La piattaforma di sicurezza blockchain Forta ha pubblicato il 10 novembre un'indagine su un cluster di wallet su BNB Chain — la rete lanciata dal team dietro l'exchange Binance — che ha mantenuto 32 token contraffatti del dollaro scambiati a circa $1 da febbraio, uno dopo l'altro, instradandoli attraverso pool su PancakeSwap, il più grande exchange decentralizzato su BNB Chain, che rifiutano qualsiasi scambio proveniente da wallet esterni alla propria allowlist. I token portano il nome e il logo di Tether (imitando USDT, la stablecoin ancorata al dollaro più utilizzata), arrivano come trasferimenti ordinari e vengono consegnati come pagamento per beni. I venditori scoprono generalmente cosa possiedono davvero solo quando provano a vendere, secondo il report di Forta.

Un venditore ha descritto quel momento a Forta. Aveva venduto oggetti di un gioco online per un importo a quattro cifre in quello che il wallet etichettava come USDT su BNB Chain, completo del branding Tether e di un totale corrispondente in dollari. Il deposito su un exchange non ha prodotto alcun accredito. Il token era uno dei 32.

Come un token falso ottiene un prezzo di $1

Il contraffatto è un contratto BEP-20 standard — la versione su BNB Chain dello standard di token ERC-20 — i cui campi nome e simbolo sono testo libero. Forta ha scoperto che i falsi in questa rotazione sono cloni di 45 byte di un template di token di un launchpad, con "USDT" e "Tether USD" scritti usando lettere di altri alfabeti che appaiono come quelle latine. Alcuni aggiungono caratteri zero-width invisibili all'interno del ticker. I nomi superano un'occhiata distratta e la maggior parte delle visualizzazioni dei wallet.

Un nome da solo non mostrerebbe alcun prezzo. Per fornirne uno, gli operatori abbinano ogni falso a USDT reale in un pool PancakeSwap Infinity. I pool Infinity accettano hook personalizzati: codice allegato dal creatore del pool che viene eseguito su ogni scambio. L'hook di questi pool accetta uno swap solo dai wallet nella allowlist degli operatori. Un wallet keeper — software automatizzato che svolge un ruolo di manutenzione DeFi di routine — esegue poi ogni pochi minuti piccoli scambi di andata e ritorno attraverso il pool, mantenendo l'ultimo prezzo registrato tra $0,99 e $1,005. Su un token, il keeper ha effettuato 9.522 swap in quattro giorni.

I tracker dei prezzi, i block explorer e le app dei wallet leggono quell'ultimo scambio e lo applicano a ogni saldo del token, ovunque. Il wallet di un venditore mostra $1 per unità perché un pool ha riportato $1 per unità; non ha modo di sapere che gli unici wallet in grado di scambiare nel pool appartengono alle persone che hanno creato il token. Forta ha simulato una vendita da un wallet esterno al punto medio del periodo attivo di ciascun pool, e l'hook ha rifiutato tutti i 32.

Gli operatori coprono anche il gas. Forta ha scoperto che ogni trasferimento nel caso tracciato, incluso il successivo trasferimento della vittima a un exchange, è stato effettuato a un prezzo del gas pari a zero, con un wallet sponsor che pagava nello stesso blocco secondo lo schema gasless BEP-414 di BNB Chain. L'acquirente non aveva bisogno di BNB, e il venditore non ha mai visto una commissione insolita. Al prezzo di acquisto della crew, $5 compravano 215.786 dollari finti; l'intero pagamento a quattro cifre è costato al mittente uno o due centesimi.

Perché il trasferimento si conferma comunque

Nulla nella transazione è contraffatto. Si prenda un venditore che accetta di ricevere 500 USDT. L'acquirente invia 500 unità del clone. Il blocco si conferma, l'explorer mostra un trasferimento di 500 e il wallet visualizza $500. Ogni passaggio è accurato riguardo al contratto che descrive; il venditore semplicemente non ha mai verificato quale contratto fosse. Si tratta di affari diretti da persona a persona — i casi di Forta vanno dagli oggetti di gioco e ai regali collezionabili di Telegram fino a un pagamento di investimento — senza alcun exchange o marketplace nel mezzo che verifichi quale contratto sia arrivato prima che i beni vengano consegnati.

Questo è il divario che un nome non può colmare. La conferma prova che un dato contratto ha registrato un movimento di token. Non dice nulla sul fatto che quel contratto sia quello emesso da Tether, e il ticker, il logo e il totale in dollari provengono tutti da campi e feed controllati dall'emittente del falso.

Il venditore vede una cifra sullo schermo, ma dietro ce ne sono tre quantità diverse, e solo l'ultima è denaro. La stessa separazione spiega il deposito su exchange andato nel vuoto: un exchange accredita USDT solo quando il deposito proviene dal contratto che ha quotato, quindi un clone che arriva a un indirizzo di deposito è solo un token sconosciuto fermo in un wallet di exchange. È così che il venditore che ha contattato Forta ha scoperto cosa era successo.

