Осторожно, мошенники: крупнейшие псевдовзломы и скамы 2020 года
- Взлом криптобиржи BitGrail
- Главу Oyster Pearl обвинили в экзит-скаме и неуплате налогов
- Глава VaultAge Solutions скрылся с $16.3 млн
- Команда GPay присвоила средства пользователей
- Экзит-скам PlusToken на $3 млрд
- Экзит-скамы DeFi-проектов Yfdexf.Finance, Emerald Mine и LV Finance
- Создатель SushiSwap вывел «свою долю», а после вернул средства
- Разработчики Compounder Finance намеренно допустили уязвимость в коде протокола
- Организаторов Livecoin обвиняют в экзит-скаме
- Как обезопасить себя от экзит-скамов
- Регулирование и децентрализация на защиту средств пользователей
В декабре полиция Италии обвинила главу итальянской криптобиржи BitGrail в том, что он сам, возможно, взломал свою же платформу и вывел более €120 млн евро ($146 млн) в криптовалютах, а Министерство Юстиции США обвинило в экзит-скаме создателя уже не существующего проекта Oyster Protocol. На фоне этих новостей мы решили разобрать данные кейсы, а также составить подборку похожих случаев мошенничества, когда команды проектов пропадали с деньгами пользователей. Читайте о том, как распознать недобросовестных игроков крипторынка и как обезопасить себя и свои средства.
Взлом криптобиржи BitGrail
Команда торговой платформы BitGrail заявила о взломе 8 февраля 2018 года. Тогда хакеры вывели с баланса площадки 17 млн Nano, что было эквивалентно $180 млн (с тех пор монета потеряла в цене). Основатель BitGrail Франческо Фирано в своем Twitter заявил, что биржа стала банкротом — она не сможет возместить пользователям ущерб, так как в ее резервах осталось всего $40 млн. Также он сказал, что причиной кражи могла стать уязвимость в протоколе Nano, и упрекнул разработчиков монеты в нежелании сотрудничать с площадкой.
В ответ команда Nano заявила, что код монеты в порядке, и это у BitGrail проблемы с безопасностью. Также они предположили, что взлом случился гораздо раньше — площадка приостановила торговлю Nano за месяц до сообщения о краже. В течение этого времени монеты можно было вывести только после перевода их в ВТС — сначала не больше 10 в день, а потом и вовсе не больше 1. Площадка объяснила свои действия необходимостью верифицировать пользователей.
Для решения проблемы Фирано предложил команде Nano провести хардфорк — создать новый блокчейн, тем самым вернув украденные средства. Разработчики отказались и заявили о том, что представители BitGrail отказываются с ними сотрудничать в расследовании инцидента. Они обвинили Фирано в том, что тот «вводил в заблуждение команду Nano Core и сообщество относительно платежеспособности биржи BitGrail в течение значительного периода времени». Разработчики опубликовали доказательства того, что биржу взломали еще в октябре 2017 года.
Тогда большинство пользователей поддержали разработчиков Nano, а BitGrail обвинили в мошенничестве, халатности и экзит-скаме. Были даже попытки подать коллективный судебный иск.
В апреле 2018 года Фирано попробовал обязать команду Nano через суд провести хардфорк, но иск был отклонен.
Зато в январе 2019 года суд обязал Фирано вернуть инвесторам максимум украденных средств и наложил арест на его имущество стоимостью свыше $1 млн. Суд пришел к выводу, что своими действиями глава BitGrail помешал пользователям площадки вернуть свои средства. Так, взлом действительно произошел за несколько месяцев до официального заявления торговой площадки, но Фирано не сообщил о нем вовремя. Он надеялся возместить украденное за счет дохода биржи, но в итоге лишь увеличил потери пользователей.
До недавнего времени казалось, что дело BitGrail остановилось. Но 22 декабря итальянская полиция обвинила Франческо Фирано в мошенничестве, отмывании денег и фейковом банкротстве.
Полиция утверждает, что BitGrail впервые была взломана в июне 2017 года, после чего подверглась взлому еще несколько раз. Это стало возможно из-за технических ошибок команды биржи. Но вместо того, чтобы раскрыть подробности атаки, Фирано продолжил принимать новых клиентов. За это время клиентская база выросла с 70 000 до 217 000 юзеров. Выросла и цена монеты Nano.
По версии полиции, за три дня до объявления банкротства биржи, Фирано перевел средства клиентов в криптовалюте на сумму $1.7 млн на свой личный аккаунт на мальтийской биткоин-бирже. Затем он обменял часть этой суммы на евро.
