Solidus Labsin arvio 2022: huijauspiirteitä 12 prosentissa BNB Chainin BEP-20-tokeneista

Solidus Labs arvioi lokakuussa 2022 havainneensa seuraamissaan lohkoketjuissa keskimäärin 15 uutta huijaukseen ohjelmoitua tokenia tunnissa. BNB Chainin BEP-20-tokeneista 12 prosentissa oli yrityksen mukaan petollisia piirteitä. Kyse oli valvontayrityksen luokittelusta, ei kaikesta verkon toiminnasta tai tuomioistuimen ratkaisuista.

Solidus raportoi huijaustokeneista BNB Chainissa ja Ethereumissa

Solidus Labs julkisti 27. lokakuuta 2022 Solidus Threat Intelligence -työkalun. Yrityksen mukaan reaaliaikainen seuranta auttoi rahanpesun torjunnasta vastaavia tiimejä ja muita toimijoita tunnistamaan älysopimushuijauksia hajautetussa rahoituksessa (DeFi) ja Web3-palveluissa.

Julkaisun mukaan työkalu kattoi 12 ketjua, kuten Ethereumin, BNB Chainin ja Polygonin. Lokakuun 10. päivään 2022 mennessä se oli luokitellut 188 525 huijaussopimusta. Yritys raportoi petollisia piirteitä 12 prosentissa BNB Chainin BEP-20-tokeneista ja 8 prosentissa Ethereumin ERC-20-tokeneista. Sen vähimmäisarvio keskitettyjen tai säänneltyjen pörssien kautta kulkeneesta huijauksiin liittyvästä ETH:sta oli tuon ajankohdan hinnoin 910 miljoonaa dollaria. Tämä rahavirta ei ollut sama asia kuin kaikkien uhrien tappiot.

Haitallisiin token-sopimuksiin voidaan ohjelmoida sääntöjä, joilla viedään sijoittajien varoja. Huijausmuotoihin kuuluvat esimerkiksi rug pull -huijaukset, tietojenkalastelu ja toisia tokeneita jäljittelevät hankkeet. Sopimusten automaattinen luominen ja kopiointi voi mahdollistaa suuren määrän pieniä hyökkäyksiä, jotka eivät helposti herätä yksittäisinä huomiota.

Kathy Kraninger, Solidus Labsin silloinen sääntelyasioista vastaava johtaja ja aiempi Yhdysvaltain kuluttajarahoitusviraston CFPB:n johtaja, kuvasi asiaa näin, tässä tiivistettynä:

Näkyvät tapaukset, kuten noin kolmen miljoonan dollarin tappioihin yhdistetty Squid Game -token, saivat julkisuutta, mutta yrityksen aineistossa monet muut huijaukset jäivät vähälle huomiolle.

Kraningerin mukaan läpinäkyvyys auttoi arvioimaan huijausten ja markkinamanipulaation laajuutta sekä kehittämään kuluttajansuojaa. Tämä oli yrityksen perustelu tuotteelleen, ei lupaus kaikkien vahinkojen estämisestä.

Miten rug pull -huijaus toimii?

Solidus Labs kuvasi mekanismeja aihetta käsittelevässä kirjoituksessaan. Rug pull tarkoittaa tilannetta, jossa hankkeen toimijat houkuttelevat sijoittajia ja vetävät sitten varat tai likviditeetin pois. Tapauksia voidaan toteuttaa sekä haitallisella ohjelmakoodilla että harhaanjohtavalla markkinoinnilla.

https://www.soliduslabs.com/post/rug-pull-crypto-scams

Osa tokeneista ohjelmoidaan estämään jälleenmyynti, perimään jopa 100 prosentin myyntimaksu tai sallimaan kehittäjän luoda uusia tokeneita rajatta. Toisessa mallissa tavallista tokenia markkinoidaan vilpillisesti ennen omistusten myyntiä ja hankkeen hylkäämistä. Kaikki rug pull -huijaukset eivät siis perustu samaan koodivirheeseen.

Token voi näyttää tavalliselta, vaikka lähdekoodissa olisi kehittäjälle piilotettua valtaa antavia sääntöjä. Tarkempi koodianalyysi voi paljastaa esimerkiksi myyntirajoituksia tai mahdollisuuden muuttaa maksuja.

Huijari voi luoda hajautettuun pörssiin (DEX) likviditeettipoolin, jossa oma token vaihdetaan esimerkiksi etheriin (ETH) tai BNB:hen. Moniin tällaisiin pooleihin voi osallistua ilman henkilöllisyyden tarkistusta, vaikka kaikkien palvelujen käytännöt eivät ole samoja. Keinotekoinen kaupankäynti, sosiaalisen median mainonta, verkkosivut ja suunnitelmat voivat kasvattaa kiinnostusta. Sen jälkeen huijari voi myydä tokeninsa tai tyhjentää poolin, jolloin muille jää vähän tai ei lainkaan arvoa.

