Платформа blockchain-безопасности Forta 10 ноября опубликовала расследование в отношении сети кошельков на BNB Chain — сети, запущенной командой, стоящей за биржей Binance, — которая с февраля удерживала цену 32 поддельных долларовых токенов на уровне около $1, один за другим, пропуская их через пулы PancakeSwap, крупнейшей децентрализованной биржи на BNB Chain, отклоняющие любые сделки с кошельков, не входящих в собственный белый список операторов. Токены носят имя и логотип Tether (имитируя USDT, наиболее широко используемый стейблкоин, привязанный к доллару), поступают как обычные переводы и передаются в качестве оплаты за товары. Продавцы, как правило, узнают, чем владеют на самом деле, только когда пытаются продать токены, согласно отчёту Forta.

Один продавец рассказал Forta об этом моменте. Он продал предметы из онлайн-игры за четырёхзначную сумму в том, что кошелёк обозначал как USDT на BNB Chain, с брендингом Tether и соответствующей суммой в долларах. Депозит на бирже не был зачислен. Токен был одним из 32.

Как поддельный токен получает цену $1

Подделка — это стандартный контракт BEP-20, версия стандарта токенов ERC-20 на BNB Chain, поля имени и символа которого являются свободным текстом. Forta установила, что подделки в этой ротации представляют собой 45-байтовые клоны шаблона токена с лончпада, где «USDT» и «Tether USD» набраны буквами из других алфавитов, которые выглядят как латинские. Некоторые добавляют невидимые символы нулевой ширины внутри тикера. Такие названия проходят беглый осмотр и большинство отображений в кошельках.

Одного названия недостаточно для отображения цены. Для этого операторы объединяют каждую подделку с реальным USDT в пуле PancakeSwap Infinity. Пулы Infinity принимают пользовательские хуки: код, прикреплённый создателем пула и выполняющийся при каждой сделке. Хук в этих пулах принимает обмен только с кошельков из белого списка операторов. Затем кошелёк-кипер — автоматизированное программное обеспечение, выполняющее рутинную функцию обслуживания DeFi, — каждые несколько минут прогоняет через пул небольшие сделки туда и обратно, удерживая последнюю зафиксированную цену между $0,99 и $1,005. На одном токене кипер совершил 9 522 обменов за четыре дня.

Трекеры цен, блокчейн-эксплореры и приложения кошельков считывают последнюю сделку и привязывают её к любому балансу токена, где бы он ни находился. Кошелёк продавца показывает $1 за единицу, потому что пул сообщил цену $1 за единицу; он никак не может узнать, что единственные кошельки, способные торговать в пуле, принадлежат людям, создавшим токен. Forta смоделировала продажу с внешнего кошелька в середине активного периода каждого пула, и хук отклонил все 32.

Операторы также оплачивают газ. Forta установила, что каждый перевод в отслеженном случае, включая последующий перевод жертвы на биржу, отправлялся с ценой газа, равной нулю, при этом спонсорский кошелёк оплачивал комиссию в том же блоке в рамках безгазовой модели BEP-414 на BNB Chain. Покупателю не требовался BNB, а продавец не видел никаких необычных комиссий. По цене покупки команды $5 позволяли купить 215 786 поддельных долларов; вся четырёхзначная выплата стоила отправителю один-два цента.

Почему перевод всё равно подтверждается

В транзакции нет ничего подделанного. Возьмём продавца, который соглашается получить 500 USDT. Покупатель отправляет 500 единиц клона. Блок подтверждается, эксплорер показывает перевод 500, а кошелёк отображает $500. Каждый шаг точно описывает контракт, о котором идёт речь; продавец просто не проверил, что это за контракт. Это прямые сделки между частными лицами — случаи Forta варьируются от игровых предметов и коллекционных подарков Telegram до инвестиционного платежа — без биржи или маркетплейса посередине, которые проверили бы, какой контракт поступил, до передачи товара.

Это та брешь, которую название закрыть не может. Подтверждение доказывает, что данный контракт зафиксировал движение токенов. Оно ничего не говорит о том, является ли этот контракт тем, который выпустила Tether, а тикер, логотип и сумма в долларах берутся из полей и источников данных, контролируемых эмитентом подделки.

Продавец видит на экране одну цифру, но за ней стоят три разные величины, и только последняя является деньгами. Тот же разрыв объясняет депозит на бирже, который никуда не пошёл: биржа зачисляет USDT только когда депозит поступает с контракта, который она листинговала, поэтому клон, поступивший на депозитный адрес, — это просто неизвестный токен, лежащий в кошельке биржи. Именно так продавец, обратившийся в Forta, узнал, что произошло.

