Blockchainbeveiligingsplatform Forta publiceerde op 10 november een onderzoek naar een cluster van wallets op BNB Chain — het netwerk gelanceerd door het team achter de beurs Binance — dat sinds februari 32 vervalste dollar-tokens tegen ongeveer $1 laat verhandelen, één na de ander, door ze te leiden via pools op PancakeSwap, de grootste gedecentraliseerde beurs op BNB Chain, die elke transactie weigeren van een wallet buiten de eigen allowlist van de operators. De tokens dragen de naam en het logo van Tether (ze imiteren USDT, de meest gebruikte dollar-gestabiliseerde stablecoin), komen aan als gewone transacties en worden overhandigd als betaling voor goederen. Verkoders ontdekken doorgaans pas wat ze werkelijk in handen hebben wanneer ze proberen te verkopen, volgens het rapport van Forta.

Eén verkoper beschreef dat moment aan Forta. Hij had items uit een online game verkocht voor een bedrag van vier cijfers in wat de wallet aanduidde als USDT op BNB Chain, compleet met Tether's branding en een overeenkomend dollarbedrag. De storting naar een beurs leverde geen creditering op. Het token was één van de 32.

Hoe een nep-token een prijs van $1 krijgt

De vervalsing is een standaard BEP-20-contract — de versie van BNB Chain van de ERC-20 tokenstandaard — waarvan de naam- en symboolvelden vrije tekst bevatten. Forta ontdekte dat de nep-tokens in deze rotatie 45-byte klonen zijn van een launchpad-token template, met "USDT" en "Tether USD" getypt met letters uit andere alfabetten die eruitzien als Latijnse. Sommige voegen onzichtbare zero-width-tekens toe in de ticker. De namen overleven een vluchtige blik en de meeste walletweergaven.

Eén naam alleen toont geen prijs. Om die te leveren, koppelen de operators elk nep-token aan echte USDT in een PancakeSwap Infinity-pool. Infinity-pools accepteren custom hooks: code die de maker van de pool toevoegt en die bij elke transactie draait. De hook op deze pools accepteert een swap alleen van wallets op de allowlist van de operators. Een keeper-wallet — geautomatiseerde software die een routinematige DeFi-onderhoudstaak vervult — rondt vervolgens elke paar minuten kleine transacties via de pool, waardoor de laatst geregistreerde prijs tussen $0,99 en $1,005 blijft. Op één token maakte de keeper 9.522 swaps in vier dagen.

Prijstrackers, block explorers en walletapps lezen die laatste transactie en koppelen die aan elk saldo van het token, waar dan ook. De wallet van een verkoper toont $1 per eenheid omdat een pool $1 per eenheid rapporteerde; er is geen manier om te weten dat de enige wallets die daar kunnen handelen toebehoren aan de mensen die het token hebben gemaakt. Forta simuleerde een verkoop van een externe wallet op het middelpunt van de actieve periode van elke pool, en de hook weigerde alle 32.

De operators dekken ook de gas. Forta ontdekte dat elke transactie in de gevolgde zaak, inclusief de latere overstap van het slachtoffer naar een beurs, verliep tegen een gasprijs van nul, waarbij een sponsor-wallet in hetzelfde block betaalde volgens het gasloze BEP-414-patroon van BNB Chain. De koper had geen BNB nodig en de verkoper zag nooit een ongebruikelijk tarief. Tegen de inkoopprijs van de bende kocht $5 215.786 nepdollars; de volledige betaling van vier cijfers kostte de verzender één tot twee cent.

Waarom de transactie toch bevestigt

Niets aan de transactie is vervalst. Neem een verkoper die akkoord gaat met het ontvangen van 500 USDT. De koper stuurt 500 eenheden van de kloon. Het block bevestigt, de explorer toont een transactie van 500, en de wallet toont $500. Elke stap is accuraat over het contract dat ze beschrijft; de verkoper heeft alleen nooit gecontroleerd welk contract dat was. Dit zijn directe transacties van persoon tot persoon — de zaken van Forta lopen van game-items en Telegram-verzamelcadeaus tot een investeringsbetaling — zonder beurs of marktplaats daartussen om te controleren welk contract aankwam voordat de goederen van eigenaar wisselen.

Dat is het gat dat een naam niet kan dichten. Bevestiging bewijst dat een bepaald contract een verplaatsing van tokens heeft geregistreerd. Het zegt niets over of dat contract het token is dat Tether heeft uitgegeven, en de ticker, het logo en het dollarbedrag komen allemaal uit velden en feeds die de uitgever van de nep-token beheerst.

De verkoper ziet één cijfer op het scherm, maar achter dat cijfer zitten drie verschillende grootheden, en alleen de laatste is geld. Dezelfde scheiding verklaart de beursstorting die nergens heen ging: een beurs schrijft USDT alleen goed wanneer de storting afkomstig is van het contract dat het heeft genoteerd, dus een kloon die op een stortingsadres aankomt is gewoon een onbekend token in een beurswallet. Zo ontdekte de verkoper die contact opnam met Forta wat er was gebeurd.

