CertiK: Sau khi nghiên cứu 40 dự án đang triển khai, 7 điểm này đáng cảnh báo

Tiêu đề gốc: "CertiK: Sau khi nghiên cứu 40 dự án vượt ngục, 7 điểm này đáng được cảnh báo"

Nguồn gốc: CertiK

Thoát khỏi lừa đảo, điều mà chúng tôi thường gọi là dự án đang chạy trốn. Còn được gọi là "Rug Pull", đây là một phương thức lừa đảo hình sự trong lĩnh vực Web 3.0.

Một cách phổ biến của Rug Pull  là tạo ra một dự án DeFi có vẻ hợp pháp, sau đó tạo ra khối lượng giao dịch và số lượng người dùng giả để tăng lợi nhuận của dự án. thêm nhiều nhà đầu tư vào dự án. Sau khi đạt đến một quy mô nhất định, kẻ lừa đảo hoặc nhóm lừa đảo sẽ đột ngột rút một lượng lớn tiền khỏi dự án và đóng dự án, cuối cùng khiến các token mà nhà đầu tư nắm giữ mất giá trị.

Mặc dù có rất nhiều số liệu thống kê cho thấy mức độ phổ biến và tác động của các vụ lừa đảo trong những năm qua nhưng lại có ít dữ liệu và báo cáo kiểm tra đặc điểm và thủ phạm của chúng hơn. . Nghiên cứu như vậy có thể cải thiện các nỗ lực chống rửa tiền (AML), thúc đẩy bảo vệ người tiêu dùng và tính toàn vẹn của toàn bộ thị trường Web 3.0.  

Bằng cách nghiên cứu toàn bộ chu trình thoát lừa đảo từ đầu đến cuối, chúng ta có thể mổ xẻ cấu trúc của trò lừa đảo tốt hơn và hiểu được các yếu tố rủi ro tiềm ẩn cũng như mẫu số chung dẫn đến sự tồn tại của họ. Bằng cách xác định các tín hiệu và chỉ báo này, chúng tôi có thể áp dụng các phương pháp và chiến lược bảo mật thông minh hơn để bảo vệ thế giới Web 3.0 hiệu quả hơn.

Các dự án CertiK nghiên cứu 40 Rug Pull để hiểu rõ hơn về những điểm chung dẫn đến việc cuối cùng chúng bị loại khỏi tính thanh khoản và sự khác biệt. Bằng cách xác định các đặc điểm của dự án và tiến hành phân tích định tính và định lượng, chúng tôi đã thu được các kết quả sau.

Định nghĩa khái niệm

Trong nghiên cứu này, chúng tôi định nghĩa Rug Pull  : Các dự án có tội phạm các kế hoạch và mục đích tích cực sử dụng hoạt động tiếp thị và cường điệu để đánh lừa các nhà đầu tư và sau đó khiến tiền của họ bị một hoặc nhiều thành viên trong nhóm bòn rút.

Trong nghiên cứu này, chúng tôi chỉ tiến hành nghiên cứu về Hard Rug Pull nghĩa là, sau khi nhóm dự án nhận được số tiền đầu tư lớn từ cộng đồng của mình, Quỹ sẽ được đột ngột rút khỏi dự án Soft Rug Pull là một cách tinh vi hơn để những người sáng lập đạt được mục tiêu gian lận của mình. Thay vì bán hết tất cả số token nắm giữ cùng một lúc, những người sáng lập bán chậm trong khi vẫn ảo tưởng rằng họ vẫn đang đầu tư và hỗ trợ dự án.

Phương pháp

Tất cả  sự kiện xảy ra trong bài viết này từ 2020 đến 2023 Rug Pull  40 mẫu Kéo Thảm Cứng được chọn ngẫu nhiên để nghiên cứu. Các mẫu được thu thập rất khác nhau về tổng số tiền bị đánh cắp, dao động từ khoảng 3.000 USD đến 12 triệu USD.

Phân tích tội phạm

Việc kéo thảm cứng phải xảy ra cùng với các vấn đề nội bộ trong nhóm dự án . Không khó hiểu nếu nhóm chịu trách nhiệm và không có dấu hiệu bỏ chạy thì vụ việc sẽ bị coi là một cuộc tấn công của hacker.

