Les principaux enseignements du Rug Pull Report 2022 de Solidus Labs

Solidus Labs a publié en décembre 2022 son Rug Pull Report consacré aux jetons frauduleux. L’entreprise estimait à près de deux millions le nombre d’investisseurs touchés, en comptant des adresses qui peuvent appartenir à une même personne. La comparaison avec les clients ou créanciers de plateformes effondrées n’est donc pas directe.

Selon Solidus, son système Web3 de lutte contre le blanchiment analysait le code de nouveaux jetons sur douze blockchains compatibles avec l’EVM depuis 2020. L’ensemble décrit représentait environ 1,8 million de jetons. Ces résultats dépendaient du périmètre et de la méthode de l’entreprise, pas d’un audit indépendant de tous les projets.

Le rapport évoquait environ quinze nouveaux jetons frauduleux détectés par heure. Dans les données examinées, 12 % des jetons de BNB Chain étaient classés comme frauduleux, soit la proportion la plus élevée des chaînes étudiées. Solidus citait environ 8 % pour Ethereum. Il s’agissait de contrats de jetons répondant à sa définition, pas d’une proportion de toutes les transactions ou de tous les utilisateurs.

Pour 2022 jusqu’au 1er décembre, Solidus recensait 117 629 jetons frauduleux créés. Ce nombre mesure des jetons, pas des victimes uniques ni un montant total de pertes.

Par rapport aux quelque 83 400 jetons repérés en 2021, cela représentait une hausse d’environ 41 %, et non un doublement. C’était le total annuel le plus élevé de la série commencée en septembre 2020.

Par ailleurs, la Federal Trade Commission américaine avait reçu des signalements de consommateurs faisant état de plus de 1 milliard de dollars perdus en paiements cryptographiques liés à des escroqueries entre janvier 2021 et mars 2022. Les 185 millions de dollars également cités dans cette analyse concernaient les pertes en cryptomonnaies liées aux escroqueries sentimentales sur l’ensemble de cette période, pas toutes les fraudes crypto du seul premier trimestre 2022.

L’article original mentionnait aussi une sélection de Privacy Affairs dans laquelle cinq grandes pertes, escroqueries et attaques de 2022 représentaient environ 3,5 milliards de dollars. Ce périmètre distinct ne constituait pas un bilan complet ni directement comparable de toutes les pertes.

L’ampleur des rug pulls

Un rug pull est une escroquerie dans laquelle des initiateurs attirent des acheteurs, puis retirent de la valeur ou vendent brutalement leurs avoirs, laissant les autres avec des pertes. Le rapport étudiait aussi bien le code malveillant que la promotion trompeuse.

Les vulnérabilités des protocoles DeFi, des plateformes et des ponts entre blockchains ont contribué à de nombreux incidents. Mais toute attaque n’est pas un rug pull, et un rug pull peut exploiter une fonction intentionnellement malveillante plutôt qu’une faille accidentelle.

Dans une escroquerie de sortie, les initiateurs lèvent des fonds pour un jeton ou un projet, parfois avec des promesses de rendements importants, puis disparaissent avec les ressources.

Un rug pull peut prendre la forme d’un retrait de liquidité, d’une vente massive de jetons ou de l’abus de pouvoirs inscrits dans le contrat. La méthode varie selon le cas.

L’auteur peut commencer par créer une réserve de liquidité sur une plateforme décentralisée, ou DEX, puis susciter l’intérêt. Beaucoup de protocoles sont accessibles sans autorisation, mais toutes les interfaces de DEX n’ont pas la même organisation ni les mêmes contrôles d’identité. La fraude n’intervient pas nécessairement avant tout développement du projet.

Solidus décrivait des contrats bloquant la revente, imposant jusqu’à 100 % de frais de vente ou autorisant des émissions supplémentaires cachées. Ces pouvoirs peuvent servir à détourner la valeur des acheteurs.

Avec sa méthode, l’entreprise avait identifié plus de 200 000 jetons frauduleux déployés entre septembre 2020 et le 1er décembre 2022.

D’après le rapport, les adresses concernées utilisaient des plateformes centralisées pour financer les projets et déplacer les recettes. Solidus affirmait que plus de 99 % des jetons malveillants recensés avaient échappé aux inventaires traditionnels. C’était une comparaison de méthodes, pas la preuve que toutes les autorités avaient ignoré chaque dossier.

Un mécanisme frauduleux inscrit dans le contrat, des échanges sur la blockchain et des gains en crypto peuvent échapper à des contrôles fondés uniquement sur les sites, les plaintes ou la presse. Cela complique la détection sans la rendre impossible.

Les fraudeurs peuvent amplifier leur audience avec des robots sur les réseaux sociaux et des transactions fictives, ou wash trading, qui simulent de l’activité. Certaines de ces opérations ne nécessitent même pas de site propre.

Rug pulls techniques et promotionnels

Solidus utilisait l’analyse automatisée de contrats pour signaler des fonctions suspectes. Les affirmations sur la précision provenaient du fournisseur lui-même ; un outil d’analyse n’offre pas de garantie absolue.

Le rapport distinguait les hard rug pulls, fondés sur des fonctions malveillantes, et les soft rug pulls, reposant sur une promotion trompeuse puis un départ avec les fonds. Les sept catégories techniques étaient les honeypots, les émissions cachées, les fausses renonciations au contrôle, les modifications cachées de soldes, de frais ou de montants maximaux de transaction, et les transferts cachés. Un même jeton pouvait relever de plusieurs catégories.

