Höjdpunkter från ‘The Rug Pull Report’ av Solidus Labs

Solidus Labs, en plattform för blockchain‑övervakning, släppte sin Rug Pull‑rapport för 2022, och avslöjade att nästan två miljoner investerare har förlorat pengar till rug pull‑token. Detta är jämförbart med antalet investerare som drabbades av osäkra förluster på grund av kollapsen av några av de största kryptoplattformarna.

Företagets Web3 AML‑lösning skannade källkoden för varje ny kryptovaluta som distribuerats på en EVM‑blockkedja sedan 2020, vilket visade 1,8 miljoner token och 12 kedjor hittills.

Den fann att hotaktörer inom kryptobranschen initierar upp till 15 kryptobedrägerier per timme. Det framkom också att 12 % av alla BNB Chain‑token är bedrägerier, den högsta andelen för någon blockkedja, medan 8 % av alla Ethereum‑token är programmerade för att utföra rug pulls.

Rug pulls har skapat kaos i kryptosektorn, med 117 629 rapporterade scam‑token skapade under 2022, enligt Solidus Labs rapport, per 1 december 2022. Undersökningen har avslöjat att nästan dubbelt så många förlorades under 2022 till bedragare och rug pulls.

Antalet scam‑token som skapats i år har ökat med 41 % jämfört med 2021, då Solidus upptäckte nästan 83 400 bedrägliga token. Och som förväntat är 2022 det största året någonsin för bedrägliga kryptotoken sedan företaget började spåra dem i september 2020.

Samtidigt, enligt Federal Trade Commission, förlorade konsumenter mer än $1 miljard mellan början av januari 2021 och mars 2022 på grund av kryptobedrägerier. Under Q1 i innevarande år uppgick förlusterna från kryptobedrägerier och scams till $185 miljoner i USA.

En ny undersökning från Privacy Affairs avslöjade dock att de fem största kryptoförlusterna, scams och hackar under 2022, mätt i förlorade eller stulna pengar ($100 miljoner eller mer), uppgick till nästan hela $3,5 miljarder.

Rug Pull-epidemin

Rug pull‑epidemin sveper över kryptovärlden, och många investerare förlorar sina hårt förvärvade pengar. Därför ger Solidus Labs i sin specialrapport en omfattande översikt över Rug Pulling, det vanligaste smarta kontraktsbedrägeriet.

Liksom 2021 orsakades majoriteten av kryptohack och scams under 2022 av attacker och andra hotaktörer som utnyttjade svagheter och sårbarheter i DeFi‑protokollet, börsplattformar och blockkedjebroar.

Kryptovaluta‑exit‑scams är i allmänhet en taktik där en kryptobedrägeri startar en insamling för en kryptotoken/projekt som lovar betydande avkastning för investerare och omedvetna kryptoanvändare.

Rug pulling, å andra sidan, är en exit‑scam där en person eller grupp skapar en token och ökar dess värde, för att sedan ta ut hela projektets värde.

Kort sagt är en rug pull ett kryptobedrägeri där team pumpar upp värdet på sina token för att locka investerare och sedan drar sig tillbaka innan projektet byggs. Efter att token har distribuerats bygger ett rug pull‑team vanligtvis upp en likviditetspool på en decentraliserad börs (DEX), som inte drivs av en centraliserad enhet och som inte kräver KYC‑kontroller.

Solidus Labs fann att rug pull‑token medvetet är programmerade för stöld, med smarta kontrakt som kan inaktivera sekundära försäljningar, ta ut 100 % försäljningsavgift på köpare eller låta utvecklare skapa nya token.

Enligt en studie från företaget för kryptorisk‑ och marknadsövervakning är rug pulls ett av de vanligaste bedrägerierna inom krypto, med mer än 200 000 scam‑token som distribuerats av bedragare från september 2020 till 1 december 2022.