Trong nghiên cứu của chúng tôi về Rug Pull , chúng tôi chia các dự án trốn thoát thành bốn loại: dự án trốn thoát của nhóm dự án, sự phá hoại có ác tâm của các nhà phát triển có ác ý, tội ác do chủ dự án gây ra và tội ác do những người không rõ danh tính gây ra. người hoặc đội. . Các định nghĩa và kết luận cho từng danh mục được trình bày chi tiết hơn dưới đây:

Nghiên cứu này nhấn mạnh tầm quan trọng của việc kiểm tra lý lịch khi đánh giá các dự án mới và những rủi ro liên quan đến chúng. Vì hầu hết các tình huống kéo thảm đều do các nhóm dự án gây ra nên điều quan trọng là phải xem xét động lực của nhóm và thành tích lý lịch của họ trước khi đầu tư vào một dự án.

Rug Pull đã hoạt động trung bình  93 ngày trước vụ lừa đảo cuối cùng. Nếu trong một dự án mới triển khai, các nhà phát triển cố tình ẩn danh hoặc hoàn toàn không xác định được danh tính và không có cam kết về tính minh bạch hoặc phân quyền thì chúng ta cần phải thận trọng.

Để chống lại những trò gian lận như vậy, giảm thiểu rủi ro và giúp người dùng đưa ra quyết định sáng suốt, CertiK đã phát triển chương trình huy hiệu KYC. Chương trình tập trung vào việc xác minh và kiểm tra các nhóm đứng sau dự án, chỉ trao huy hiệu cho những người đồng ý trải qua quá trình kiểm tra lý lịch kỹ lưỡng. CertiK KYC giúp phân biệt một nhóm đã được xác minh, minh bạch và có trách nhiệm với các dự án khác.

Dự án điển hình: Nhóm lừa đảo

CertiK Các nhà điều tra đã phỏng vấn một người quản lý dự án ẩn danh Trưởng dự án (chúng tôi sẽ gọi dự án đơn giản là dự án bên dưới). Trong cuộc phỏng vấn với người đứng đầu dự án, một số điểm đáng chú ý đã xuất hiện, bao gồm cả việc người nộp đơn đang loay hoay và gặp khó khăn khi nhớ lại tên của các thành viên khác trong nhóm dự án. Họ cũng tuyên bố có ít kiến thức về dự án và cấu trúc của nó.

Ngoài ra, trưởng dự án và các thành viên trong nhóm chưa có kinh nghiệm về Web 3.0 trước đây và không thể đưa ra bất kỳ lời giải thích nào về mục đích của dự án. Họ cho rằng mục tiêu của dự án là quyên góp cho một tổ chức từ thiện cụ thể, nhưng họ không có kế hoạch hỗ trợ các sáng kiến từ thiện và không thể nêu tên các tổ chức từ thiện cụ thể. Những tuyên bố từ thiện dường như chỉ là một chiêu trò tiếp thị hoặc thậm chí là mồi nhử để thu hút các nhà đầu tư.

Dự án tan vỡ ba tháng sau cuộc trò chuyện đầu tiên này. Phân tích trực tuyến của chúng tôi cho thấy nhóm dự án phải chịu hoàn toàn trách nhiệm về sự cố Rug Pull.

Dự án: Lừa đảo của nhà phát triển độc hại

Khác với thực tế là toàn bộ nhóm dự án là một người tham gia lừa đảo, người chịu trách nhiệm về vụ lừa đảo của dự án là một nhà phát triển ẩn danh, người đã một tay đánh cắp tất cả vốn của dự án. Cuộc trò chuyện của CertiK với trưởng dự án diễn ra chỉ vài ngày trước Rug Pull.

Ngoại trừ các nhà phát triển, tất cả các thành viên khác của dự án đều có mối quan hệ công khai với dự án. Khi trưởng dự án đào sâu hơn, tên và danh tính của tất cả các thành viên trong nhóm của anh ta đã được tiết lộ, nhưng ngay cả bản thân trưởng dự án cũng không biết gì về nhà phát triển.

Nhà phát triển này hoàn toàn ẩn danh và sử dụng bút danh, chưa bao giờ tham gia bất kỳ cuộc gọi thoại hoặc video nào giữa các nhóm và chưa bao giờ xác định bất kỳ thông tin cá nhân nào. Bởi vì nhà phát triển tuyên bố có nhiều kinh nghiệm về Web 3.0 và nói về các dự án trước đó nên người phụ trách tin vào lời của nhà phát triển ẩn danh: hầu hết các nhà phát triển đều ẩn danh trong nhóm dự án, đây không phải là rủi ro hay vấn đề.

CertiK Các nhà điều tra nhận thấy rằng dự án không có yếu tố rủi ro nào khác ngoài các nhà phát triển ẩn danh của nó. Tuy nhiên, rủi ro đối với các nhà phát triển ẩn danh cũng rất quan trọng: vì các nhà phát triển ẩn danh có nhiều quyền đối với hợp đồng thông minh, điều này làm tăng đáng kể rủi ro về Rug Pull . Vài ngày sau cuộc trò chuyện với những người sáng lập, nhà phát triển ẩn danh Rug đã thực hiện dự án.

