Die Blockchain-Sicherheitsplattform Forta veröffentlichte am 10. November eine Untersuchung zu einem Cluster von Wallets auf BNB Chain — dem von dem Team hinter der Binance-Börse gestarteten Netzwerk —, das seit Februar 32 gefälschte Dollar-Token nacheinander bei einem Handelspreis von rund 1 Dollar gehalten hat, indem es sie über Pools auf PancakeSwap, der größten dezentralen Börse auf BNB Chain, leitete, die jeden Trade von einer Wallet außerhalb der eigenen Allowlist der Betreiber ablehnen. Die Token tragen Tethers Namen und Logo (sie imitieren USDT, den am weitesten verbreiteten dollar-gebundenen Stablecoin), kommen als gewöhnliche Transfers an und werden als Zahlung für Waren übergeben. Verkäufer erfahren in der Regel erst, was sie tatsächlich besitzen, wenn sie versuchen zu verkaufen, wie dem Bericht von Forta zu entnehmen ist.

Ein Verkäufer beschrieb Forta diesen Moment. Er hatte Artikel aus einem Online-Spiel für einen vierstelligen Betrag in dem verkauft, was die Wallet als USDT auf BNB Chain auswies — komplett mit Tethers Branding und einem passenden Dollar-Gesamtbetrag. Die Einzahlung auf eine Börse führte zu keiner Gutschrift. Der Token war einer der 32.

Wie ein gefälschter Token einen Preis von 1 Dollar erhält

Der Fälschung ist ein Standard-BEP-20-Vertrag — die Version des ERC-20-Token-Standards auf BNB Chain —, dessen Namens- und Symbolfelder Freitext sind. Forta stellte fest, dass die Fälschungen in dieser Rotation 45-Byte-Klone einer Launchpad-Token-Vorlage sind, bei denen „USDT“ und „Tether USD“ mit Buchstaben aus anderen Alphabeten eingegeben wurden, die wie lateinische aussehen. Einige fügen im Ticker unsichtbare Nullbreiten-Zeichen hinzu. Die Namen überstehen einen flüchtigen Blick und die meisten Wallet-Anzeigen.

Ein Name allein würde keinen Preis anzeigen. Um einen zu liefern, legen die Betreiber jeden Fälschung mit echtem USDT in einen PancakeSwap-Infinity-Pool. Infinity-Pools akzeptieren benutzerdefinierte Hooks: Code, den der Pool-Ersteller anhängt und der bei jedem Trade ausgeführt wird. Der Hook dieser Pools akzeptiert einen Swap nur von Wallets auf der Allowlist der Betreiber. Eine Keeper-Wallet — automatisierte Software, die eine routinemäßige DeFi-Wartungsaufgabe erfüllt — schleust dann alle paar Minuten kleine Trades durch den Pool, sodass der zuletzt aufgezeichnete Preis zwischen 0,99 und 1,005 Dollar bleibt. Bei einem Token machte die Keeper 9.522 Swaps in vier Tagen.

Preis-Tracker, Block-Explorer und Wallet-Apps lesen diesen letzten Trade und weisen ihn jedem Saldo des Token überall zu. Die Wallet eines Verkäufers zeigt 1 Dollar pro Einheit, weil ein Pool 1 Dollar pro Einheit meldete; sie kann nicht wissen, dass die einzigen Wallets, die im Pool handeln können, den Erstellern des Token gehören. Forta simulierte einen Verkauf von einer externen Wallet zur Mitte der aktiven Phase jedes Pools, und der Hook lehnte alle 32 ab.

Die Betreiber übernehmen auch das Gas. Forta stellte fest, dass jeder Transfer im von ihm verfolgten Fall, einschließlich der späteren Bewegung des Opfers zu einer Börse, mit einem Gaspreis von null abging, wobei eine Sponsor-Wallet im selben Block im Rahmen des gasfreien BEP-414-Musters von BNB Chain bezahlte. Der Käufer brauchte kein BNB, und der Verkäufer sah nie eine ungewöhnliche Gebühr. Zum Einkaufspreis der Crew kaufte man für 5 Dollar 215.786 Fake-Dollar; die gesamte vierstellige Zahlung kostete den Absender ein bis zwei Cent.

