Høydepunkter fra ‘The Rug Pull Report’ av Solidus Labs

Solidus Labs, en plattform for blokkjedeovervåking, publiserte sin Rug Pull‑rapport for 2022, og avslørte at nesten to millioner investorer har mistet penger til rug‑pull‑tokens. Dette er sammenlignbart med antallet investorer som opplevde usikrede tap på grunn av kollapsen av noen av de største kryptoplattformene.

Firmaets Web3 AML‑løsning skannet kildekoden til hver ny kryptovaluta som ble distribuert på en EVM‑blokkjede siden 2020, og viste til nå 1,8 millioner tokens og 12 kjeder.

Den fant at trusselaktører i kryptovaluta‑industrien starter så mange som 15 kryptosvindlerier per time. Det ble også funnet at 12 % av alle BNB Chain‑tokens er svindel, det høyeste blant alle blokkjeder, mens 8 % av alle Ethereum‑tokens er programmert til å utføre rug pulls.

Rug pulls har skapt kaos i kryptosektoren, med 117 629 rapporterte svindel‑tokens opprettet i 2022, ifølge Solidus Labs‑rapporten per 1. desember 2022. Undersøkelsen har avdekket at nesten dobbelt så mange gikk tapt i 2022 til svindlere og rug pulls.

Antallet svindel‑tokens opprettet i år er opp 41 % sammenlignet med 2021, da Solidus oppdaget nesten 83 400 falske tokens. Og som forventet er 2022 det største året noensinne for falske kryptotokens siden selskapet begynte å spore dem i september 2020.

Samtidig har forbrukere, ifølge Federal Trade Commission, tapt mer enn $1 milliard mellom tidlig januar 2021 og mars 2022 på grunn av kryptosvindel. I første kvartal av inneværende år beløp tapene fra kryptosvindel og -svindel seg til $185 millioner i USA.

En ny undersøkelse fra Privacy Affairs avslørte imidlertid at de fem største kryptotapene, svindlene og hackene i 2022, målt etter beløpet som ble mistet eller stjålet ($100 millioner eller mer), samlet seg til nesten svimlende $3,5 milliarder.

Rug Pull‑epidemien

Rug pull‑epidemien feier gjennom kryptoverdenen, og mange investorer mister sine hardt opptjente penger. I sin spesialrapport gir Solidus Labs derfor en omfattende oversikt over Rug Pulling, den vanligste svindelen med smarte kontrakter.

I likhet med 2021 ble flertallet av kryptohacks og -svindler i 2022 forårsaket av angrep og andre trusselaktører som utnyttet svakheter og sårbarheter i DeFi‑protokollen, børsplattformer og blokkjedebroer.

Kryptovaluta‑exit‑svindel er generelt en taktikk der en kryptosvindler starter en innsamlingskampanje for en kryptotoken/-prosjekt som lover betydelige avkastninger til investorer og uvitende kryptobrukere.

Rug pulling, derimot, er en exit‑svindel der en person eller gruppe lager en token, øker dens verdi, og deretter trekker ut hele prosjektets verdi.

Kort sagt er en rug pull en kryptosvindel der teamet blåser opp verdien på sine tokens for å lokke investorer, og deretter trekker seg tilbake før prosjektet er bygget. Etter at tokenen er distribuert, bygger rug‑pull‑teamet vanligvis opp en likviditetspool på en desentralisert børs (DEX), som ikke drives av en sentral enhet og ikke krever KYC‑kontroller.

Solidus Labs fant at rug pull‑tokens er bevisst programmert for tyveri, med smarte kontrakter som kan deaktivere sekundære salg, kreve 100 % salgsgebyr fra kjøpere, eller tillate utviklere å mynte nye tokens.

Ifølge en studie fra firmaet som overvåker kryptorisk og markedet, er rug pulls en av de mest vanlige svindlene i krypto, med mer enn 200 000 svindel‑tokens distribuert av svindlere fra september 2020 til 1. desember 2022.

Svindlere kan hvitvaske pengene sine og så frøene til svindlene ved å bruke krypto‑til‑fiat‑børser. Det ble også funnet at de fleste av disse ondsinnede tokenene, over 99 %, har unngått oppdagelse med tradisjonelle metoder for svindeldeteksjon fordi de kun forekommer on‑chain.