Cảnh báo đèn đỏ! Đừng chạm vào nó!

Tín hiệu đèn đỏ thứ nhất: đăng ký website

 40  được phân tích trong bài viết này Trong số các dự án 37,5% (15 ) dự án sử dụng Namecheap làm công ty đăng ký tên miền của họ. Namecheap là nhà cung cấp quyền riêng tư tên miền cho phép bạn đăng ký tên miền mà không cần bất kỳ thông tin cá nhân nào. Các dịch vụ này có thể sử dụng thông tin dịch vụ riêng tư và email được tạo ngẫu nhiên thay cho thông tin liên hệ thực tế được liên kết với tên miền. Thực tế là nó không yêu cầu thông tin cá nhân hoặc thông tin nhận dạng để đăng ký trang web có thể rất hấp dẫn đối với những kẻ lừa đảo Rug Pull trong tương lai.

Điều đáng chú ý là 40  Ở đó là 4 dữ liệu nằm trong số các mục không có tên miền trang web rõ ràng hoặc tên miền trang web liên quan. Các dự án được đăng ký thông qua Namecheap và các dự án chưa biết cộng lại chiếm 45% trong toàn bộ mẫu.

Ngoài ra, không có sự cố 4 Rug Pull do các nhà phát triển độc hại thực hiện đã sử dụng Namecheap, điều này càng chỉ ra rằng những Dự án đã bắt đầu mà không có mục đích xấu khó có khả năng cố ý sử dụng tên miền riêng nhằm che giấu thông tin riêng tư.

Đèn đỏ báo hiệu hai: cuộc sống dự án

Trong khi nghiên cứu Thảm Kéo  Một biến quan trọng khác cần xem xét là tuổi thọ của dự án. Trong bối cảnh của nghiên cứu này, thời gian hoạt động của dự án được định nghĩa là số ngày kể từ ngày bắt đầu dự án đến ngày hoàn thành dự án. Ngày bắt đầu của dự án được tính bằng ngày tạo phương tiện truyền thông xã hội, ngày tạo ví trên chuỗi và ngày trang web (thường lấy mức trung bình của các ngày khả dụng).

Trong nghiên cứu của chúng tôi về 40 dự án này, ngày ra mắt đã được xác định cho 36 trong số đó. Ngày bắt đầu và Thời gian Kéo Thảm được thu thập để tính tuổi thọ trung bình và trung bình của các dự án: tuổi thọ trung bình của các dự án này là 92 ngày và trung bình là 57 ngày.

Mặc dù tuổi thọ điển hình của hầu hết các dự án Rug Pull là ba tháng hoặc ít hơn, nhưng điều quan trọng cần lưu ý là có những điểm khác biệt trong dữ liệu. Ví dụ: có bốn dự án trong mẫu có vòng đời khoảng 300 ngày trở lên. Mặc dù dữ liệu cho thấy xu hướng và đặc điểm của  Rug Pull , nhưng dữ liệu này không thể khái quát hóa được.

Đèn đỏ báo hiệu ba: chiến thuật lừa đảo

CertiK nội dung được tiến hành trên mẫu tổng thể Phân tích để xác định các chiến thuật tiếp thị gian lận phổ biến này được sử dụng để thu hút các nhà đầu tư tiềm năng. Vì tuổi thọ trung bình của dự án Rug Pull chỉ là 93 ngày nên các dự án độc hại sẽ tập trung nhiều hơn vào việc "xây dựng sự hiện diện" sau khi dự án được thành lập nhằm kiếm thêm tiền trước khi bỏ trốn. CertiK nhận thấy rằng các dự án có xu hướng sử dụng nhiều chiến lược khác nhau trong phần trình bày dự án của mình.

Đèn đỏ tín hiệu bốn: Lộ trình  và màu trắng giấy

Đối với 31 dự án có thể đăng nhập vào trang web và thu thập dữ liệu thông tin dự án, CertiK nhận thấy rằng hầu hết trong số đó không cung cấp Lộ trình  hoặc giấy trắng. Ngay cả khi có lộ trình hoặc sách trắng, chất lượng vẫn có thể kém (nhiều lỗi ngữ pháp, thiếu thông tin) và thông tin lừa đảo thường được sử dụng trong các tài liệu này. Các dự án tương đối trưởng thành với lộ trình và sách trắng sẽ tập trung vào các tài liệu tiếp thị thúc đẩy tính hợp pháp sai lầm.