Что учитывает и не учитывает сумма $22 млн

Forta связывает 32 удерживаемых токена с более широким набором как минимум из 151 похожего токена — 115 из них являются долларовыми копиями, остальные имитируют BTC, BNB или ETH, — которые вместе к 3 ноября зафиксировали 3 138 110 переводов. Ежемесячный трафик составлял от 28 000 до 52 000 переводов до появления первого кошелька-кипера в феврале, затем вырос до пика в 814 457 в августе.

Из получающих адресов 266 497 получили суммы, похожие на покупки — от 20 до 20 000 поддельных долларов от отправителя, который платил немногим другим, — и около 37 000 из них ранее отправляли реальные средства на крупную биржу. Оценка полученного по $1, которые показывали их кошельки, даёт примерно $22 млн в диапазоне от $11 млн до $34 млн; учёт только 32 удерживаемых токенов даёт около $4 млн.

Forta прямо указывает, что ни одна из этих сумм не является убытком. Набор включает покупателей, цели спама и тестовые кошельки, а поскольку поддельный токен стоит около тысячной цента, суммы могут свободно завышаться: после исключения рассылок в стиле аирдропа медианный получатель получил 26 поддельных долларов. Реальный убыток — это то, что каждый продавец отдал, и это не оставляет записей в блокчейне. В блокчейне группа покупателей из 13 кошельков, отслеженная Forta, получила $11 368 в реальных стейблкоинах и отправила $11 054 за пятнадцать месяцев; её прибыль, если таковая была, — это товары.

Три публичных отчёта на Chainabuse, платформе, где любой может сообщить о крипто-мошенничестве, совпадают с токенами из той же ротации, каждый привязан к своей транзакции. Семь коллекционных подарков Telegram, согласованных на $600, были оплачены 650 поддельными токенами 30 июля. Покупатель, заявивший, что отправил 500 USDT 2 сентября, на самом деле отправил 500 клонов. В случае с инвестиционным мошенничеством 13 102,81 реального USDT покинули кошелёк жертвы 1 июня, а 13 201 поддельных токенов поступили 65 секунд спустя. Forta не обнаружила связи между этими отправителями и группой из собственного дела. Coindoo не воспроизводила независимым образом отслеживание или симуляции пулов.

Что проверить, прежде чем что-либо передавать

Рекомендации Binance по поддельным платежам, опубликованные в сентябре, устанавливают порядок: согласовать сеть, адрес контракта и сумму до сделки, а затем проверить, что фактически поступило, прежде чем любые товары, ключи или аккаунты сменят владельца. Forta добавляет ориентир, который делает первый шаг возможным.

USDT на BNB Smart Chain, отображаемый на BscScan, блокчейн-эксплорере сети, как Binance-Peg BSC-USD: 0x55d398326f99059fF775485246999027B3197955

Это выпущенный Binance токен BEP-20, обеспеченный USDT — тот, который биржи и кошельки считают USDT в этой сети. На BscScan контракт отображается как «Binance-Peg BSC-USD», с устаревшей меткой «BUSD-T Stablecoin»; оба относятся к одному и тому же выпущенному Binance токену. Сравнивайте полный адрес, а не только первые и последние символы: клоны в этом случае заканчиваются на «8888» — красивым суффиксом, который присваивает их лончпад.

Не проверяйте незнакомый токен попыткой продать его. Продажа через децентрализованную биржу означает предоставление контракту этого токена разрешения перемещать средства из вашего кошелька, а контракту, выбранному кем-то другим, не следует давать такое разрешение. Депозит на бирже также ничего не доказывает, как выяснил упомянутый выше продавец. Оставьте токен там, где он есть, сохраните адрес контракта и хеш транзакции и обратитесь к провайдеру кошелька через его официальный канал поддержки.

Экран — это не рынок

Тот же паттерн Coindoo выявила в кошельках, которые выглядят прибыльными, не принося денег: экран сообщает то, что зафиксировала сеть, а не то, что фактически можно вывести. Платёж считается полученным, когда согласованный контракт в согласованной сети показывает согласованную сумму. Цена $1 в кошельке — это котировка рынка; в данном случае это был рынок с одним набором дверей, и продавец оказался не с той стороны от них.

На основе отчёта Coindoo: Fake USDT on BNB Chain: The $1 Is Real, the Exit Isn’t.