Stima Solidus Labs del 2022: caratteristiche fraudolente nel 12% dei token BEP-20 di BNB Chain

Nell’ottobre 2022 Solidus Labs stimava di rilevare in media 15 nuovi token programmati per truffare gli utenti ogni ora sulle blockchain monitorate. Secondo l’azienda, il 12% dei token BEP-20 di BNB Chain presentava caratteristiche fraudolente. Era una classificazione del fornitore di strumenti di sorveglianza, non una misura di tutte le attività della rete.

Solidus segnala token fraudolenti su BNB Chain ed Ethereum

Solidus Labs ha presentato il 27 ottobre 2022 Solidus Threat Intelligence. Lo strumento era destinato ad aiutare i responsabili antiriciclaggio (AML) e altri operatori a individuare truffe negli smart contract della finanza decentralizzata (DeFi) e del Web3.

Il comunicato indicava una copertura di 12 blockchain, fra cui Ethereum, BNB Chain e Polygon. Al 10 ottobre 2022 erano stati classificati 188.525 contratti fraudolenti. L’azienda segnalava caratteristiche di frode nel 12% dei token BEP-20 di BNB Chain e nell’8% degli ERC-20 di Ethereum. Stimava inoltre un valore minimo di 910 milioni di dollari, ai prezzi di allora, per gli ETH collegati a truffe transitati attraverso exchange centralizzati oppure regolamentati. Quel flusso non equivaleva al totale delle perdite delle vittime.

Nei contratti dei token possono essere inserite regole che sottraggono fondi agli investitori. Le frodi comprendono rug pull, phishing e imitazioni di altri token. Creazione automatica e facile riproduzione dei contratti possono consentire numerosi attacchi di piccolo importo, difficili da riconoscere singolarmente.

Kathy Kraninger, allora responsabile degli affari regolamentari di Solidus Labs ed ex direttrice del Consumer Financial Protection Bureau (CFPB), spiegò il problema in questi termini, qui riassunti:

Casi molto visibili, come il token Squid Game associato a perdite stimate intorno a tre milioni di dollari, ricevevano attenzione. Nei dati dell’azienda, molte altre truffe passavano invece inosservate.

A proposito dello strumento, Kraninger sosteneva inoltre che:

Una maggiore trasparenza poteva aiutare a comprendere la portata delle truffe e della manipolazione e a migliorare la tutela dei consumatori. Era la motivazione commerciale dell’azienda, non una garanzia di prevenzione di ogni danno.

Come funzionano i rug pull?

Solidus Labs ha descritto questi meccanismi in un articolo dedicato. In un rug pull, i promotori attirano investitori e poi ritirano fondi o liquidità. La frode può basarsi su codice malevolo oppure sulla promozione ingannevole di un token.

https://www.soliduslabs.com/post/rug-pull-crypto-scams

Alcuni contratti impediscono la rivendita, applicano commissioni di vendita fino al 100% o permettono allo sviluppatore di creare token senza limiti. In altri casi un token ordinario viene pubblicizzato in modo fraudolento prima che i promotori vendano e abbandonino il progetto. Non tutti i rug pull dipendono quindi dalla stessa vulnerabilità del codice.

Un token può apparire normale pur contenendo regole che attribuiscono poteri nascosti allo sviluppatore. L’analisi del codice può rivelare limitazioni alla vendita o la possibilità di modificare le commissioni.

Il truffatore può aprire un pool di liquidità su un exchange decentralizzato (DEX), abbinando il proprio token a ether (ETH) o BNB. Molti pool consentono l’accesso senza verifica dell’identità, ma le condizioni non sono uguali per tutti i servizi. Volumi artificiali, social network, siti e piani di sviluppo possono alimentare l’interesse. La successiva vendita dei token o lo svuotamento del pool può lasciare agli altri partecipanti attività prive di valore.

