Solidus Labsin vuoden 2022 Rug Pull Report -raportin keskeiset havainnot

Solidus Labs julkaisi joulukuussa 2022 Rug Pull Report -raporttinsa petollisista kryptotokeneista. Yhtiö arvioi lähes kahden miljoonan sijoittajan kärsineen vahinkoa. Laskenta perustui kuitenkin osoitteisiin, joista useita voi kuulua samalle henkilölle. Vertailu romahtaneiden yhtiöiden asiakas- tai velkojamääriin ei siten ole täsmällinen.

Solidusin mukaan sen Web3-järjestelmä rahanpesun torjuntaan analysoi vuodesta 2020 lähtien uusien tokenien lähdekoodia kahdessatoista EVM-yhteensopivassa lohkoketjussa. Kuvattu aineisto sisälsi noin 1,8 miljoonaa tokenia. Tulokset riippuivat yrityksen kattavuudesta ja luokittelusta, eivät kaikkien kryptohankkeiden riippumattomasta tarkastuksesta.

Raportissa puhuttiin noin viidestätoista uudesta havaitusta huijaustokenista tunnissa. Tutkitussa aineistossa 12 % BNB Chainin tokeneista luokiteltiin petollisiksi, mikä oli korkein osuus tarkastelluista ketjuista. Ethereumille ilmoitettiin noin 8 %. Osuudet koskivat tutkittuja tokensopimuksia ja yrityksen määritelmää, eivät kaikkia tapahtumia tai käyttäjiä.

Vuodelta 2022 joulukuun 1. päivään mennessä Solidus ilmoitti 117 629 luotua huijaustokenia. Kyse oli tokenien määrästä, ei yksittäisten uhrien määrästä tai tappioiden rahallisesta kokonaisarvosta.

Vuoden 2021 noin 83 400 havaittuun tokeniin verrattuna nousu oli noin 41 %, ei kaksinkertaistuminen. Vuosi 2022 oli syyskuussa 2020 alkaneen seurannan suurin vuosi.

Yhdysvaltain Federal Trade Commission oli lisäksi saanut kuluttajailmoituksia yli miljardin dollarin menetyksistä kryptomaksuina huijauksissa tammikuusta 2021 maaliskuuhun 2022. Saman analyysin 185 miljoonaa dollaria koski romanssihuijauksissa ilmoitettuja kryptotappioita koko tältä ajalta, ei kaikkia kryptohuijauksia pelkästään vuoden 2022 ensimmäisellä neljänneksellä.

Alkuperäinen artikkeli viittasi myös Privacy Affairsin koosteeseen, jossa viisi suurta vuoden 2022 menetystä, huijausta ja tietomurtoa olivat yhteensä noin 3,5 miljardia dollaria. Kyse oli eri rajauksesta ja menetelmästä, ei kaikkien tappioiden kattavasta tai suoraan vertailukelpoisesta summasta.

Rug pull -huijausten laajuus

Rug pull -huijauksessa hankkeen alullepanijat houkuttelevat ostajia ja poistavat sitten arvoa tai myyvät omistuksensa äkillisesti, jolloin muut jäävät tappioille. Raportti käsitteli sekä haitallisia sopimustoimintoja että harhaanjohtavaa markkinointia.

DeFi-protokollien, kaupankäyntialustojen ja lohkoketjusiltojen heikkoudet vaikuttivat moniin tapauksiin. Jokainen tietomurto ei kuitenkaan ole rug pull, ja haitallinen toiminto voidaan rakentaa sopimukseen tarkoituksella eikä tahattomana virheenä.

Poistumishuijauksessa toimija kerää varoja tokenille tai hankkeelle esimerkiksi suurten tuottojen lupauksilla ja katoaa sitten varojen kanssa.

Rug pull voidaan toteuttaa poistamalla likviditeettiä, myymällä suuri määrä tokeneita tai käyttämällä väärin sopimuksen erityisiä valtuuksia. Tarkka toteutus vaihtelee.

Huijari voi ensin perustaa likviditeettipoolin hajautettuun pörssiin eli DEXiin ja herättää kiinnostusta. Monet protokollat ovat avoimia ilman lupaa, mutta kaikkien käyttöliittymien hallinto tai henkilöllisyystarkastukset eivät ole samanlaisia. Huijaus ei myöskään välttämättä tapahdu ennen kuin hankkeessa on rakennettu mitään.

