Estimation Solidus Labs de 2022 : des caractéristiques frauduleuses dans 12% des tokens BEP-20 de BNB Chain

En octobre 2022, Solidus Labs estimait détecter en moyenne 15 nouveaux tokens programmés pour escroquer les utilisateurs par heure sur les réseaux suivis. Selon cette société de surveillance, 12 % des tokens BEP-20 de BNB Chain présentaient des caractéristiques frauduleuses. Cette classification ne portait pas sur l’ensemble des activités du réseau.

Solidus signale des tokens frauduleux sur BNB Chain et Ethereum

Solidus Labs a présenté le 27 octobre 2022 Solidus Threat Intelligence, un outil destiné à aider les équipes de lutte contre le blanchiment (AML) et d’autres acteurs à repérer les escroqueries dans les contrats intelligents de la finance décentralisée (DeFi) et du Web3.

Le communiqué faisait état de 12 réseaux couverts, dont Ethereum, BNB Chain et Polygon. Au 10 octobre 2022, l’entreprise avait classé 188 525 contrats comme frauduleux. Elle signalait des caractéristiques de fraude dans 12 % des tokens BEP-20 de BNB Chain et 8 % des ERC-20 d’Ethereum. Elle estimait aussi à au moins 910 millions de dollars, aux cours de l’époque, les ETH liés à des escroqueries passés par des plateformes centralisées ou réglementées. Ce flux ne représentait pas le total des pertes des victimes.

Des règles malveillantes peuvent être inscrites dans les contrats pour détourner les fonds des investisseurs. Les fraudes comprennent notamment les rug pulls, le phishing et l’imitation de tokens légitimes. Le déploiement automatisé et la reproduction des contrats peuvent faciliter de nombreuses petites attaques difficiles à repérer isolément.

Kathy Kraninger, alors responsable des affaires réglementaires de Solidus Labs et ancienne directrice du Consumer Financial Protection Bureau (CFPB), expliquait le problème ainsi, en substance :

Les affaires très visibles, comme le token Squid Game associé à environ trois millions de dollars de pertes estimées, faisaient la une. Mais les données de l’entreprise révélaient de nombreuses autres escroqueries peu remarquées.

À propos de l’outil, elle avançait également cet argument :

Une meilleure transparence pouvait aider à mesurer les escroqueries et la manipulation des marchés et à améliorer la protection des consommateurs. Il s’agissait du raisonnement commercial de l’entreprise, sans garantie d’éviter tous les préjudices.

Comment fonctionne un rug pull ?

Solidus Labs décrivait ces mécanismes dans un article consacré aux rug pulls. Les promoteurs attirent des investisseurs puis retirent les fonds ou la liquidité. La fraude peut reposer sur du code malveillant ou sur une promotion trompeuse du token.

https://www.soliduslabs.com/post/rug-pull-crypto-scams

Certains contrats empêchent la revente, prélèvent jusqu’à 100 % de frais de vente ou autorisent le développeur à créer des tokens sans limite. Dans d’autres cas, un token ordinaire fait l’objet de publicité mensongère avant la vente des avoirs et l’abandon du projet. Tous les rug pulls ne reposent donc pas sur la même faille informatique.

Un token peut sembler ordinaire alors que son code accorde des pouvoirs cachés au développeur. Une analyse peut révéler des restrictions de vente ou la possibilité de modifier les frais.

L’escroc peut créer un pool de liquidité sur une plateforme décentralisée (DEX), associant son token à de l’ether (ETH) ou au BNB. Beaucoup de pools sont accessibles sans vérification d’identité, mais les pratiques varient selon les services. Volumes artificiels, réseaux sociaux, sites et feuilles de route peuvent stimuler l’intérêt. La vente ultérieure des tokens ou le retrait de la liquidité peut laisser les autres participants avec des actifs sans valeur.

La solution proposée par Solidus Labs

Solidus Web3 AML associait des données propriétaires sur la blockchain et hors chaîne à la technologie d’analyse des contrats de Token Sniffer. L’entreprise annonçait avoir acquis le service et intégré sa technologie pour détecter des risques dès le déploiement des contrats.

Lors du lancement en 2022, le système couvrait Ethereum et 11 autres réseaux. Solidus mettait en avant le suivi en temps réel plutôt que les seules investigations a posteriori. Une alerte précoce peut aider à gérer le risque, sans assurer la détection de toute escroquerie.

Web3 AML appartenait à la suite HALO, qui proposait aussi la surveillance des échanges, le suivi des transferts et des vérifications à l’entrée en relation. En 2022, l’entreprise déclarait surveiller plus de mille milliards d’événements par jour sur plus de 150 marchés et contribuer à protéger plus de 25 millions d’acteurs individuels et institutionnels. Les événements ne sont pas nécessairement des transactions sur la blockchain et ces chiffres ne décrivent pas les utilisateurs actuels.

DappBay de BNB Chain signale des risques potentiels

Le 14 juillet 2022, BNB Chain présentait DappBay pour découvrir des projets Web3. Sa fonction Red Alarm évaluait les défauts logiques et risques de fraude potentiels à partir d’une adresse de contrat. Un avertissement signale un risque ; son absence ne garantit pas la sécurité. Gwendolyn Regina, alors directrice des investissements de BNB Chain, présentait le service ainsi, en substance :

Les données de marché et classements devaient aider la communauté à découvrir des projets GameFi, DeFi et NFT. Les alertes en temps réel pouvaient, selon elle, éclairer les décisions. La qualification de percée exprimait l’avis de la personne présentant le produit.

Au-delà des tokens frauduleux, l’écosystème subissait des attaques techniques. Le 6 octobre 2022, la vérification des preuves du pont BSC Token Hub, entre BNB Beacon Chain et BNB Smart Chain, a été exploitée pour créer sans autorisation deux millions de BNB, soit environ 570 millions de dollars de valeur nominale à l’époque. BNB Chain a coordonné avec les validateurs une suspension temporaire de BSC, pas de tous les services de Binance. L’article mentionnait environ 137 millions transférés vers d’autres réseaux ; le communiqué de BNB Chain du 11 octobre indiquait environ 100 millions non récupérés. La valeur créée et le montant sorti du réseau sont distincts.

https://twitter.com/cz_binance/status/1578171072067031042

Le 24 octobre 2022, Changpeng Zhao, alors dirigeant de Binance, déclarait à CNBC que l’enquête sur l’identité de l’attaquant avait progressé. Cette déclaration ne confirmait à elle seule ni identification ni arrestation.

Le chiffre de 718 millions de dollars lors de 11 attaques DeFi, attribué dans l’article à Chainalysis, concernait le début d’octobre 2022. Il ne constituait pas le bilan actualisé du mois à la publication du 28 octobre.

Ce relevé précoce illustrait la gravité des attaques, mais ne devait pas être présenté comme un total mensuel ou annuel définitif.

L’article renvoyait aussi au rapport de CertiK sur le troisième trimestre 2022 et présentait BNB Chain comme le réseau le plus ciblé dans cette comparaison. Un classement historique dépend de l’échantillon et de la mesure retenue, sans établir le risque actuel.

https://www.certik.com/resources/blog/3HzMebCFrrk1U2QHBEhljx-hack3d-the-web3-security-quarterly-report-q3-2022

Un vaste écosystème d’applications offre de nombreuses cibles possibles. Sa croissance ne démontre toutefois pas à elle seule la cause des attaques. La plateforme Binance, les réseaux BNB Chain et les projets qui y fonctionnent sont des entités distinctes.