Полиция пока не определила роль Фирано в случившихся взломах: он либо спланировал атаки заранее, либо допустил халатность, позволившую им случиться. Зато полиция уверена, что кражу было легко предотвратить, а уязвимость — вовремя исправить. Поэтому власти полагают, что глава BitGrail не исправил уязвимость своей торговой платформы сознательно с целью извлечь выгоду из взлома.
Главу Oyster Pearl обвинили в экзит-скаме и неуплате налогов
Похожий случай произошел с главой проекта Oyster Pearl. Так, 9 декабря 2020 года Министерство Юстиции США подало обвинительное заключение в Южный окружной суд США в Нью-Йорке на бывшего главу уже не существующего проекта Oyster Protocol, Амира Бруно Элмаани, известного также как Бруно Блок (Bruno Block). К обвинению присоединились Налоговая служба США (IRS), ФБР и прокуратура. Ведомства обвиняют Элмаани в мошенничестве, экзит-скаме и уклонении от уплаты налогов в размере нескольких миллионов долларов.
В 2017 году Элмаани провел ICO токена Pearl (PRL), в ходе которого заработал «миллионы долларов» (точная сумма не называется). Однако в 2017 году при подаче налоговой декларации он указал размер своего дохода в виде скромной цифры $15 000. А в 2018-м Элмаани вообще не подал декларацию, хотя в том же году купил несколько яхт за $10 млн, два дома за $700 000, открыл бизнес за $1.6 млн и потратил еще сотни тысяч на мелкие покупки. Для сокрытия следов Элмаани использовал банковские счета друзей и родственников, а также управлял своим бизнесом и владел активами через подставные компании. Власти обвиняют Элмаани в обмане при подаче налоговых деклараций — ему грозит до 10 лет лишения свободы.
В отдельном гражданском иске, поданном Комиссией по ценным бумагам и биржам (SEC), Элмаани также обвиняется в проведении незаконного размещения ценных бумаг в виде токенов PRL и получении прибыли от «бесплатного выпуска миллионов незарегистрированных токенов в личных целях, их продажи на вторичном рынке, что привело к падению стоимости токенов других пользователей».
Речь идет об инциденте, который случился в конце октября 2018 года, когда Элмаани воспользовался уязвимостью смарт-контракта в сети Pearl, присвоил себе 3 млн токенов и продал их за $300 000, обрушив цену на монету. Спустя пару дней он признался команде в краже средств и объяснил свои действия падением цены ЕТН. Элмаани заявил, что все криптовалюты — пирамиды, и биткоин скоро будет стоить всего $20. Он также рассказал о желании финансово обеспечить свою семью, пока весь сектор не настиг крах. Тогда команда Oyster Protocol решила развивать проект самостоятельно и подала заявление на Элмаани в полицию. Однако вскоре проект все равно закрылся.
Случаи с Фирано и Элмаани заставляют задуматься — сколько еще таких псевдовзломов до сих пор остались нераскрытыми? Как часто владельцы бирж собственноручно взламывают свои площадки, притворяясь неизвестными хакерами?
Глава VaultAge Solutions скрылся с $16.3 млн
В июне гендиректор и организатор южно-африканской криптовалютной инвесткомпании VaultAge Solutions Вилли Бридт скрылся с $16.3 млн, полученными от 2 000 инвесторов проекта.
VaultAge Solutions позиционировался как инвестфонд и торговая криптоплощадка. Однако за полгода работы платформы не было осуществлено ни одной выплаты.
После бегства Бридта разъяренные вкладчики наняли коллекторов, которые через несколько недель поисков смогли разыскать мошенника. Тот сам обратился в полицию, заявил о поступивших ему угрозах и снова сбежал. В июле он был найден полицией и объявлен банкротом.
Команда GPay присвоила средства пользователей
23 июня Верховный суд Великобритании закрыл криптобиржу GPay, обвинив площадку в мошенничестве, работе без необходимых лицензий и разрешений, а также в непредставлении отчетности.
Биржа обманула 108 инвесторов, присвоив себе средства клиентов на сумму в £1.5 млн ($1.8 млн). Некоторые пользователи также испытывали сложности с выводом активов, а другие не получали положенной им страховки, которая должна была покрыть их потери. Также клиенты биржи жаловались на пополнение депозитов и закрытие счетов без их разрешения, а также на навязчивую рекламу, призывающую к дополнительным инвестициям.
GPay активно рекламировалась в интернете и соцсетях. В ходе рекламных кампаний торговая площадка предоставляла ложную информацию о том, что ее используют знаменитости, крупные банки и известные финансовые фирмы.