Solidus comptait 98 442 honeypots empêchant les acheteurs de revendre leurs jetons. Ce blocage peut donner l’impression d’une hausse du cours alors qu’une sortie normale est impossible. Il ne garantit pas une hausse illimitée du prix affiché.

Les mécanismes décrits comprenaient le blocage des réserves de liquidité, les contrats externes et les listes de blocage ou d’autorisation. Le rapport citait respectivement 30 323, 35 424 et 10 639 cas pour ces variantes. Cette liste ne constituait pas une ventilation exhaustive à additionner automatiquement au total.

Le jeton SQUID, qui exploitait la popularité de Squid Game, était un exemple connu. L’incident datait de 2021, pas de 2022. La presse avait évoqué une hausse initiale d’environ 45 000 %, alors que les acheteurs ne pouvaient pas revendre. Solidus décrivait plus de 3,3 millions de dollars apportés avant que les développeurs ne retirent les liquidités.

L’entreprise recensait aussi 60 985 cas d’émission cachée. Une fonction peut permettre au responsable de créer et de vendre des jetons supplémentaires, diluant les avoirs des autres et pouvant faire chuter le cours.

Pour 48 974 jetons, Solidus signalait une fausse renonciation au contrôle. Le développeur semblait abandonner ses pouvoirs tout en conservant l’accès à des fonctions sensibles : suspendre les échanges, émettre des jetons ou fixer les frais.

Les modifications cachées de soldes permettent à certains comptes externes ou au contrat lui-même de modifier les avoirs des détenteurs ; 8 340 cas étaient recensés. Les transferts cachés permettent de déplacer des jetons depuis les adresses d’autres utilisateurs vers le développeur ; le rapport en comptait 2 026.

Les modifications cachées de frais donnent au responsable la possibilité de changer les prélèvements à l’achat ou à la vente. Une part beaucoup plus importante que prévu, parfois la totalité, peut ainsi être retenue. Regarder uniquement le tarif actuel ne suffit pas si le contrat permet de le modifier ultérieurement.

Solidus mentionnait 823 cas de modification cachée de frais et 40 de modification cachée du montant maximal des transactions. Ce maximum peut être abaissé à zéro pour bloquer les utilisateurs ordinaires. Il s’agissait de cas détectés, pas nécessairement de quarante auteurs distincts.

Un soft rug pull ne nécessite pas de contrat malveillant. La fraude peut reposer sur des informations fausses, des promesses trompeuses et la vente soudaine des jetons détenus par les initiateurs.

Les exemples incluent des partenariats inventés, de fausses déclarations sur l’équipe ou les financeurs, un site ou une feuille de route trompeurs, des allocations personnelles supérieures aux montants annoncés, des transactions fictives et des robots diffusant des messages favorables sur Twitter, Discord, Reddit ou Telegram.

Le rôle des plateformes centralisées

Solidus présentait son produit Threat Intelligence comme un outil permettant aux équipes de conformité et aux chercheurs de repérer des contrats suspects. Le document associait recherche et présentation d’une offre commerciale.

La multitude de jetons, portefeuilles et plateformes rend cet environnement complexe. Les fraudes de certains acteurs ne signifient pas que chaque fournisseur ou actif soit frauduleux.

Des plateformes légitimes et utiles existent, mais la simplicité d’utilisation et une apparence professionnelle n’éliminent pas le risque. La crainte des escroqueries peut décourager la participation au marché.

Selon Solidus, presque toutes les grandes plateformes centralisées de l’échantillon étaient exposées à des adresses d’émetteurs de jetons frauduleux. Cette exposition ne prouvait pas qu’elles avaient elles-mêmes organisé les fraudes.

Les acteurs concernés pouvaient passer par ces plateformes pour obtenir des fonds et convertir leurs recettes. D’où l’importance d’examiner les flux et l’origine des ressources.

Dans les informations de 2022, l’effondrement de FTX était associé à un déficit de plusieurs milliards de dollars de fonds clients. Les 10 milliards cités ici étaient une estimation de l’époque, pas un montant définitif de pertes. Solidus comparait des adresses touchées par des rug pulls à des nombres de clients ou créanciers d’autres effondrements. Les définitions différentes et la possibilité de plusieurs adresses par personne empêchent d’en déduire un nombre exact de victimes uniques.

Solidus mesurait environ 11 milliards de dollars de dépôts et de retraits d’ETH cumulés entre les adresses concernées et 153 plateformes centralisées depuis septembre 2020. Il s’agissait d’un volume de flux, pas automatiquement d’un montant de 11 milliards de dollars volé ou perdu. Les juridictions présentant la plus forte exposition cumulée étaient les États-Unis, les Seychelles, les Bahamas, les Pays-Bas et Hong Kong. Cela ne signifie pas que la majorité des 153 plateformes étaient américaines.

Selon leur activité et leur juridiction, les plateformes sont soumises à des obligations de lutte contre le blanchiment et parfois à d’autres règles de protection des investisseurs ou de prévention des abus de marché. Une exposition justifie des vérifications ; elle ne démontre pas automatiquement une infraction de chaque plateforme.

Le rapport voyait dans ces détournements dissimulés des lacunes importantes en matière de protection des consommateurs, de lutte contre le blanchiment et d’intégrité du marché. Ces conclusions et ces chiffres correspondent à la recherche publiée en décembre 2022.