Belangrijkste bevindingen uit het Rug Pull Report van Solidus Labs uit 2022

Solidus Labs publiceerde in december 2022 zijn Rug Pull Report over frauduleuze cryptotokens. Het bedrijf schatte het aantal getroffen beleggers op bijna twee miljoen. Daarbij telde het adressen: één persoon kan meerdere adressen beheren. De vergelijking met klanten of schuldeisers van ingestorte platforms is daarom niet één op één.

Volgens Solidus onderzocht zijn Web3-AML-systeem de broncode van nieuwe tokens op twaalf EVM-compatibele blockchains sinds 2020. Het beschreven bestand omvatte ongeveer 1,8 miljoen tokens. Het ging om de reikwijdte en classificatiemethode van het bedrijf, niet om een onafhankelijke controle van alle cryptoprojecten.

Het rapport sprak van gemiddeld ongeveer vijftien nieuw gedetecteerde fraudetokens per uur. Binnen de onderzochte gegevens werd 12 % van de tokens op BNB Chain als frauduleus aangemerkt, het hoogste aandeel onder de onderzochte ketens. Voor Ethereum noemde Solidus ongeveer 8 %. Deze percentages gelden voor de onderzochte tokencontracten en de gebruikte definitie, niet voor alle transacties of gebruikers.

Voor 2022 tot 1 december meldde Solidus 117.629 aangemaakte fraudetokens. Dat aantal beschrijft tokens, niet het aantal afzonderlijke slachtoffers of de totale geldelijke schade.

Vergeleken met de ongeveer 83.400 gedetecteerde tokens uit 2021 was dat een stijging van circa 41 %, niet een verdubbeling. In de dataset die in september 2020 begon was 2022 daarmee het jaar met het hoogste aantal.

De Amerikaanse Federal Trade Commission ontving daarnaast meldingen van consumenten die samen meer dan 1 miljard dollar aan cryptobetalingen door fraude verloren tussen januari 2021 en maart 2022. De vaak genoemde 185 miljoen dollar uit dezelfde FTC-analyse betrof gemelde cryptoverliezen bij romantische oplichting over die hele periode, niet alle cryptofraude in alleen het eerste kwartaal van 2022.

De oorspronkelijke berichtgeving verwees ook naar een overzicht van Privacy Affairs waarin vijf grote verliezen, oplichtingszaken en hacks uit 2022 samen op ongeveer 3,5 miljard dollar werden gezet. Dat was een afzonderlijke selectie met een andere methode, geen volledige of direct vergelijkbare optelsom van alle schade.

De omvang van rug pulls

Een rug pull is een vorm van cryptofraude waarbij initiatiefnemers kopers aantrekken en vervolgens waarde onttrekken of hun bezit dumpen, zodat anderen met grote verliezen achterblijven. Het Solidus-rapport belichtte zowel frauduleuze contractfuncties als misleidende promotie.

Kwetsbaarheden in DeFi-protocollen, handelsplatforms en blockchainbruggen speelden een rol bij veel incidenten. Niet iedere hack is echter een rug pull en niet iedere rug pull begint met het uitbuiten van een onbedoelde technische fout: een schadelijke functie kan opzettelijk zijn ingebouwd.

Bij een exit scam haalt een initiatief geld op voor een token of project, bijvoorbeeld met beloften van hoge opbrengsten, waarna de initiatiefnemer met de middelen verdwijnt.

Bij een rug pull kan dit gebeuren door liquiditeit weg te halen, tokens massaal te verkopen of ingebouwde bevoegdheden te misbruiken. De precieze werkwijze verschilt per geval.

De fraudeur kan eerst een liquiditeitspool op een gedecentraliseerde beurs, een DEX, aanleggen en belangstelling opwekken. Veel protocollen zijn zonder toestemming toegankelijk, maar dat betekent niet dat elke DEX-interface dezelfde inrichting of identiteitscontroles heeft. Ook hoeft een project niet volledig ongebouwd te zijn voordat de fraude plaatsvindt.