Warum der Transfer trotzdem bestätigt wird

Nichts an der Transaktion ist gefälscht. Nehmen wir einen Verkäufer, der dem Erhalt von 500 USDT zustimmt. Der Käufer sendet 500 Einheiten des Klons. Der Block bestätigt, der Explorer zeigt einen Transfer von 500, und die Wallet zeigt 500 Dollar. Jeder Schritt ist in Bezug auf den Vertrag, den er beschreibt, korrekt; der Verkäufer hat nur nie geprüft, welcher Vertrag es war. Es handelt sich um direkte Geschäfte von Person zu Person — Fortas Fälle reichen von Spielgegenständen und Telegram-Sammelgeschenken bis zu einer Investitionszahlung —, ohne Börse oder Marktplatz dazwischen, die prüfen, welcher Vertrag angekommen ist, bevor die Waren übergehen.

Das ist die Lücke, die ein Name nicht schließen kann. Die Bestätigung beweist, dass ein bestimmter Vertrag eine Token-Bewegung aufgezeichnet hat. Sie sagt nichts darüber aus, ob dieser Vertrag der von Tether ausgegebene ist, und Ticker, Logo und Dollar-Gesamtbetrag stammen alle aus Feldern und Feeds, die der Herausgeber des Fälschung kontrolliert.

Der Verkäufer sieht eine Zahl auf dem Bildschirm, aber dahinter stehen drei verschiedene Größen, und nur die letzte ist Geld. Dieselbe Aufspaltung erklärt die Einzahlung auf die Börse, die ins Leere ging: Eine Börse schreibt USDT nur gut, wenn die Einzahlung von dem von ihr gelisteten Vertrag stammt, sodass ein Klon, der an einer Einzahlungsadresse ankommt, nur ein unbekannter Token in einer Börsen-Wallet ist. So erfuhr der Verkäufer, der sich an Forta wandte, was passiert war.

Was 22 Millionen Dollar zählen — und was nicht

Forta verknüpft die 32 fixierten Token mit einem breiteren Satz von mindestens 151 Nachahmungen — 115 davon Dollar-Kopien, der Rest imitiert BTC, BNB oder ETH —, die zusammen bis zum 3. November 3.138.110 Transfers trugen. Der monatliche Verkehr lag bei 28.000 bis 52.000 Transfers, bis die erste Keeper-Wallet im Februar auftauchte, und stieg dann auf einen Höchststand von 814.457 im August.

Von den Empfangsadressen erhielten 266.497 Beträge, die wie Käufe aussehen — 20 bis 20.000 Fake-Dollar von einem Absender, der kaum andere bezahlte —, und etwa 37.000 davon hatten zuvor echte Mittel an eine große Börse gesendet. Wertet man, was sie erhielten, mit den 1 Dollar, die ihre Wallets anzeigten, ergibt sich rund 22 Millionen Dollar, in einer Spanne von 11 bis 34 Millionen Dollar; gezählt werden nur die 32 fixierten Token, ergibt sich etwa 4 Millionen Dollar.

Forta stellt ausdrücklich klar, dass keine der beiden Zahlen ein Verlust ist. Die Menge umfasst Käufer, Spam-Ziele und Test-Wallets, und da ein gefälschter Token etwa ein Tausendstel Cent kostet, können die Beträge frei aufgebläht werden: Nach Herausrechnen airdrop-artiger Streuungen erhielt der Median-Empfänger 26 Fake-Dollar. Der tatsächliche Verlust ist das, was jeder Verkäufer übergeben hat, was keine Spur auf der Chain hinterlässt. On-Chain nahm die von Forta verfolgte 13-Wallet-Käufer-Crew über fünfzehn Monate 11.368 Dollar an echten Stablecoins ein und schickte 11.054 Dollar heraus; ihr Gewinn, falls vorhanden, sind die Waren.