Trong số 31 dự án, chỉ 7 dự án có Lộ trình và 4 dự án đã xuất bản sách trắng. Đối với những dự án không có lộ trình và sách trắng, hầu hết đều sử dụng câu nói: lộ trình hoặc sách trắng sẽ sớm được phát hành.

Đèn đỏ báo hiệu năm: Phần giới thiệu nhóm đáng ngờ

Một biến quan trọng khác trong nghiên cứu này là giới thiệu về nhóm trong dự án và liệu nhóm đó có ẩn danh, bán ẩn danh hay được xác định công khai hay không. Trong mẫu, chúng tôi đã thu thập phần giới thiệu nhóm của 31 dự án, nhưng không có danh tính nhóm nào được tiết lộ đầy đủ.

Phần lớn các dự án là hoàn toàn ẩn danh, chiếm 24 trong số 31 dự án (77,4% ).  7 dự án còn lại được xác định là bán ẩn danh ( 22,6% trong mẫu)—không có thông tin nhận dạng nào khác ngoài việc liệt kê tên của các thành viên trong nhóm dự án. Hình ảnh và tên được các nhóm khác sử dụng đã được các nhà điều tra của chúng tôi xác nhận là sai.

Ngoài ra, chúng tôi còn tìm thấy rằng sự kiện Some Rug Pull đã sử dụng hình đại diện của "thành viên nhóm" do trí tuệ nhân tạo tạo ra và tên, thông tin cũng như dữ liệu khác của họ cũng sai.

Sử dụng hồ sơ, phát hiện và ngăn chặn tội phạm

CertiK xác định và phân tích  Có 7 các biến quan trọng liên quan đến đặc điểm và xu hướng của Rug Pull.Các biến này có những điểm tương đồng lớn, cho thấy phương pháp vận hành của Rug Pull gần như giống nhau.

Tuy nhiên, dù có nhiều điểm chung nhưng dự án Rug Pull  cũng liên tục cập nhật công nghệ và chiến lược để thích ứng với thị trường và “đi trước thời đại” trước những thay đổi của môi trường .

Dưới đây là bản tóm tắt các kết quả nghiên cứu trên: tuổi thọ của hầu hết các dự án Rug Pull rất ngắn và hầu hết đều do dự án thực hiện nói chung Rug Pull, hầu hết đều sử dụng các công ty đăng ký tên miền không lưu giữ thông tin cá nhân của người đăng ký trong quá trình thiết lập. Tất nhiên, trong cuộc khảo sát cũng tìm thấy một số trường hợp ngoại lệ nên những đặc điểm trên có thể được dùng làm tài liệu tham khảo chứ không thể dùng làm tiêu chuẩn tuyệt đối để đánh giá.

Nhân viên gian lận dự án sẽ làm Các chiến lược bổ sung tốt nhất của họ có thể được sử dụng để thu hút các nhà đầu tư tiềm năng, vì vậy, điều quan trọng là bạn phải tiến hành thẩm định kỹ lưỡng và tham khảo thông tin đáng tin cậy được cung cấp bởi các chuyên gia có Web 3.0 chuyên môn về bảo mật trước khi đầu tư.

Việc sử dụng kiểm toán viên bảo mật bên thứ ba để tiến hành kiểm tra lý lịch có thể làm tăng hiệu suất và hiệu quả của các biện pháp bảo mật. Nhóm KYC của CertiK bao gồm các chuyên gia điều tra. Ngoài việc kiểm tra lý lịch kỹ lưỡng và đánh giá rủi ro, CertiK còn duy trì cơ sở dữ liệu về kẻ lừa đảo Web 3.0 duy nhất và cung cấp các công cụ định tính và định lượng để giúp phát hiện gian lận thông qua các chỉ số rủi ro.

Rug Pull là mối đe dọa dai dẳng đối với Hệ sinh thái Web 3.0 . Mặc dù chúng tôi đã xác định được một số yếu tố rủi ro cao từ 40 mẫu và KYC của chúng tôi sẽ giúp các dự án chất lượng nổi bật, nhưng những mối đe dọa này không thể biến mất hoàn toàn.

Bằng cách tăng cường tính bảo mật và minh bạch Standard, CertiK  hy vọng sẽ cung cấp bằng chứng đáng tin cậy cho những dự án thực sự lý tưởng đó, đồng thời hy vọng sẽ giúp người dùng đưa ra những quyết định sáng suốt và đúng đắn nhằm ngăn chặn nhiều người hơn trở thành nạn nhân của Rug Pull.

Liên kết gốc

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia