Platforma bezpieczeństwa blockchain Forta opublikowała 10 listopada śledztwo dotyczące grupy portfeli w sieci BNB Chain — sieci uruchomionej przez zespół stojący za giełdą Binance — która od lutego utrzymuje 32 fałszywe tokeny dolara w obrocie po około 1 USD, jeden po drugim, kierując je przez pule na PancakeSwap, największej zdecentralizowanej giełdzie w sieci BNB Chain, które odrzucają każdą transakcję z portfela spoza listy dozwolonej przez operatorów. Tokeny noszą nazwę i logo Tether (naśladując USDT, najczęściej używany stablecoin powiązany z dolarem), przychodzą jako zwykłe transfery i są przekazywane jako płatność za towary. Sprzedający zazwyczaj odkrywają, co faktycznie posiadają, dopiero gdy próbują sprzedać, zgodnie z raportem Forta.

Jeden ze sprzedających opisał Forta ten moment. Sprzedał przedmioty z gry online za kwotę czterocyfrową w tym, co portfel oznaczał jako USDT w sieci BNB Chain, z brandingiem Tether i pasującą sumą w dolarach. Depozyt na giełdzie nie został zaksięgowany. Token był jednym z 32.

Jak fałszywy token uzyskuje cenę 1 USD

Podróbka to standardowy kontrakt BEP-20 — wersja standardu tokenów ERC-20 w sieci BNB Chain — którego pola nazwy i symbolu są dowolnym tekstem. Forta ustaliła, że podróbki w tej rotacji to 45-bajtowe klony szablonu tokena launchpada, z „USDT” i „Tether USD” wpisanymi przy użyciu liter z innych alfabetów, które wyglądają jak łacińskie. Niektóre dodają niewidoczne znaki zerowej szerokości wewnątrz tikera. Nazwy przechodzą próbę pobieżnego spojrzenia i większości wyświetlaczy portfeli.

Sama nazwa nie pokazałaby żadnej ceny. Aby ją zapewnić, operatorzy parują każdą podróbkę z prawdziwym USDT w puli PancakeSwap Infinity. Pule Infinity akceptują niestandardowe hooki: kod dołączony przez twórcę puli, wykonywany przy każdej transakcji. Hook w tych pulach akceptuje zamianę tylko z portfeli znajdujących się na liście dozwolonej operatorów. Portfel keeper — zautomatyzowane oprogramowanie pełniące rutynową rolę serwisową w DeFi — następnie co kilka minut wykonuje niewielkie transakcje w obie strony przez pulę, utrzymując ostatnią zarejestrowaną cenę między 0,99 USD a 1,005 USD. Na jednym tokenie keeper wykonał 9 522 zamian w ciągu czterech dni.

Trackery cen, eksploratory bloków i aplikacje portfeli odczytują tę ostatnią transakcję i przypisują ją do każdego salda tokena, gdziekolwiek się znajduje. Portfel sprzedającego pokazuje 1 USD za sztukę, ponieważ pula zgłosiła 1 USD za sztukę; nie ma sposobu, aby wiedzieć, że jedyne portfele mogące handlować w puli należą do osób, które stworzyły token. Forta zasymulowała sprzedaż z zewnętrznego portfela w połowie okresu aktywności każdej puli, a hook odrzucił wszystkie 32.

Operatorzy pokrywają też gaz. Forta ustaliła, że każdy transfer w śledzonym przypadku, w tym późniejszy ruch ofiary na giełdę, został wykonany przy cenie gazu zero, a portfel sponsorujący płacił w tym samym bloku zgodnie z wzorcem bezopłatowym BEP-414 sieci BNB Chain. Kupujący nie potrzebował BNB, a sprzedający nigdy nie widział nietypowej opłaty. Po cenie zakupu ekipy 5 USD kupowało 215 786 fałszywych dolarów; cała czterocyfrowa płatność kosztowała nadawcę od jednego do dwóch centów.

Dlaczego transfer mimo to się potwierdza

Nic w transakcji nie jest sfałszowane. Weźmy sprzedającego, który zgadza się otrzymać 500 USDT. Kupujący wysyła 500 jednostek klonu. Blok się potwierdza, eksplorator pokazuje transfer 500, a portfel wyświetla 500 USD. Każdy krok jest dokładny wobec kontraktu, który opisuje; sprzedający po prostu nigdy nie sprawdził, który to był kontrakt. To bezpośrednie transakcje między osobami — przypadki Forta obejmują przedmioty z gier, kolekcjonerskie prezenty Telegram i płatność inwestycyjną — bez giełdy ani marketplace’u pośrodku, które sprawdziłyby, jaki kontrakt dotarł, zanim towary zmienią właściciela.

To luka, której nazwa nie jest w stanie zamknąć. Potwierdzenie dowodzi, że dany kontrakt zarejestrował ruch tokenów. Nie mówi nic o tym, czy ten kontrakt jest tym, który wydał Tether, a ticker, logo i suma w dolarach pochodzą wszędzie z pól i feedów kontrolowanych przez emitenta podróbki.

Sprzedający widzi jedną liczbę na ekranie, ale kryją się za nią trzy różne wielkości, a tylko ostatnia jest pieniędzmi. Ten sam podział wyjaśnia depozyt giełdowy, który nigdzie nie trafił: giełda zalicza USDT tylko wtedy, gdy depozyt pochodzi z kontraktu, który ma na swojej liście, więc klon dotarły na adres depozytowy to po prostu nieznany token leżący w portfelu giełdowym. Tak sprzedający, który skontaktował się z Forta, dowiedział się, co się stało.