Solidus kuvasi sopimuksia, jotka estävät jälleenmyynnin, perivät jopa 100 %:n myyntimaksuja tai sallivat piilotetun lisätokenien luomisen. Näitä oikeuksia voidaan käyttää ostajien arvon viemiseen.

Yhtiö tunnisti menetelmällään yli 200 000 huijaustokenia syyskuun 2020 ja joulukuun 1. päivän 2022 väliltä.

Raportin mukaan asianomaiset osoitteet käyttivät keskitettyjä vaihtopalveluja hankkeiden rahoittamiseen ja tuottojen siirtämiseen. Solidus väitti yli 99 %:n tunnistamistaan haitallisista tokeneista jääneen perinteisten koosteiden ulkopuolelle. Kyse oli menetelmien vertailusta, ei näytöstä siitä, että kaikki viranomaiset olisivat jättäneet jokaisen tapauksen havaitsematta.

Kun haitallinen toiminta on sopimuskoodissa, kauppa tapahtuu ketjussa ja tuotot ovat kryptovaroja, vain verkkosivuihin, ilmoituksiin tai uutisiin perustuvat tarkastukset voivat ohittaa olennaisia merkkejä. Havaitseminen vaikeutuu, mutta ei muutu mahdottomaksi.

Petollinen markkinointi voi tavoittaa ihmisiä sosiaalisen median boteilla ja näennäiskaupalla eli wash tradingilla, joka luo vaikutelman aidosta kaupankäynnistä. Osa toimista ei vaadi edes omaa verkkosivustoa.

Tekniset ja markkinointiin perustuvat rug pull -huijaukset

Solidus käytti automaattista sopimusanalyysiä epäilyttävien toimintojen merkitsemiseen. Väitteet tarkkuudesta olivat palveluntarjoajan omia; analyysityökalu ei anna ehdotonta turvallisuustakuuta.

Raportti erotti haitalliseen koodiin perustuvat hard rug pull -huijaukset ja harhaanjohtavaan markkinointiin sekä varojen kanssa poistumiseen perustuvat soft rug pull -huijaukset. Tekniset luokat olivat honeypotit, piilotettu tokenien luominen, näennäinen hallinnasta luopuminen, piilotetut saldojen, maksujen tai tapahtumien enimmäisarvojen muutokset sekä piilotetut siirrot. Sama token voi kuulua useaan luokkaan.

Solidus laski 98 442 honeypotia, jotka estivät ostajia myymästä tokeneitaan. Tämä voi luoda vaikutelman nousevasta hinnasta samalla kun normaali poistuminen on mahdotonta. Se ei takaa näytetyn hinnan rajatonta nousua.

Menetelmiä olivat likviditeettipoolin estot, ulkoiset sopimukset sekä esto- ja sallintalistat. Raportissa mainittiin näille kuvatuille muodoille vastaavasti 30 323, 35 424 ja 10 639 tapausta. Luettelo ei ollut täydellinen erittely, jonka olisi automaattisesti summattava kokonaismäärään.

Tunnettu esimerkki oli Squid Gamen suosiota hyödyntänyt SQUID-token. Tapaus sattui vuonna 2021, ei 2022. Varhaisessa uutisoinnissa kerrottiin noin 45 000 %:n hinnannoususta, vaikka ostajat eivät voineet myydä. Solidus kuvasi yli 3,3 miljoonan dollarin sijoituksia, joiden jälkeen kehittäjät poistivat likviditeetin.

Yhtiö havaitsi myös 60 985 piilotetun tokenluonnin tapausta. Piilotettu toiminto voi antaa hallinnoijalle oikeuden luoda ja myydä lisätokeneita, mikä laimentaa muiden omistuksia ja voi laskea markkinahintaa.

Solidus luokitteli 48 974 tokenia tapauksiin, joissa hallinnasta oli luovuttu vain näennäisesti. Kehittäjä näytti luopuvan oikeuksistaan mutta pääsi yhä käyttämään esimerkiksi kaupankäynnin keskeytystä, lisäluontia tai maksujen asettamista.

Piilotettu saldomuutos antaa tietyille ulkoisesti hallituille tileille tai sopimukselle itselleen mahdollisuuden muuttaa omistajien saldoja; tällaisia tapauksia ilmoitettiin 8 340. Piilotetulla siirrolla voidaan siirtää muiden osoitteiden tokeneita kehittäjälle. Näitä tapauksia oli raportissa 2 026.