Solidus beschreef contracten die doorverkopen blokkeren, verkoopheffingen tot 100 % opleggen of verborgen extra tokenuitgifte mogelijk maken. Zulke bevoegdheden kunnen misbruikt worden om waarde aan kopers te onttrekken.

Het bedrijf identificeerde met zijn methode meer dan 200.000 fraudetokens uit de periode september 2020 tot 1 december 2022.

Volgens het rapport gebruikten betrokken adressen gecentraliseerde crypto-naar-fiatplatforms om projecten te financieren en opbrengsten te verplaatsen. Solidus stelde dat meer dan 99 % van zijn geïdentificeerde schadelijke tokens buiten traditionele inventarisaties was gebleven. Dat was een vergelijking met bestaande detectiebenaderingen, geen bewijs dat elke toezichthouder iedere zaak had gemist.

Omdat de schadelijke werking in het contract kan zitten, de handel op de blockchain plaatsvindt en opbrengsten in crypto worden ontvangen, kunnen uitsluitend op websites, klachten of nieuws gebaseerde controles belangrijke signalen missen. Dit maakt detectie moeilijker, niet principieel onmogelijk.

Frauduleuze marketing kan het bereik vergroten met sociale-mediabots en wash trading: schijntransacties die activiteit of vraag suggereren. Sommige van die handelingen vereisen niet eens een eigen website.

Technische en promotionele rug pulls

Solidus gebruikte geautomatiseerde contractanalyse om verdachte functies te markeren. De claims over de nauwkeurigheid kwamen van de aanbieder zelf; een scanner levert geen absolute veiligheidsgarantie.

Het rapport onderscheidde hard rug pulls, met schadelijke contractfuncties, en soft rug pulls, met misleidende promotie en een daaropvolgend vertrek. De zeven technische categorieën waren honeypots, verborgen tokenuitgifte, schijnbaar afstand doen van eigenaarschap, verborgen saldowijzigingen, verborgen heffingswijzigingen, verborgen wijzigingen van maximale transactiebedragen en verborgen overboekingen. Eén token kan in meerdere categorieën vallen.

Solidus telde 98.442 honeypots: contracten die kopers beletten hun tokens door te verkopen. Dat kan de indruk van een stijgende koers wekken terwijl normaal uitstappen onmogelijk is. Het garandeert niet dat de zichtbare koers onbeperkt stijgt.

Voorbeelden van mechanismen waren blokkades van liquiditeitspools, externe contracten en blokkeer- of toestemmingslijsten. Het rapport noemde respectievelijk 30.323, 35.424 en 10.639 gevallen voor die beschreven varianten; de lijst vormt geen volledige uitsplitsing die automatisch tot het totale aantal moet optellen.

Een bekend voorbeeld was het SQUID-token dat op de populariteit van Squid Game meesurfte. Dit incident vond plaats in 2021, niet in 2022. In de berichtgeving werd een vroege stijging van ongeveer 45.000 % genoemd, terwijl kopers niet konden verkopen. Solidus beschreef hoe ruim 3,3 miljoen dollar werd ingebracht en de ontwikkelaars vervolgens liquiditeit onttrokken.

Het bedrijf vond ook 60.985 gevallen van verborgen tokenuitgifte. Een verborgen functie kan de beheerder extra tokens laten maken en verkopen, waardoor het bezit van anderen verwatert en de marktprijs kan dalen.

Bij 48.974 tokens signaleerde Solidus schijnbaar opgegeven eigenaarschap. Het leek alsof de ontwikkelaar geen controle meer had, terwijl gevoelige functies voor bijvoorbeeld handelspauzes, uitgifte of heffingen bereikbaar bleven.

Verborgen saldowijzigingen laten bepaalde extern beheerde accounts of het contract zelf de saldi van houders aanpassen; het rapport telde 8.340 gevallen. Bij verborgen overboekingen kunnen tokens van adressen van anderen naar de ontwikkelaar worden verplaatst. Daarvan werden 2.026 gevallen genoemd.