Drei öffentliche Meldungen auf Chainabuse, einer Plattform, auf der jeder Krypto-Betrug melden kann, passen zu Token aus derselben Rotation, jede mit ihrer Transaktion verknüpft. Sieben Telegram-Sammelgeschenke im Wert von 600 Dollar wurden am 30. Juli mit 650 gefälschten Token bezahlt. Ein Käufer, der sagte, er habe am 2. September 500 USDT gesendet, hatte tatsächlich 500 Klone gesendet. In einem Anlagebetrugsfall verließen 13.102,81 echte USDT am 1. Juni die Wallet eines Opfers, und 13.201 gefälschte Token kamen 65 Sekunden später an. Forta fand keinen Zusammenhang zwischen diesen Absendern und der Crew in seinem eigenen Fall. Coindoo hat die Verfolgung oder die Pool-Simulationen nicht unabhängig reproduziert.

Was man prüfen sollte, bevor man etwas herausgibt

Binance-Leitfaden zu gefälschten Zahlungen, veröffentlicht im September, legt die Reihenfolge fest: Netzwerk, Vertragsadresse und Betrag vor dem Geschäft vereinbaren, dann prüfen, was tatsächlich angekommen ist, bevor Waren, Schlüssel oder Konten den Besitzer wechseln. Forta liefert den Referenzpunkt, der den ersten Schritt möglich macht.

USDT auf BNB Smart Chain, auf BscScan, dem Block-Explorer des Netzwerks, als Binance-Peg BSC-USD angezeigt: 0x55d398326f99059fF775485246999027B3197955

Dies ist der von Binance ausgegebene, durch USDT gedeckte BEP-20-Token — derjenige, den Börsen und Wallets in diesem Netzwerk als USDT behandeln. Auf BscScan erscheint der Vertrag als „Binance-Peg BSC-USD“ mit der älteren Bezeichnung „BUSD-T Stablecoin“; beide bezeichnen denselben von Binance ausgegebenen Token. Vergleichen Sie die vollständige Adresse, nicht nur die ersten und letzten Zeichen: Die Klone in diesem Fall enden auf „8888“, ein Vanity-Suffix, das ihr Launchpad vergibt.

Testen Sie einen unbekannten Token nicht, indem Sie versuchen, ihn zu verkaufen. Der Verkauf über eine dezentrale Börse bedeutet, dem Vertrag dieses Token zu erlauben, Mittel aus der Wallet zu bewegen, und einen Vertrag, den jemand anderes ausgewählt hat, sollte man nicht mit dieser Erlaubnis versehen. Die Einzahlung auf eine Börse beweist ebenfalls nichts, wie der oben genannte Verkäufer erfuhr. Lassen Sie den Token, wo er ist, bewahren Sie die Vertragsadresse und den Transaktions-Hash auf und wenden Sie sich über den offiziellen Support-Kanal an den Wallet-Anbieter.

Der Bildschirm ist nicht der Markt

Das Muster ist dasselbe, das Coindoo in Wallets, die profitabel aussehen, ohne Geld zu verdienen, identifiziert hat: Der Bildschirm meldet, was die Chain aufgezeichnet hat, nicht was tatsächlich entnommen werden kann. Eine Zahlung ist empfangen, wenn der vereinbarte Vertrag im vereinbarten Netzwerk den vereinbarten Betrag anzeigt. Ein Preis von 1 Dollar in der Wallet ist ein Kurs aus einem Markt; in diesem Fall war es ein Markt mit einem einzigen Satz Türen, und der Verkäufer stand auf der falschen Seite davon.

Basiert auf dem Bericht von Coindoo: Fake USDT on BNB Chain: The $1 Is Real, the Exit Isn't.