Piilotetut maksumuutokset antavat hallinnoijan muuttaa osto- tai myyntikuluja. Odotettua suurempi osa, jopa koko siirron arvo, voidaan näin periä maksuna. Pelkän nykyisen maksun tarkistaminen ei riitä, jos sopimus sallii sen myöhemmän muuttamisen.

Solidus ilmoitti 823 piilotetun maksumuutoksen ja 40 tapahtuman enimmäisarvon piilotetun muutoksen tapausta. Raja voidaan asettaa nollaan, mikä estää tavallisten käyttäjien kaupankäynnin. Luvut tarkoittivat havaittuja tapauksia, eivät välttämättä neljääkymmentä eri huijaria.

Soft rug pull ei edellytä haitallista sopimuskoodia. Huijaus voi perustua vääriin tietoihin, harhaanjohtaviin lupauksiin ja omien tokenien äkilliseen myyntiin.

Esimerkkejä ovat keksityt kumppanuudet, virheelliset tiedot tiimistä tai rahoittajista, harhaanjohtava sivusto tai kehityssuunnitelma, ilmoitettua suuremmat omat tokenmäärät, näennäiskauppa ja botit, jotka levittävät myönteisiä viestejä Twitterissä, Discordissa, Redditissä tai Telegramissa.

Keskitettyjen pörssien rooli

Solidus esitteli Threat Intelligence -tuotteensa apuvälineenä rahanpesun torjunnan ja muiden tutkijoiden työhön epäilyttävien sopimusten löytämiseksi. Raportissa yhdistyivät tutkimus ja kaupallisen tuotteen esittely.

Tokenien, lompakoiden ja kaupankäyntialustojen suuri määrä tekee ympäristöstä monimutkaisen. Joidenkin toimijoiden petokset eivät tarkoita, että jokainen palveluntarjoaja tai digitaalinen omaisuuserä olisi petollinen.

Laillisia ja hyödyllisiä palveluja on olemassa, mutta helppokäyttöisyys ja ammattimainen ulkoasu eivät poista riskejä. Huijausten pelko voi estää ihmisiä osallistumasta markkinoille.

Solidusin mukaan lähes kaikilla aineiston suurilla keskitetyillä pörsseillä oli rahavirtayhteyksiä petollisten tokenien liikkeeseenlaskijoiden osoitteisiin. Yhteys ei sellaisenaan osoita, että pörssi olisi itse järjestänyt huijauksen.

Toimijat saattoivat käyttää alustoja hankkeiden rahoittamiseen ja tuottojen vaihtamiseen. Siksi rahavirtojen ja varojen alkuperän selvittäminen on tärkeää myös pörsseille.

Vuoden 2022 uutisoinnissa FTX:n romahdukseen liitettiin miljardien dollarien vajaus asiakasvaroissa. Tässä mainittu 10 miljardia dollaria oli tuolloinen arvio, ei lopullisesti vahvistettu tappio. Solidus vertasi rug pull -huijauksissa kärsineitä osoitteita yksittäisten romahdusten asiakas- tai velkojamääriin. Eri määritelmät ja saman henkilön useat osoitteet estävät tarkan yksittäisten uhrien vertailun.

Solidus mittasi syyskuusta 2020 lähtien yhteensä noin 11 miljardin dollarin arvosta ETH-talletuksia ja -nostoja asianomaisten osoitteiden ja 153 keskitetyn pörssin välillä. Se oli yhdistetty rahavirtamäärä, ei automaattisesti 11 miljardia dollaria varastettua tai menetettyä omaisuutta. Suurin yhteenlaskettu altistus ilmoitettiin Yhdysvalloille, Seychelleille, Bahamalle, Alankomaille ja Hongkongille. Tämä ei tarkoita, että suurin osa 153 pörssistä olisi ollut yhdysvaltalaisia.

Pörsseihin sovelletaan toiminnasta ja oikeusalueesta riippuen rahanpesun torjuntavelvoitteita sekä joskus muita sijoittajansuoja- ja markkinoiden väärinkäytösten ehkäisyvaatimuksia. Rahavirtayhteys antaa aiheen selvityksiin, ei automaattista näyttöä jokaisen pörssin rikkomuksesta.

Raportin mukaan nämä piilossa tapahtuvat arvon siirrot paljastivat merkittäviä puutteita kuluttajansuojassa, rahanpesun torjunnassa ja markkinoiden luotettavuudessa. Luvut ja johtopäätökset kuvaavat joulukuussa 2022 julkaistua tutkimusta.