Bedragare kan tvätta sina pengar och så frön till sina scams genom att använda crypto‑till‑fiat‑börser. Det konstaterades också att de flesta av dessa skadliga token, över 99 %, har undgått upptäckt med traditionella metoder för scam‑identifiering eftersom de förekommer uteslutande on‑chain.

Dessutom upptäcks inte token av myndigheter eftersom bedrägeriet är kodad i tokenens smarta kontrakt, handlas på en decentraliserad börs och dess illegala vinster är denominerade i krypto, inte fiat‑valuta.

Dessutom kan token‑bedragare använda bedräglig marknadsföring för att nå fler investerare, såsom att använda botar för att spamma sociala medier eller utföra wash‑trading, vilket kan göras utan att ens registrera en webbdomän.

Hårda och mjuka Rug Pulls

Blockchain‑övervakningsföretaget Solidus Labs utnyttjade teknik för granskning av smarta kontrakt för att skanna miljontals token‑kontrakt och flagga scam‑sårbarheter med enastående precision.

När man går djupare in på rug pulls delade företaget att det finns två huvudtyper av rug pulls – hårda och mjuka. I en hård rug pull, även känd som ett token‑scam, programmerar bedragaren sin token för att stjäla från investerare. Det finns sju huvudtyper av hårda rug pulls; honeypots, dolda mint‑funktioner, falska äganderätts‑avstående, dolda balansmodifierare, dolda avgiftsmodifierare, dolda maximala transaktionsbelopps‑modifierare och dolda överföringar.

Företaget upptäckte 98 442 honeypot‑scams som hindrar köpare från att återförsälja sina token. I honeypot‑scams får köpare inte sälja token, vilket får priset att stiga så länge bedragaren vill, vilket skapar intrycket av en “mooning”‑token och därmed lurar ännu fler användare att köpa den – vilket gör dem med hela vägen till den mest populära rug pull.

Majoriteten av honeypots har implementerats på ett av fyra sätt: likviditetspool‑blockeringar, användning av externa kontrakt, blocklistor eller tillåtelistor. Enligt Solidus Labs verktyg för rug pull‑detektering fanns det 30 323 likviditetspool‑block‑scams, 35 424 externa kontrakt‑scams och 10 639 blocklist-/allowlist‑scams.

Solidus säger att den mest framgångsrika “honeypot” som genomfördes i år var en squid‑game‑token‑scam på $3,3 miljoner (SQUID), som steg 45 000 % inom dagar när investerare köpte in sig i hypen, men inte kunde sälja, vilket slutade med att en anonym grundare verkade springa iväg med investerarnas pengar.

Företaget upptäckte dessutom totalt 60 985 dolda mint‑funktioner, där utvecklare fritt kan skapa obegränsat med nya token genom en dold funktion i tokenens kontrakt. Efter att ha anropat denna funktion kan bedragaren dumpa dessa extra token på marknaden, vilket devaluerar token som hålls av andra.

Under tiden har uppskattningsvis 48 974 falska äganderätts‑avstående genomförts. Med denna typ av scam får bedragaren det att se ut som om de har avstått från kontrollen över token‑kontraktet när de i själva verket inte har gjort det. Bedragaren kan fortfarande komma åt ägarrättade funktioner i kontraktet, såsom funktioner som kan pausa handel, skapa token eller sätta avgifter. Det är självklart vilseledande och kan leda till att människor förlorar sina pengar.

I scams med dolda balansmodifierare kan en eller flera externt ägda konton (EOA) eller själva token‑kontraktet ändra tokeninnehavarnas saldon. Det har förekommit 8 340 sådana fall. Som namnet antyder tillåter en dold överföring utvecklare att skicka token från andra användares adresser till sig själva. Bedragare har redan genomfört totalt 2 026 dolda överförings‑scams.