Экзит-скам PlusToken на $3 млрд
Пирамида PlusToken была запущена весной 2018 года как криптовалютный кошелек. Уже на старте она предлагала инвесторам до 20% ежемесячного дохода и реферальную программу подключения новых участников. Пользователями системы стали около 3 млн человек, а под контроль организаторов пирамиды перешли 200 000 ВТС — примерно 1% от всех выпущенных биткоинов.
В июне 2019 года начались проблемы с выводом средств. А уже через 2 месяца, в августе, шесть организаторов проекта были арестованы по обвинению в мошенничестве на $3 млрд.
В июне этого года были замечены активные переводы средств с кошельков PlusToken на связанные с проектом площадки, через которые с помощью манипуляций с курсом проходил вывод средств. Монеты выводились на суммы в сотни миллионов долларов — криптосообщество предположило, что это могло сказаться на снижении курса биткоина.
В июле были арестованы еще 109 членов команды PlusToken — сумма ущерба выросла до $5.8 млрд. В конце ноября китайские власти продали конфискованные валюты на $4.2 млрд, так и не вернув средства обманутым пользователям по решению суда. В начале декабря главных организаторов PlusToken приговорили к лишению свободы и штрафам.
Экзит-скамы DeFi-проектов Yfdexf.Finance, Emerald Mine и LV Finance
В сентябре на волне роста популярности DeFi-проектов и успеха Yearn.Finance сектор децентрализованных финансов в очередной раз продемонстрировал масштаб проблемы безопасности протоколов.
В начале сентября анонимные организаторы DeFi-проекта Yfdexf.Finance совершили экзит-скам, обманув инвесторов на общую сумму $20 млн. Протокол провел двухдневную рекламную кампанию в соцсетях и мессенджерах с обещанием раздачи призов, которое осталось не выполненным. За эти дни проекту удалось привлечь $20 млн, после чего организаторы исчезли. Сайт проекта и его соцсети оказались заблокированы или удалены.
Также в начале месяца экзит-скам совершили разработчики DeFi-проекта Emerald Mine (EMD), работающего на основе блокчейна EOS. Мошенники присвоили себе $2.5 млн средств инвесторов. Часть этой суммы удалось отследить на обменнике ChangeNOW, в результате чего они были возвращены вкладчикам.
В конце сентября с деньгами инвесторов скрылись разработчики DeFi-протокола LV Finance. Они изъяли из протокола около $780 000, а также криптовалюты — 490 000 EOS и 56 000 DFS.
Создатель SushiSwap вывел «свою долю», а после вернул средства
В августе анонимный разработчик «Chef Nomi» запустил DeFi-проект SushiSwap на основе доходного фермерства (Yield Farming). Новый проект давал дополнительные токены LP для пользователей, предоставляющих ликвидность пулу ETH/SUSHI на децентрализованной торговой платформе Uniswap. Всего за две недели протокол привлек $1.27 млрд.
В начале сентября «Chef Nomi» внезапно продал свои нативные токены проекта LP за 37 400 ЕТН (около $13 млн), объяснив это решение желанием «забрать свою долю». Это моментально привело к падению стоимости токена с $4.44 до $1.20.
Пользователи собирались подать на разработчика в суд, но не знали его личных данных. В итоге «Chef Nomi» сам вернул средства в протокол, сославшись на угрызения совести.
Разработчики Compounder Finance намеренно допустили уязвимость в коде протокола
1 декабря анонимные разработчики DeFi-протокола Compounder Finance вывели около $10.8 млн средств инвесторов, воспользовавшись скрытым бэкдором в смарт-контрактах.
Compounder Finance (как и SushiSwap) — это DeFi-платформа доходного фермерства (Yield Farming), запущенная 10 ноября 2020 года. Это клон популярного проекта Compound Finance (разница в две буквы допущена специально, чтобы привлечь невнимательных инвесторов), а также протоколов Harvest Finance и Yearn.Finance, выстреливших этим летом. Пулы Compounder Finance поддерживали ETH, DAI, USDT и USDC, а вознаграждение платилось в виде собственных токенов CP3R.
16 ноября аудит-компания Solidity Finance опубликовала отчет о проекте, в котором отметила наличие внешней угрозы и подозрительную настройку смарт-контракта, отвечающего за блокировку времени. Команда проекта не только не исправила уязвимость, но, напротив, воспользовалась скрытой функцией смарт-контракта для вывода средств.
