegrænsede nye tokens ved hjælp af en skjult funktion i tokenens kontrakt. Efter at have kaldt denne funktion kan svindleren dumpere disse ekstra tokens på markedet og devaluere de tokens, som andre holder.

I mellemtiden er der anslået udført 48.974 falske ejerskabsafståelser. Med denne type scam får svindleren det til at se ud som om, de har opgivet kontrollen over token‑kontrakten, selvom de i virkeligheden ikke har gjort det. Svindleren kan stadig få adgang til ejer‑kun‑funktioner i kontrakten, såsom funktioner der kan pause handel, udstede tokens eller sætte gebyrer. Det siger sig selv, at dette er vildledende og kan føre til, at folk mister deres penge.

I scams med skjulte balance‑modifikatorer kan én eller flere eksternt ejede konti (EOA’er) eller selve token‑kontrakten ændre token‑indehavernes balancer. Der har været 8.340 sådanne tilfælde. Som navnet antyder, tillader en skjult overførsel udviklere at sende tokens fra andre brugeres adresser til sig selv. Svindlere har allerede gennemført i alt 2.026 skjulte overførsels‑scams.

En anden type scam, man skal være opmærksom på, er skjulte gebyr‑modifikatorer, som tillader token‑udviklere at ændre de gebyrer, der opkræves, når brugere køber og sælger en token. Svindlere kan foretage denne ændring for at narre brugere til ubevidst at betale et meget højere gebyr end oprindeligt aftalt. I nogle tilfælde er brugere blevet svindlet for 100 % af størrelsen på deres overførsel. For at undgå at blive offer for denne type scam, skal du være opmærksom på de gebyrer, der er forbundet med enhver token‑køb eller -salg.

Der var 823 tilfælde af skjulte gebyr‑modifikatorer, mens det færreste antal scams blev registreret i skjulte maksimale transaktions‑beløbs‑modifikatorer, hvor 40 svindlere satte maksimale transaktionsværdier så lave som nul.

Nu, i den anden type – den bløde rug pull, som også er kendt som en exit‑scam, promoverer svindleren deres token for at stjæle fra investorer. De kan offentliggøre vildledende marketing‑websites og roadmaps, annoncere falske partnerskaber eller bruge bots til at fabrikere handelsaktivitet.

Før de trækker tæppet, kan exit‑svindlere oprette en vildledende marketing‑website, annoncere partnerskaber, der ikke eksisterer, fremsætte usande påstande om deres udviklingsteam eller støtter, deltage i wash‑trading for kunstigt at oppuste tokenens volumen eller pris, give sig selv token‑allokeringer langt ud over, hvad de offentligt hævder at eje, eller bruge sociale‑medie‑bots til at spamme positiv stemning om tokenen på platforme som Twitter, Discord, Reddit eller Telegram.

CEX’er i centrum for rug pull-scams

Solidus Labs lancerede for nyligt Solidus Threat Intelligence, et real‑time trusselsdetektionsværktøj, der hjælper Anti‑Money Laundering (AML)‑teams og andre med at opdage smart‑contract‑scams, hvilket er blevet en af de største udfordringer for Decentralized Finance (DeFi) og Web3.

Det faktum, at der findes flere kryptobørser, crypto‑wallets og endda svigagtige kryptovalutaer selv, hjælper bestemt ikke sagen. Det, du skal vide, er, at ligesom i enhver anden online‑industri, er der helt sikkert nogle dårlige æbler i kryptouniverset.

Dette betyder dog ikke, at der ikke findes yderst hjælpsomme, brugervenlige, legitime, sikre og trygge kryptoplatforme og -børser. Desværre bliver mange mennesker afskrækket fra at investere i kryptovaluta på grund af de risici, der er forbundet med at falde for svindel og scams.

Rapporten afslørede, at næsten alle store kryptobørser er påvirket af rug pulls, hvor mange af dem bag disse scam‑tokens bruger de svigagtige tokens til at finansiere deres scam‑projekter og tjene på ulovligt opnåede gevinster.

Rug pulls har også været skadelige for centraliserede børser (CEX’er), da mange bag disse scam‑tokens brugte dem til at finansiere deres tvivlsomme projekt og cash‑oute de ulovligt opnåede gevinster.

Den berygtede implosion af FTX er blevet udpeget som det største enkeltstående tab, som online‑investorer led i 2022, med $10 milliarder tabt i kundemidler. Men Solidus Labs fandt, at rug pulls skader endnu flere investorer end FTX eller ethvert enkelt sammenbrud i crypto indtil nu.

Det anslås, at omkring $11 milliarder i stjålet Ethereum (ETH) fra svigagtige tokens er passeret gennem 153 centraliserede børser (CEX’er) siden september 2020, og de fleste børser er under tilsyn af amerikanske regulatorer. Efter USA er de jurisdiktioner, der samlet set har den største eksponering for CeFi‑børser, Seychellerne, Bahamas, Nederlandene og Hongkong.

Dette på trods af, at disse børser lovligt er forpligtet til at træffe foranstaltninger for at forhindre hvidvask, hvilket er en forbrydelse i alle jurisdiktioner, hvor de opererer. Derudover står børser over for ekstra regulatoriske krav i mange jurisdiktioner vedrørende investorbeskyttelse og forebyggelse af markedsmisbrug.

“Dette skjulte tyvefænomen afslører betydelige huller i forbrugerbeskyttelse, anti‑hvidvask og integriteten i kryptomarkedet,” udtalte rapporten.