La plataforma de seguridad blockchain Forta publicó el 10 de noviembre una investigación sobre un grupo de wallets en BNB Chain —la red lanzada por el equipo detrás del exchange Binance— que ha mantenido 32 tokens de dólar falsos operando a alrededor de $1 desde febrero, uno tras otro, enrutándolos a través de pools de PancakeSwap, el exchange descentralizado más grande de BNB Chain, que rechazan cualquier intercambio de una wallet fuera de la lista de aprobados de los operadores. Los tokens llevan el nombre y el logo de Tether (imitando el USDT, el stablecoin anclado al dólar más utilizado), llegan como transferencias ordinarias y se entregan como pago por bienes. Los vendedores generalmente descubren lo que realmente poseen solo cuando intentan vender, según el informe de Forta.

Un vendedor describió ese momento a Forta. Había vendido artículos de un juego en línea por una cantidad de cuatro cifras en lo que la wallet etiquetaba como USDT en BNB Chain, con la marca de Tether y un total en dólares coincidente. El depósito en un exchange no generó ningún abono. El token era uno de los 32.

Cómo un token falso obtiene un precio de $1

El falso es un contrato BEP-20 estándar —la versión de BNB Chain del estándar de tokens ERC-20— cuyos campos de nombre y símbolo son de texto libre. Forta encontró que los falsos en esta rotación son clones de 45 bytes de una plantilla de token de launchpad, con "USDT" y "Tether USD" escritos usando letras de otros alfabetos que se muestran como las latinas. Algunos añaden caracteres invisibles de ancho cero dentro del ticker. Los nombres sobreviven a una mirada casual y a la mayoría de las pantallas de las wallets.

Un nombre por sí solo no mostraría ningún precio. Para suministrar uno, los operadores emparejan cada falso con USDT real en un pool de PancakeSwap Infinity. Los pools Infinity aceptan hooks personalizados: código adjunto por el creador del pool que se ejecuta en cada intercambio. El hook de estos pools acepta un swap solo de wallets en la lista de aprobados de los operadores. Una wallet keeper —software automatizado que realiza una rutina de mantenimiento DeFi— luego hace pequeños intercambios de ida y vuelta a través del pool cada pocos minutos, manteniendo el último precio registrado entre $0.99 y $1.005. En un token, el keeper realizó 9,522 swaps en cuatro días.

Los rastreadores de precios, exploradores de bloques y aplicaciones de wallets leen ese último intercambio y lo adjuntan a cada saldo del token, en cualquier lugar. La wallet de un vendedor muestra $1 por unidad porque un pool reportó $1 por unidad; no tiene forma de saber que las únicas wallets capaces de operar en el pool pertenecen a las personas que crearon el token. Forta simuló una venta desde una wallet externa en el punto medio del período activo de cada pool, y el hook rechazó los 32.

Los operadores también cubren el gas. Forta encontró que cada transferencia en el caso que rastreó, incluido el posterior movimiento de la víctima a un exchange, salió con un precio de gas de cero, con una wallet patrocinadora pagando en el mismo bloque bajo el patrón sin gas BEP-414 de BNB Chain. El comprador no necesitaba BNB, y el vendedor nunca vio una tarifa inusual. Al precio de compra del grupo, $5 compraron 215,786 dólares falsos; todo el pago de cuatro cifras le costó al remitente uno o dos centavos.

Por qué la transferencia aún se confirma

Nada de la transacción es falsificado. Tome un vendedor que acepta recibir 500 USDT. El comprador envía 500 unidades del clon. El bloque se confirma, el explorador muestra una transferencia de 500 y la wallet muestra $500. Cada paso es preciso respecto al contrato que describe; el vendedor simplemente nunca verificó cuál era ese contrato. Estos son tratos directos de persona a persona —los casos de Forta van desde artículos de juegos y regalos coleccionables de Telegram hasta un pago de inversión— sin ningún exchange o mercado en el medio que verifique qué contrato llegó antes de que se entreguen los bienes.

Esa es la brecha que un nombre no puede cerrar. La confirmación demuestra que un contrato determinado registró un movimiento de tokens. No dice nada sobre si ese contrato es el que emitió Tether, y el ticker, el logo y el total en dólares provienen de campos y feeds que controla el emisor del falso.

El vendedor ve una cifra en pantalla, pero tres cantidades diferentes hay detrás de ella, y solo la última es dinero. La misma división explica el depósito al exchange que no llegó a ninguna parte: un exchange acredita USDT solo cuando el depósito proviene del contrato que tiene listado, por lo que un clon que llega a una dirección de depósito es solo un token desconocido en una wallet de exchange. Así fue como el vendedor que contactó a Forta supo lo que había pasado.

Lo que sí y no cuentan los $22 millones

Forta vincula los 32 tokens anclados a un conjunto más amplio de al menos 151 imitaciones —115 de ellas copias del dólar, el resto imitando BTC, BNB o ETH— que en conjunto realizaron 3,138,110 transferencias hasta el 3 de noviembre. El tráfico mensual osciló entre 28,000 y 52,000 transferencias hasta que apareció la primera wallet keeper en febrero, y luego subió a un pico de 814,457 en agosto.

De las direcciones receptoras, 266,497 recibieron montos que parecen compras —de 20 a 20,000 dólares falsos de un remitente que pagó a pocos más— y alrededor de 37,000 de ellas habían enviado previamente fondos reales a un exchange importante. Valorar lo recibido al $1 que mostraban sus wallets da aproximadamente $22 millones, dentro de un rango de $11 millones a $34 millones; contar solo los 32 tokens anclados da alrededor de $4 millones.

Forta es explícito en que ninguna de las dos cifras es una pérdida. El conjunto incluye compradores, objetivos de spam y wallets de prueba, y como un token falso cuesta alrededor de una milésima de centavo, los montos pueden inflarse libremente: después de eliminar distribuciones estilo airdrop, el receptor mediano obtuvo 26 dólares falsos. La pérdida real es lo que cada vendedor entregó, lo cual no deja registro en la cadena. En la cadena, el grupo de compradores de 13 wallets que Forta rastreó recibió $11,368 en stablecoins reales y envió $11,054 a lo largo de quince meses; su ganancia, si la hay, son los bienes.

Tres reportes públicos en Chainabuse, una plataforma donde cualquiera puede señalar estafas cripto, coinciden con tokens de la misma rotación, cada uno vinculado a su transacción. Siete regalos coleccionables de Telegram acordados en $600 fueron pagados con 650 tokens falsos el 30 de julio. Un comprador que dijo haber enviado 500 USDT el 2 de septiembre en realidad había enviado 500 clones. En un caso de estafa de inversión, 13,102.81 USDT reales salieron de la wallet de una víctima el 1 de junio, y 13,201 tokens falsos llegaron 65 segundos después. Forta no encontró vínculo entre esos remitentes y el grupo en su propio caso. Coindoo no ha reproducido independientemente el rastreo ni las simulaciones de pools.

Qué verificar antes de entregar cualquier cosa

La guía de Binance sobre pagos falsos, publicada en septiembre, establece el orden: acordar la red, la dirección del contrato y el monto antes del trato, y luego inspeccionar lo que realmente llegó antes de que cualquier bien, clave o cuenta cambie de manos. Forta añade el punto de referencia que hace posible el primer paso.

USDT en BNB Smart Chain, mostrado en BscScan, el explorador de bloques de la red, como Binance-Peg BSC-USD: 0x55d398326f99059fF775485246999027B3197955

Este es el token BEP-20 emitido por Binance respaldado por USDT —el que los exchanges y las wallets tratan como USDT en esta red. En BscScan el contrato aparece como "Binance-Peg BSC-USD", con la etiqueta histórica "BUSD-T Stablecoin"; ambos se refieren al mismo token emitido por Binance. Compare la dirección completa, no solo los primeros y últimos caracteres: los clones en este caso terminan en "8888", un sufijo de vanidad que su launchpad les asigna.

No pruebe un token desconocido intentando venderlo. Vender a través de un exchange descentralizado implica aprobar que el contrato de ese token mueva fondos desde la wallet, y un contrato elegido por otra persona no es uno al que deba otorgarse ese permiso. Depositario en un exchange tampoco prueba nada, como descubrió el vendedor anterior. Deje el token donde está, conserve la dirección del contrato y el hash de la transacción, y plantee el problema con el proveedor de la wallet a través de su canal oficial de soporte.

La pantalla no es el mercado

El patrón es el mismo que Coindoo identificó en wallets que parecen rentables sin ganar dinero: la pantalla reporta lo que la cadena registró, no lo que realmente se puede retirar. Un pago se recibe cuando el contrato acordado, en la red acordada, muestra el monto acordado. Un precio de $1 en una wallet es una cotización de un mercado; en este caso, era un mercado con un solo conjunto de puertas, y el vendedor estaba del lado equivocado de ellas.

Basado en el reporte de Coindoo: Fake USDT on BNB Chain: The $1 Is Real, the Exit Isn't.