Co liczy, a czego nie liczą 22 miliony dolarów

Forta wiąże 32 utrzymywane tokeny z szerszym zbiorem co najmniej 151 naśladowców — 115 z nich to kopie dolara, reszta naśladuje BTC, BNB lub ETH — które łącznie przeprowadziły 3 138 110 transferów do 3 listopada. Miesięczny ruch wynosił od 28 000 do 52 000 transferów, aż do pojawienia się pierwszego portfela keeper w lutym, po czym wzrósł do szczytu 814 457 w sierpniu.

Z adresów odbiorczych 266 497 otrzymało kwoty wyglądające jak zakupy — od 20 do 20 000 fałszywych dolarów od nadawcy, który płacił niewielu innym — a około 37 000 z nich wcześniej wysłało prawdziwe środki na dużą giełdę. Wycena otrzymanych kwot po 1 USD wyświetlanym w ich portfelach daje około 22 milionów USD, w przedziale od 11 milionów do 34 milionów USD; licząc tylko 32 utrzymywane tokeny, otrzymuje się około 4 milionów USD.

Forta wyraźnie zaznacza, że żadna z tych liczb nie jest stratą. Zbiór obejmuje kupujących, cele spamu i portfele testowe, a ponieważ fałszywy token kosztuje około tysięcznej część centa, kwoty można dowolnie zawyżać: po odfiltrowaniu rozproszeń w stylu airdropów mediana odbiorcy otrzymała 26 fałszywych dolarów. Prawdziwą stratą jest to, co każdy sprzedający przekazał, co nie pozostawia śladu na łańcuchu. On-chain ekipa kupujących z 13 portfeli, którą prześledziła Forta, przyjęła 11 368 USD w prawdziwych stablecoinach i wysłała 11 054 USD w ciągu piętnastu miesięcy; jej zyskiem, o ile istnieje, są towary.

Trzy publiczne raporty na Chainabuse, platformie, na której każdy może zgłosić oszustwo krypto, pasują do tokenów z tej samej rotacji, każdy powiązany ze swoją transakcją. Siedem kolekcjonerskich prezentów Telegram uzgodnionych na 600 USD zostało opłaconych 650 fałszywymi tokenami 30 lipca. Kupujący, który twierdził, że wysłał 500 USDT 2 września, w rzeczywistości wysłał 500 klonów. W przypadku oszustwa inwestycyjnego 13 102,81 prawdziwego USDT opuściło portfel ofiary 1 czerwca, a 13 201 fałszywych tokenów dotarło 65 sekund później. Forta nie znalazła związku między tymi nadawcami a ekipą z własnego przypadku. Coindoo nie niezależnie odtworzył śledztwa ani symulacji pul.

Co sprawdzić przed wydaniem czegokolwiek

Wskazówki Binance dotyczące fałszywych płatności, opublikowane we wrześniu, określają kolejność: uzgodnij sieć, adres kontraktu i kwotę przed transakcją, a następnie sprawdź, co faktycznie dotarło, zanim jakiekolwiek towary, klucze lub konta zmienią właściciela. Forta dodaje punkt odniesienia, który umożliwia wykonanie pierwszego kroku.

USDT w sieci BNB Smart Chain, wyświetlany na BscScan, eksploratorze bloków sieci, jako Binance-Peg BSC-USD: 0x55d398326f99059fF775485246999027B3197955

To wydany przez Binance token BEP-20 zabezpieczony USDT — ten, który giełdy i portfele traktują jako USDT w tej sieci. Na BscScan kontrakt pojawia się jako „Binance-Peg BSC-USD”, z historyczną etykietą „BUSD-T Stablecoin”; oba odnoszą się do tego samego tokena wydanego przez Binance. Porównuj pełny adres, a nie tylko pierwsze i ostatnie znaki: klony w tym przypadku kończą się na „8888”, próżnościowym sufiksem nadawanym przez ich launchpad.

Nie testuj nieznanego tokena, próbując go sprzedać. Sprzedaż przez zdecentralizowaną giełdę oznacza zatwierdzenie kontraktu tokena do przenoszenia środków z portfela, a kontraktu wybranego przez kogoś innego nie należy obdarzać takim uprawnieniem. Wpłacenie go na giełdę też niczego nie dowodzi, jak przekonał się sprzedający z powyższego przykładu. Pozostaw token tam, gdzie jest, zachowaj adres kontraktu i hash transakcji, a sprawę zgłoś dostawcy portfela przez oficjalny kanał wsparcia.

Ekran to nie rynek

To ten sam wzorzec, który Coindoo zidentyfikował w portfelach, które wyglądają na zyskowne, nie generując pieniędzy: ekran raportuje to, co łańcuch zarejestrował, a nie to, co faktycznie można wypłacić. Płatność jest otrzymana, gdy uzgodniony kontrakt, w uzgodnionej sieci, pokazuje uzgodnioną kwotę. Cena 1 USD w portfelu to notowanie z rynku; w tym przypadku był to rynek z jednym zestawem drzwi, a sprzedający znalazł się po niewłaściwej stronie.

Na podstawie raportu Coindoo: Fake USDT on BNB Chain: The $1 Is Real, the Exit Isn’t.