Dessuten blir tokenene ikke oppdaget av myndighetene ettersom svindelen er kodet i tokenens smarte kontrakt, handlet på en desentralisert børs, og de ulovlige inntektene er denominert i krypto, ikke fiat‑valuta.

I tillegg kan token‑svindlere bruke falsk markedsføring for å nå flere investorer, for eksempel ved å bruke roboter for å spamme sosiale medier eller utføre wash‑trading, noe som kan gjøres uten å registrere et webdomene.

Hard‑ og soft‑rug pulls

Blokkjedeovervåkingsfirmaet Solidus Labs utnyttet teknologi for screening av smarte kontrakter for å skanne millioner av tokenkontrakter og flagge svindel‑sårbarheter med enestående nøyaktighet.

Når man går dypere inn i rug pulls, delte firmaet at det finnes to hovedtyper av rug pulls – hard og soft. I en hard rug pull, også kjent som en token‑svindel, programmerer svindleren tokenen sin til å stjele fra investorer. Det finnes syv hovedtyper av harde rug pulls: honeypots, skjulte myntinger, falske eierskaps‑avståelser, skjulte saldo‑modifikatorer, skjulte gebyr‑modifikatorer, skjulte maks‑transaksjons‑beløps‑modifikatorer og skjulte overføringer.

Firmaet oppdaget 98 442 honeypot‑svindler som hindrer kjøpere i å selge tokenene sine igjen. I honeypot‑svindler får kjøpere ikke lov til å selge tokenene, noe som får prisen til å stige så lenge svindleren ønsker, og skaper inntrykket av en «moonende» token som dermed lurer enda flere brukere til å kjøpe den – noe som gjør dem til de klart mest populære rug pulls.

Flertallet av honeypots har blitt implementert på en av fire måter: blokkering av likviditetspool, bruk av eksterne kontrakter, blokklister eller tillatelseslister. Ifølge Solidus Labs’ verktøy for oppdagelse av rug pulls var det 30 323 svindler med blokkering av likviditetspool, 35 424 svindler med eksterne kontrakter og 10 639 svindler med blokklister/tillatelseslister.

Solidus oppgir at den mest produktive «honeypot» som ble gjennomført i år, var en svindel med en $3,3 millioner Squid Game‑token (SQUID), som steg 45 000 % i løpet av dager da investorer kjøpte seg inn i hypen, men ikke kunne selge, og endte med at en anonym grunnlegger tydeligvis løp med investorers midler.

Firmaet oppdaget videre totalt 60 985 skjulte myntinger, der utviklere fritt kan lage ubegrenset antall nye tokens ved hjelp av en skjult funksjon i tokenens kontrakt. Etter å ha kalt denne funksjonen kan svindleren dumpe de ekstra tokenene på markedet, og devaluere tokenene som andre holder.

Samtidig har anslagsvis 48 974 falske eierskaps‑avståelser blitt gjennomført. Med denne typen svindel får svindleren det til å se ut som om de har gitt opp kontrollen over tokenkontrakten, selv om de i virkeligheten ikke har gjort det. Svindleren kan fortsatt få tilgang til kun‑eier‑funksjoner i kontrakten, som funksjoner som kan pause handel, mynte tokens eller sette gebyrer. Det sier seg selv at dette er villedende og kan føre til at folk mister pengene sine.

I svindler med skjulte saldo‑modifikatorer kan én eller flere eksternt eide kontoer (EOA‑er), eller tokenkontrakten selv, endre tokeninnehavernes saldoer. Det har vært 8 340 slike tilfeller. Som navnet antyder, tillater en skjult overføring utviklere å sende tokens fra andre brukeres adresser til seg selv. Svindlere har allerede gjennomført totalt 2 026 skjulte overføringssvindler.