La soluzione proposta da Solidus Labs

Solidus Web3 AML combinava dati proprietari sulla blockchain e al di fuori di essa con la tecnologia di analisi degli smart contract di Token Sniffer. Solidus dichiarava di aver acquisito il servizio e integrato la tecnologia per riconoscere i rischi già al momento della distribuzione dei contratti.

Al lancio del 2022 il sistema copriva Ethereum e altre 11 blockchain. L’azienda sottolineava il monitoraggio in tempo reale rispetto alle indagini svolte soltanto a posteriori. Un allarme precoce può sostenere la gestione del rischio, ma non garantisce l’individuazione di ogni truffa.

Web3 AML faceva parte della suite HALO, con funzioni di sorveglianza degli scambi, monitoraggio dei trasferimenti e verifica all’ingresso dei clienti. Nel 2022 l’azienda dichiarava oltre mille miliardi di eventi monitorati al giorno su più di 150 mercati e il supporto alla protezione di oltre 25 milioni di soggetti individuali e istituzionali. Eventi non significa necessariamente transazioni sulla blockchain e questi non sono dati attuali sugli utenti.

DappBay di BNB Chain segnala possibili rischi

Il 14 luglio 2022 BNB Chain presentò una piattaforma per scoprire progetti Web3 chiamata DappBay. La sua funzione di analisi del rischio dei contratti si chiamava Red Alarm. Esaminava potenziali difetti logici e rischi di frode a partire dall’indirizzo del contratto. Un avviso indica un rischio; la sua assenza non garantisce sicurezza.

Gwendolyn Regina, allora direttrice degli investimenti di BNB Chain, illustrò il servizio con questa valutazione, qui riassunta:

Dati di mercato e classifiche dovevano aiutare la comunità a individuare progetti GameFi, DeFi e NFT. Gli avvisi in tempo reale potevano favorire scelte più informate. La definizione di svolta esprimeva il giudizio di chi presentava il prodotto.

Oltre alle truffe sui token, l’ecosistema subiva attacchi tecnici. Il 6 ottobre 2022 fu sfruttata la verifica delle prove del BSC Token Hub, ponte fra BNB Beacon Chain e BNB Smart Chain. L’attaccante creò senza autorizzazione due milioni di BNB, dal valore nominale di circa 570 milioni di dollari all’epoca. BNB Chain coordinò con i validatori una sospensione temporanea di BSC, non di tutti i servizi dell’exchange Binance. L’articolo citava circa 137 milioni trasferiti ad altre reti; il comunicato di BNB Chain dell’11 ottobre indicava circa 100 milioni ancora non recuperati. Il valore nominale creato e i fondi usciti dalla rete erano grandezze distinte.

https://twitter.com/cz_binance/status/1578171072067031042

Il 24 ottobre 2022 Changpeng Zhao, allora amministratore delegato di Binance, disse a CNBC che l’indagine sull’identità dell’attaccante era progredita. La dichiarazione non confermava di per sé un’identificazione o un arresto.

Il dato di 718 milioni di dollari in 11 attacchi DeFi, attribuito nell’articolo a Chainalysis, riguardava la prima parte di ottobre 2022. Non rappresentava il bilancio aggiornato dell’intero mese alla pubblicazione del 28 ottobre.

Quel quadro iniziale evidenziava la gravità degli attacchi, ma non andava presentato come un totale definitivo mensile o annuale.

L’articolo richiamava anche il rapporto sul terzo trimestre 2022 di CertiK e descriveva BNB Chain come la rete più colpita nel confronto citato. Una graduatoria storica dipende da campione e metrica e non misura il rischio attuale.

https://www.certik.com/resources/blog/3HzMebCFrrk1U2QHBEhljx-hack3d-the-web3-security-quarterly-report-q3-2022

Un ecosistema ampio, con molte applicazioni, offre numerosi possibili bersagli. La crescita da sola non dimostra però la causa degli attacchi. L’exchange Binance, le reti BNB Chain e i singoli progetti che vi operano sono entità da distinguere.