Solidus Labsin tarjoama ratkaisu

Solidus Web3 AML yhdisti yrityksen ketjun sisäisiä ja ulkopuolisia tietoaineistoja älysopimusten seulontatekniikkaan, jonka taustalla oli Token Sniffer. Yritys kertoi hankkineensa palvelun ja liittäneensä sen teknologian uhkatiedusteluunsa, jotta riskejä voitaisiin havaita jo sopimuksen käyttöönoton yhteydessä.

Lokakuun 2022 julkistuksessa palvelu kattoi Ethereumin ja 11 muuta ketjua. Solidus korosti reaaliaikaista seurantaa verrattuna jälkikäteen tehtävään selvitykseen. Aikainen hälytys voi tukea riskienhallintaa, mutta ei takaa kaikkien huijausten havaitsemista tai tappioiden estämistä.

Web3 AML kuului HALO-tuoteperheeseen, jossa oli myös kaupankäynnin ja siirtojen valvontaa sekä asiakkaaksi tulon tarkistuksia. Yritys ilmoitti vuonna 2022 seuraavansa yli biljoonaa tapahtumatietuetta päivässä yli 150 markkinalla ja tukevansa yli 25 miljoonan yksityisen ja institutionaalisen toimijan suojaamista. Tapahtumatietueet eivät tarkoita samaa kuin lohkoketjusiirrot, eivätkä luvut ole ajantasaisia käyttäjämääriä.

BNB Chainin DappBay varoitti riskimerkeistä

BNB Chain julkisti 14. heinäkuuta 2022 Web3-hankkeiden löytämiseen tarkoitetun alustan nimeltä DappBay. Sen sopimusten riskiseulontaan tarkoitettu ominaisuus oli Red Alarm. Se arvioi muun muassa mahdollisia loogisia heikkouksia ja huijausriskejä sopimusosoitteen perusteella. Hälytys on riskimerkki; sen puuttuminen ei takaa turvallisuutta. BNB Chainin silloinen sijoitusjohtaja Gwendolyn Regina perusteli palvelua näin, tässä tiivistettynä:

Markkinatietojen ja hankelistojen oli tarkoitus auttaa yhteisöä löytämään esimerkiksi GameFi-, DeFi- ja NFT-hankkeita. Reaaliaikaiset riskivaroitukset tukivat hänen mukaansa tietoon perustuvia päätöksiä. Väite läpimurrosta oli palvelun esittelijän arvio.

Huijaustokenien lisäksi ekosysteemissä oli teknisiä hyökkäyksiä. Lokakuun 6. päivänä 2022 BNB Beacon Chainin ja BNB Smart Chainin välisen BSC Token Hub -sillan todistusmenettelyä käytettiin väärin. Hyökkääjä loi luvatta kaksi miljoonaa BNB:tä, joiden nimellisarvo oli tuolloin noin 570 miljoonaa dollaria. Kyse ei ollut laillisesta liikkeeseenlaskusta.BNB Chain koordinoi validaattorien kanssa BNB Smart Chainin väliaikaisen pysäytyksen. Tämä koski kyseistä verkkoa, ei kaikkia Binance-pörssin palveluja. Artikkelissa mainittiin noin 137 miljoonan dollarin siirtyneen muihin ketjuihin; BNB Chainin 11. lokakuuta julkaisema oma arvio oli noin 100 miljoonaa dollaria palautumatta. Koko luvatta luotu nimellisarvo ja verkosta pois siirretty määrä ovat eri asioita.

https://twitter.com/cz_binance/status/1578171072067031042

Binancen silloinen toimitusjohtaja Changpeng Zhao kertoi CNBC:lle 24. lokakuuta 2022, että hyökkääjän henkilöllisyyden selvittäminen oli edennyt. Lausunto ei itsessään vahvistanut tekijän tunnistamista tai pidätystä.

Artikkelissa Chainalysisiin yhdistetty 718 miljoonan dollarin luku koski lokakuun 2022 alkupuolen tilannetta ja 11 DeFi-hyökkäystä. Se ei ollut 28. lokakuuta julkaistun artikkelin ajantasainen koko kuukauden loppusumma.

Varhainen tilannekuva osoitti hyökkäysten vakavuuden, mutta sen perusteella ei pidä esittää samaa lukua lopullisena kuukausi- tai vuositilastona.

Artikkeli viittasi myös CertiKin kolmannen vuosineljänneksen 2022 raporttiin ja kuvasi BNB Chainia eniten hyökkäysten kohteeksi joutuneeksi ketjuksi kyseisessä vertailussa. Tällainen historiallinen sijoitus riippuu aineistosta ja mittarista eikä kuvaa nykyistä riskijärjestystä.

https://www.certik.com/resources/blog/3HzMebCFrrk1U2QHBEhljx-hack3d-the-web3-security-quarterly-report-q3-2022

Laaja ekosysteemi ja monet sovellukset tarjoavat hyökkääjille useita mahdollisia kohteita. Kasvu yksin ei kuitenkaan osoita hyökkäysten syytä. Binance-pörssi, BNB Chainin verkot ja niillä toimivat yksittäiset hankkeet on syytä erottaa toisistaan.