Verborgen heffingswijzigingen stellen de beheerder in staat de kosten bij kopen of verkopen aan te passen. Zo kan een veel groter deel van een overdracht worden ingehouden dan de gebruiker verwacht, soms zelfs de volledige waarde. Alleen het huidige tarief bekijken is onvoldoende als het contract dat tarief later kan wijzigen.

Solidus vermeldde 823 gevallen van verborgen heffingswijzigingen en 40 van verborgen wijzigingen van maximale transactiebedragen. Zo’n maximum kan op nul worden gezet, waardoor gewone gebruikers niet meer kunnen handelen. Het ging om gedetecteerde gevallen, niet noodzakelijk om veertig afzonderlijke daders.

Een soft rug pull hoeft geen schadelijke contractcode te bevatten. De fraude kan steunen op valse informatie, misleidende beloften en het plotseling verkopen van het eigen bezit.

Voorbeelden zijn verzonnen samenwerkingen, onjuiste beweringen over het team of financiers, een misleidende website of routekaart, meer eigen tokens bezitten dan publiek wordt beweerd, schijnhandel en bots die op Twitter, Discord, Reddit of Telegram positieve berichten verspreiden.

De rol van gecentraliseerde beurzen

Solidus presenteerde zijn Threat Intelligence-product als hulpmiddel om AML-teams en andere onderzoekers op verdachte contracten te attenderen. Het rapport combineerde onderzoek met de beschrijving van een commercieel product.

Het grote aantal tokens, wallets en handelsplatforms maakt het landschap ingewikkeld. Fraude door bepaalde partijen betekent niet dat elke aanbieder of iedere digitale munt frauduleus is.

Er bestaan legitieme, bruikbare platforms, maar gebruiksgemak en een professionele uitstraling sluiten risico niet uit. Angst voor fraude kan mensen ervan weerhouden deel te nemen aan de markt.

Volgens Solidus hadden vrijwel alle grote gecentraliseerde cryptobeurzen in de onderzochte gegevens blootstelling aan adressen van frauduleuze tokenuitgevers. Blootstelling is niet hetzelfde als bewijs dat een beurs zelf de fraude organiseerde.

Betrokkenen konden via zulke platforms middelen voor hun projecten verkrijgen en opbrengsten omwisselen. Dat maakt onderzoek naar geldstromen en de herkomst van middelen relevant voor de beurzen.

De FTX-instorting werd in de berichtgeving van 2022 in verband gebracht met een tekort van miljarden aan klantmiddelen; de hier aangehaalde 10 miljard dollar was een toenmalige schatting, geen definitief vastgesteld verliesbedrag. Solidus vergeleek het geschatte aantal door rug pulls getroffen adressen met aantallen klanten of schuldeisers van afzonderlijke instortingen. Door verschillende definities en mogelijke meervoudige adressen kan daaruit geen exact aantal unieke slachtoffers worden afgeleid.

Solidus mat sinds september 2020 in totaal circa 11 miljard dollar aan ETH-stortingen én -opnames tussen betrokken adressen en 153 gecentraliseerde beurzen. Dat is een gecombineerd stroomvolume, niet automatisch 11 miljard dollar aan gestolen ETH of verlies. De grootste gezamenlijke blootstelling werd volgens rechtsgebied gemeld voor de Verenigde Staten, Seychellen, Bahama’s, Nederland en Hongkong. Dat betekent niet dat de meeste van de 153 beurzen Amerikaans waren.

Voor beurzen gelden, afhankelijk van hun activiteiten en rechtsgebied, verplichtingen tegen witwassen en soms aanvullende regels voor beleggersbescherming en marktmisbruik. Het vaststellen van blootstelling is een aanleiding voor onderzoek, geen automatische vaststelling van een overtreding door elke beurs.

Het rapport zag in deze verborgen onttrekking van waarde belangrijke tekortkomingen in consumentenbescherming, witwasbestrijding en de integriteit van de cryptomarkt. Deze bevindingen en aantallen beschrijven het onderzoek uit december 2022.