En annen type svindel man bør være oppmerksom på, er skjulte gebyr‑modifikatorer som lar tokenutviklere endre gebyrene som samles inn når brukere kjøper og selger en token. Svindlere kan gjøre denne endringen for å lure brukere til uvitende å betale et mye høyere gebyr enn det som opprinnelig ble avtalt. I noen tilfeller har brukere blitt svindlet for 100 % av størrelsen på overføringen sin. For å unngå å bli offer for denne typen svindel, bør du være oppmerksom på gebyrene knyttet til ethvert token‑kjøp eller -salg.

Det ble registrert 823 tilfeller av skjulte gebyr‑modifikatorer, mens det laveste antallet svindler ble oppdaget i skjulte maks‑transaksjons‑beløps‑modifikatorer, hvor 40 svindlere satte maksimale transaksjonsverdier så lave som null.

Nå, i den andre typen – den myke rug pull, også kjent som en exit‑svindel – promoterer svindleren tokenen sin for å stjele fra investorer. De kan publisere misvisende markedsføringsnettsteder og veikart, kunngjøre falske partnerskap, eller bruke roboter for å fabrikere handelsaktivitet.

Før de trekker teppet, kan exit‑svindlere lage et misvisende markedsføringsnettsted, kunngjøre partnerskap som ikke eksisterer, fremsette usanne påstander om utviklingsteamet eller støttespillere, delta i wash‑trading for kunstig å øke tokenens volum eller pris, gi seg selv token‑tildelinger langt over det de hevder å eie offentlig, eller bruke sosiale medie‑roboter for å spamme positiv omtale av tokenen på plattformer som Twitter, Discord, Reddit eller Telegram.

CEX‑er i sentrum av rug‑pull‑svindler

Solidus Labs lanserte nylig Solidus Threat Intelligence, et sanntidsverktøy for trusseldeteksjon som hjelper anti‑hvittvaskings‑team (AML) og andre med å oppdage svindel med smarte kontrakter, og som har blitt en av de største utfordringene for desentralisert finans (DeFi) og Web3.

Faktumet at det finnes flere kryptobørser, kryptolommebøker og til og med svindel‑kryptovalutaer i seg selv, hjelper definitivt ikke saken. Det du må vite er at, akkurat som i alle andre nettbaserte bransjer, finnes det definitivt noen dårlige epler i kryptouniverset.

Dette betyr imidlertid ikke at det ikke finnes svært hjelpsomme, brukervennlige, legitime, trygge og sikre kryptoplattformer og -børser. Dessverre blir mange mennesker avskrekket fra å investere i kryptovaluta på grunn av risikoen for å bli offer for svindel og bedrageri.

Rapporten avslørte at nesten alle store kryptobørser er påvirket av rug pulls, med mange av dem bak disse svindel‑tokenene som bruker de falske tokenene til å finansiere sine svindelprosjekter og tjene på ulovlig innhentede gevinster.

Rug pulls har også vært skadelige for sentraliserte børser (CEX‑er), ettersom mange bak disse svindel‑tokenene brukte dem til å finansiere sine tvilsomme prosjekter og cash‑out de ulovlig oppnådde gevinstene.

Den beryktede implosjonen av FTX har blitt kåret til det største enkelt tapet som nettinvestorer led i 2022, med $10 milliarder tapt i kundemidler. Men Solidus Labs fant at rug pulls skader enda flere investorer enn FTX eller noen annen enkelt kollaps i krypto til dags dato.

Det anslås at omtrent $11 milliarder i stjålet Ethereum (ETH) fra falske tokens har passert gjennom 153 sentraliserte børser (CEX‑er) siden september 2020, og de fleste børsene er underlagt amerikanske regulatorer. Etter USA er jurisdiksjonene som samlet sett har mest eksponering over CeFi‑børser, Seychellene, Bahamas, Nederland og Hongkong.

Dette til tross for at disse børsene juridisk sett er pålagt å iverksette tiltak for å forhindre hvitvasking, noe som er en forbrytelse i alle jurisdiksjoner de opererer i. I tillegg står børsene overfor ekstra regulatoriske krav i mange jurisdiksjoner knyttet til investorbeskyttelse og forebygging av markedsmisbruk.

«Dette skjulte tyverifenomenet avslører betydelige hull i forbrukerbeskyttelse, anti‑hvittvasking og integriteten i kryptomarkedet», uttalte rapporten.