Пользователь Twitter под ником DefiYield, который утверждает, что потерял $1 млн инвестиций в Compounder Finance, предложил вознаграждение в размере $100 000 за любую информацию о мошенниках. Инвестор намерен сотрудничать с властями, нанимать адвокатов и сыщиков до тех пор, пока не найдет злоумышленников. К сожалению, они пока не обнаружены.
Организаторов Livecoin обвиняют в экзит-скаме
В ночь с 23 на 24 декабря российскую биржу Livecoin, работающую с 2014 года, взломали. Площадка заявила о хакерской атаке, потере контроля над всеми своими серверами и попросила клиентов прекратить пользоваться ее услугами.
Таким образом, хакеры взяли под полный контроль инфраструктуру биржи — сервера, бэкенд, ноды и соцсети. В результате в ходе атаки курс биткоина на площадке вырос до $500 000–$2 000 000, вывод средств пользователями был заморожен (при этом кто-то выводил активы со счетов биржи), а аккаунт исполнительного директора биржи в Telegram был удален. Команда проекта заявила, что уже сотрудничает с полицией.
Интересно, что один из адресов, на которые хакеры выводят средства с биржи, использовался злоумышленниками во время недавнего взлома биржи Exmo.
Часть пользователей обвинили биржу в мошенничестве и попытке экзит-скама. В пользу этого говорят отсутствие реакции со стороны представителей руководства биржи и их исчезновение из публичного пространства.
При этом за несколько дней до взлома команда проекта Veros FP заявила, что с 2014 года Livecoin с помощью торговых ботов искусственно поднимала цену токенов Veros FP и большинства торговых пар на площадке. Чтобы скрыть мошенничество, 21 декабря биржа перевела на собственный баланс все токены VRS с неправильно указанных при передаче ETH-адресов. Свой ущерб компания оценивает в сумму свыше $800 000.
Пока сложно сказать, правомерны ли обвинения в адрес команды Livecoin в экзит-скаме. Мы будем следить за ситуацией.
Как обезопасить себя от экзит-скамов
От экзит-скамов никто не застрахован, поскольку их могут совершить организаторы даже проверенных, давно работающих проектов. Но есть признаки, позволяющие заранее понять, что с сервисом могут быть проблемы.
Информация о разработчиках. Перед инвестированием в проект узнайте как можно больше о его основателях и разработчиках. Фото улыбающихся людей на сайте недостаточно. Найдите членов команды в соцсетях и новостях, убедитесь, что они известны в профессиональном сообществе и участвовали в других проектах. Людям без опыта доверять не стоит.
Если команда проекта вообще не называет себя, то это повод насторожиться. Конечно, они могут оказаться честными людьми (в конце концов, мы до сих пор не знаем, кто такой Сатоши Накамото в реальности). Но если проект централизован и что-то пойдет не так, средства вам никто не вернет.
Проверьте заявления о заключенных партнерствах. Проекты часто врут о своих партнерах. Если кто-то заявляет, что его монеты использует, например, банк, перепроверьте эту информацию на ресурсах данной финансовой организации.
Изучите документацию. Обычно по white paper проекта опытным игрокам крипторынка сразу видно, если разработчики оставили себе лазейки. Правда, если вы не профессиональный юрист или разработчик, вам будет сложно в этом разобраться.
Излишняя реклама. Крупные промо-кампании, агрессивная реклама в соцсетях, розыгрыши и призы, публичные выступления лидеров проекта с раздачей подарков и приглашением на банкеты также могут быть еще одним признаком потенциального экзит-скама. Если в своем продвижении команда проекта делает упор на эмоции, а не на цифры и технические характеристики, это повод насторожиться.
Работающий продукт или минимально жизнеспособный продукт (MVP). Просто концепция или токен формата ERC-20 сейчас уже не являются поводом собирать средства пользователей.
А также стоит насторожиться и быть готовым к экзит-скаму, если проект ввел ограничения на вывод средств или обмен монет. Чаще всего они сопровождаются объявлениями о проблемах с кошельками, безопасностью, необходимостью пройти идентификацию. Совсем плохо, если администрация не выходит на связь, сайт недоступен, соцсети заблокированы, а на звонки и письма никто не отвечает.
Регулирование и децентрализация на защиту средств пользователей
Приведенные выше инциденты — веские поводы для того, чтобы пользователи криптовалют были заинтересованы в большем регулировании отрасли, а криптопроекты стремились к большей децентрализации.
Важную роль децентрализации на крипторынке отлично сформулировал известный биткоин-гуру Андреас Антонопулос: «Не ваши ключи, не ваш биткоин». Когда пользователь держит монеты на сторонней площадке, они принадлежат не ему, а бирже или протоколу, и в результате он в любой момент может их лишиться.