Cosa conta e cosa non conta i 22 milioni di dollari

Forta collega i 32 token bloccati a un insieme più ampio di almeno 151 token simili — 115 dei quali copie del dollaro, gli altri imitano BTC, BNB o ETH — che insieme hanno registrato 3.138.110 trasferimenti fino al 3 novembre. Il traffico mensile oscillava tra 28.000 e 52.000 trasferimenti fino alla comparsa del primo wallet keeper a febbraio, per poi salire fino a un picco di 814.457 ad agosto.

Degli indirizzi riceventi, 266.497 hanno ricevuto importi che sembrano acquisti — da 20 a 20.000 dollari finti da un mittente che ha pagato pochi altri — e circa 37.000 di questi avevano precedentemente inviato fondi reali a un importante exchange. Valutando quanto ricevuto al $1 mostrato dai loro wallet si ottiene circa 22 milioni di dollari, in un intervallo tra 11 e 34 milioni; contando solo i 32 token bloccati si arriva a circa 4 milioni.

Forta è esplicito: nessuna delle due cifre è una perdita. L'insieme include acquirenti, bersagli di spam e wallet di test, e poiché un token falso costa circa un millesimo di centesimo, gli importi possono gonfiarsi liberamente: dopo aver escluso le distribuzioni in stile airdrop, il ricevente mediano ha ottenuto 26 dollari finti. La perdita reale è ciò che ogni venditore ha consegnato, il che non lascia alcuna traccia sulla catena. On-chain, la crew di acquirenti con 13 wallet tracciata da Forta ha ricevuto $11.368 in stablecoin reali e inviato $11.054 in quindici mesi; il suo profitto, se esiste, sono i beni.

Tre segnalazioni pubbliche su Chainabuse, una piattaforma dove chiunque può segnalare truffe crypto, corrispondono a token della stessa rotazione, ciascuna legata alla propria transazione. Sette regali collezionabili di Telegram concordati a $600 sono stati pagati con 650 token finti il 30 luglio. Un acquirente che dichiarava di aver inviato 500 USDT il 2 settembre aveva in realtà inviato 500 cloni. In un caso di truffa agli investimenti, 13.102,81 USDT reali hanno lasciato il wallet di una vittima il 1° giugno, e 13.201 token finti sono arrivati 65 secondi dopo. Forta non ha trovato collegamenti tra quei mittenti e la crew nel proprio caso. Coindoo non ha riprodotto in modo indipendente il tracciamento né le simulazioni dei pool.

Cosa verificare prima di consegnare qualcosa

La guida di Binance sui pagamenti falsi, pubblicata a settembre, stabilisce l'ordine: concordare la rete, l'indirizzo del contratto e l'importo prima dell'affare, poi verificare ciò che è effettivamente arrivato prima che beni, chiavi o account cambino mano. Forta aggiunge il punto di riferimento che rende possibile il primo passaggio.

USDT su BNB Smart Chain, mostrato su BscScan, il block explorer della rete, come Binance-Peg BSC-USD: 0x55d398326f99059fF775485246999027B3197955

Questo è il token BEP-20 emesso da Binance garantito da USDT — quello che gli exchange e i wallet trattano come USDT su questa rete. Su BscScan il contratto appare come "Binance-Peg BSC-USD", con l'etichetta legacy "BUSD-T Stablecoin"; entrambi si riferiscono allo stesso token emesso da Binance. Confrontare l'indirizzo completo, non solo i primi e gli ultimi caratteri: i cloni in questo caso terminano con "8888", un suffisso vanity assegnato dal loro launchpad.

Non testare un token sconosciuto provando a venderlo. Vendere tramite un exchange decentralizzato significa approvare il contratto di quel token a muovere fondi dal wallet, e un contratto scelto da altri non è uno a cui concedere quel permesso. Depositare un exchange non dimostra nulla, come ha scoperto il venditore sopra. Lasciare il token dov'è, conservare l'indirizzo del contratto e l'hash della transazione, e segnalare la questione al provider del wallet attraverso il suo canale di supporto ufficiale.

Lo schermo non è il mercato

Lo schema è lo stesso identificato da Coindoo in wallet che sembrano profittevoli senza guadagnare: lo schermo riporta ciò che la catena ha registrato, non ciò che si può effettivamente prelevare. Un pagamento si considera ricevuto quando il contratto concordato, sulla rete concordata, mostra l'importo concordato. Un prezzo di $1 nel wallet è una quotazione di un mercato; in questo caso, era un mercato con un solo set di porte, e il venditore era dal lato sbagliato.

Basato sul report di Coindoo: Fake USDT on BNB Chain: The $1 Is Real, the Exit Isn't.