En annan typ av scam att vara medveten om är dolda avgiftsmodifierare som låter token‑utvecklare ändra de avgifter som tas in när användare köper och säljer en token. Bedragare kan göra denna ändring för att lura användare att omedvetet betala en mycket högre avgift än vad som ursprungligen avtalats. I vissa fall har användare blivit lurade på 100 % av storleken på sin överföring. För att undvika att bli offer för denna typ av scam, var noga med att uppmärksamma avgifterna som är kopplade till varje tokenköp eller -försäljning.

Det fanns 823 fall av dolda avgiftsmodifierare medan det minsta antalet scams upptäcktes i dolda maximala transaktionsbelopps‑modifierare, där 40 bedragare satte maximala transaktionsvärden så låga som noll.

Nu, i den andra typen – den mjuka rug pull, som också är känd som en exit‑scam, marknadsför bedragaren sin token för att stjäla från investerare. De kan publicera missvisande marknadsföringswebbplatser och färdplaner, annonsera falska partnerskap eller använda botar för att skapa handelsaktivitet.

Innan de drar i mattan kan exit‑bedragare skapa en missvisande marknadsföringswebbplats, annonsera partnerskap som inte existerar, påstå osanna påståenden om sitt utvecklingsteam eller sina finansiärer, delta i wash‑trading för att artificiellt öka tokenens volym eller pris, ge sig själva token‑allokeringar långt över vad de offentligt påstår sig äga, eller använda sociala medie‑botar för att spamma positivt sentiment om token på plattformar som Twitter, Discord, Reddit eller Telegram.

CEX:er i centrum för Rug Pull‑bedrägerier

Solidus Labs lanserade nyligen Solidus Threat Intelligence, ett verktyg för hotdetektering i realtid som hjälper Anti‑Money‑Laundering‑team (AML) och andra att upptäcka smarta kontraktsbedrägerier, vilket har blivit en av de största utmaningarna för Decentralized Finance (DeFi) och Web3.

Faktum är att det finns flera kryptobörser, kryptoplånböcker och till och med bedrägliga kryptovalutor själva, vilket definitivt inte hjälper fallet. Det du behöver veta är att, precis som i alla andra online‑branscher, finns det utan tvekan några dåliga äpplen inom kryptouniversumet.

Detta betyder dock inte att det inte finns extremt hjälpsamma, användarvänliga, legitima, säkra och trygga kryptoplattformar och börser. Tyvärr avskräcks många människor från att investera i kryptovalutor på grund av riskerna att falla offer för bedrägerier och scams.

Rapporten avslöjade att nästan varje större kryptobörs påverkas av rug pulls, där många av dem bakom dessa scam‑token använder de bedrägliga token för att finansiera sina scam‑projekt och tjäna på olagligt förvärvade vinster.

Rug pulls har också varit skadliga för centraliserade börser (CEX:er) eftersom många bakom dessa scam‑token använde dem för att finansiera sina tvivelaktiga projekt och ta ut de olagligt erhållna vinsterna.

Den ökända implosionen av FTX har benämnts som den största enskilda förlusten som online‑investerare drabbades av 2022, med $10 miljarder förlorade kundmedel. Men Solidus Labs fann att rug pulls skadar ännu fler investerare än FTX eller någon annan enskild kollaps i krypto hittills.

Det uppskattas att cirka $11 miljarder i stulen Ethereum (ETH) från bedrägliga token har passerat genom 153 centraliserade börser (CEX:er) sedan september 2020, och de flesta börser övervakas av amerikanska tillsynsmyndigheter. Efter USA är de jurisdiktioner som gemensamt övervakar CeFi‑börser med störst exponering Seychellerna, Bahamas, Nederländerna och Hongkong.

Detta trots att dessa börser lagligt är skyldiga att vidta åtgärder för att förhindra penningtvätt, vilket är ett brott i varje jurisdiktion där de verkar. Dessutom står börser inför extra regulatoriska krav i många jurisdiktioner som rör investerarskydd och förebyggande av marknadsmissbruk.

”Detta dolda stöldfenomen avslöjar betydande brister i konsumentskydd, anti‑penningtvätt och integriteten i kryptomarknaden,” konstaterade rapporten.