Wat $22 miljoen wel en niet telt

Forta koppelt de 32 tokens met kunstmatige prijs aan een bredere set van ten minste 151 lookalikes — waarvan 112 dollar-kopieën en de rest imitaties van BTC, BNB of ETH — die samen 3.138.110 transacties verstuurden tot 3 november. Het maandelijkse verkeer liep op 28.000 tot 52.000 transacties tot de eerste keeper-wallet in februari verscheen, en steeg toen naar een piek van 814.457 in augustus.

Van de ontvangende adressen ontvingen 266.497 bedragen die op aankopen lijken — 20 tot 20.000 nepdollars van een verzender die weinig anderen betaalde — en ongeveer 37.000 daarvan hadden eerder echte fondsen naar een grote beurs gestuurd. Als je wat ze ontvingen waardeert tegen de $1 die hun wallets toonden, komt dat neer op ongeveer $22 miljoen, binnen een bereik van $11 miljoen tot $34 miljoen; als je alleen de 32 tokens met kunstmatige prijs telt, is dat ongeveer $4 miljoen.

Forta benadrukt dat geen van beide cijfers een verlies is. De set omvat kopers, spamdoelen en test-wallets, en omdat een nep-token ongeveer een duizendste cent kost, zijn de bedragen vrij op te blazen: na het verwijderen van airdrop-achtige sprays ontving de mediane ontvanger 26 nepdollars. Het echte verlies is wat elke verkoper heeft overgedragen, wat geen spoor op de chain achterlaat. On-chain nam de bende van 13 wallet-kopers die Forta volgde in vijftien maanden $11.368 in echte stablecoins in en stuurde het $11.054 uit; de winst, als die er is, zijn de goederen.

Drie openbare rapporten op Chainabuse, een platform waar iedereen cryptoscams kan melden, komen overeen met tokens uit dezelfde rotatie, elk gekoppeld aan zijn transactie. Zeven Telegram-verzamelcadeaus met een afgesproken waarde van $600 werden op 30 juli betaald met 650 nep-tokens. Een koper die zei 500 USDT te hebben gestuurd op 2 september had in feite 500 klonen gestuurd. In een investeringsfraudezaak verlieten 13.102,81 echte USDT de wallet van een slachtoffer op 1 juni, en arriveerden 13.201 nep-tokens 65 seconden later. Forta vond geen verband tussen die verzenders en de bende in de eigen zaak. Coindoo heeft de tracing of de poolsimulaties niet onafhankelijk gereproduceerd.

Wat te controleren voordat je iets afgeeft

De handleiding van Binance over nepbetalingen, gepubliceerd in september, stelt de volgorde vast: spreek het netwerk, het contractadres en het bedrag af vóór de transactie, en controleer dan wat er werkelijk is aangekomen voordat goederen, sleutels of accounts van eigenaar wisselen. Forta voegt het referentiepunt toe dat de eerste stap mogelijk maakt.

USDT op BNB Smart Chain, weergegeven op BscScan, de block explorer van het netwerk, als Binance-Peg BSC-USD: 0x55d398326f99059fF775485246999027B3197955

Dit is het door Binance uitgegeven BEP-20-token gedekt door USDT — het token dat beurzen en wallets op dit netwerk als USDT behandelen. Op BscScan verschijnt het contract als "Binance-Peg BSC-USD", met het verouderde label "BUSD-T Stablecoin"; beide verwijzen naar hetzelfde door Binance uitgegeven token. Vergelijk het volledige adres, niet alleen de eerste en laatste tekens: de klonen in dit geval eindigen op "8888", een vanity-achtervoegsel dat hun launchpad toewijst.

Test een onbekend token niet door het te proberen verkopen. Verkopen via een gedecentraliseerde beurs betekent dat het contract van dat token toestemming krijgt om fondsen uit de wallet te verplaatsen, en een contract dat iemand anders heeft gekozen is niet één aan wie je die toestemming verleent. Het storten naar een beurs bewijst ook niets, zoals de verkoper hierboven ontdekte. Laat het token waar het is, bewaar het contractadres en de transactiehash, en breng het probleem onder de aandacht van de walletprovider via het officiële supportkanaal.

Het scherm is niet de markt

Het patroon is hetzelfde dat Coindoo identificeerde in wallets die winstgevend lijken zonder geld te verdienen: het scherm rapporteert wat de chain heeft geregistreerd, niet wat er werkelijk uit te nemen is. Een betaling is ontvangen wanneer het afgesproken contract, op het afgesproken netwerk, het afgesproken bedrag toont. Een prijs van $1 in een wallet is een quote van een markt; in dit geval was het een markt met één set deuren, en de verkoper stond aan de verkeerde kant.

Gebaseerd op het rapport van Coindoo: Fake USDT on BNB Chain: The $1 Is Real, the Exit Isn't.