Как оставаться в безопасности в DeFi

Децентрализованные финансы (DeFi) — один из самых быстрорастущих секторов криптоиндустрии: в январе 2022 года криптоактивы на сумму 92 миллиарда долларов были заблокированы в одноранговых протоколах, что на 196% больше, чем в 2021 году.

Этот рост во многом объясняется множеством возможностей для получения высокой прибыли на кредитных и торговых платформах DeFi. Но, конечно, с любым новым криптотрендом, который привлекает значительное внимание и инвестиции, всегда будут мошенники, которые ищут способы нажиться на нем, и вы вряд ли получите возмещение за свои ошибки.

Протоколы DeFi — это платформы на основе блокчейна, которые предлагают ряд финансовых услуг, которые вы обычно используете в традиционном пространстве, таких как кредиты, страхование, процентные счета.

Ключевое отличие заключается в том, что платформы DeFi работают с использованием смарт-контрактов, а не посредника, такого как банк или страховой брокер.

Смарт-контракты — это самоисполняющиеся компьютерные программы, обеспечивающие соблюдение договорных соглашений между сторонами. В идеальном мире они предоставляют ценные финансовые услуги, не связанные с хранением, такие как протоколы кредитования и децентрализованные биржи. Но иногда они содержат ошибки или зияющие уязвимости в системе безопасности, которые позволяют злоумышленникам или даже недобросовестным разработчикам опустошать кошельки казны.

Чтобы оставаться в безопасности, полезно иметь возможность идентифицировать распространенные красные флажки, которые указывают на то, что протокол DeFi на самом деле является мошенничеством или содержит ошибочный код.

Для этого вам не нужно уметь читать код смарт-контракта или разбираться в программировании. Бесплатные инструменты, такие как Token Sniffer для Ethereum и PooCoin для Binance Smart Chain, запускают автоматический аудит контрактов с токенами, чтобы определить, содержат ли они какой-либо вредоносный код для вас. Вы не должны полностью полагаться на них, но они могут стать хорошей отправной точкой для вашего собственного процесса должной осмотрительности.

«Вытягивание ковра»

Так называемое перетягивание коврика настолько распространено в DeFi, что метафорическое название этого типа мошенничества стало общепринятой фразой на криптоязыке.

Ковровое вытягивание — это тип мошенничества с выходом, в котором преступники создают новый токен, запускают для него пул ликвидности и связывают его с базовым токеном, таким как эфир (собственный токен Ethereum) или стабильная монета, такая как dai (DAI). Пул ликвидности — это большой пул токенов, которые протокол использует для совершения сделок, в отличие от системы книги заказов, в которой покупатели и продавцы перечисляют свои торговые заказы и ждут их выполнения.

Ключевой частью этой аферы является то, что создатели сохраняют значительную часть общего предложения после запуска токена.

Если мошенники успешно продали свой токен более широкому сообществу криптовалют, инвесторы начнут добавлять ликвидность в пул, чтобы заработать часть комиссий за транзакции, взимаемых с трейдеров, которые его используют. Как только количество ликвидности в пуле достигает определенной точки, создатели сбрасывают все свои токены в пул и выводят из него весь эфир, дай или любой другой базовый токен. Это приводит к тому, что цена вновь созданного токена приближается к нулю, в результате чего инвесторы держат бесполезные монеты, а мошенники уходят с чистой прибылью.

Огромным тревожным сигналом здесь является тот факт, что всего несколько кошельков контролируют почти половину циркулирующих токенов. Вы можете проверить распределение токенов в обозревателе блокчейна — Etherscan для Ethereum — нажав на вкладку «Держатели» контракта токена.

Как правило, безопаснее, если команда, стоящая за проектом, является общедоступной или если проект управляется анонимными учетными записями, которые заработали хорошую репутацию за выполнение ранее успешных и честных проектов.

приманки

Криптовалюты нестабильны, то есть цены могут сильно колебаться в течение определенного периода времени. Но если новая монета только растет, и кажется, что никто ее не продает, это может быть признаком того, что происходит нечто, известное как мошенничество с приманкой.

Именно здесь инвесторов заманивает постоянно растущая цена токена, но единственный кошелек, позволяющий продать смарт-контракт, контролируется мошенниками.

Жетон Squid Game является тому примером. Проект DeFi привлек внимание средств массовой информации из-за его предполагаемой связи с популярным сериалом. Вскоре после запуска токен быстро вырос в цене, но СМИ быстро заметили, что инвесторы не могут продать ни один из своих токенов. В конце концов, основатели сбросили свои токены и сбежали с монетой Binance (BNB) на миллионы долларов.

Важно отметить, что широкая реклама криптовалюты не гарантирует ее безопасность. У основных средств массовой информации может не быть опыта или времени для обзора криптопроекта, и они часто помогают создать дополнительную рекламу для мошенничества. В некоторых случаях влиятельным лицам в социальных сетях платят за продвижение криптовалюты, не зная, мошенничество это или нет. Знаменитости, такие как Флойд Мейвезер, DJ Халид и Кевин Харт, столкнулись с судебными исками за продвижение криптопроектов, которые позже были признаны откровенным мошенничеством.

Фишинговые атаки

Фишинг — это когда мошенник выдает себя за официальную компанию, чтобы обманом заставить жертв раскрыть конфиденциальную информацию. Этот тип мошенничества особенно распространен в криптовалютах.

В 2022 году специалисты SlashNext зафиксировали 255 млн фишинговых атак, что на 61% больше, чем в 2021 году. Только в российском сегменте Интернета в 2022 году было обнаружено около 18 000 фишинговых сайтов, что на 15% больше, чем в 2021 году. Об этом было объявлено. от Group-IB, одного из мировых экспертов в области кибербезопасности.

Если вы публикуете определенные ключевые слова в социальных сетях, например «MetaMask» в Twitter, вы можете ожидать, что вам ответит рой мошеннических ботов. Эти боты направят вас к форме Google с просьбой ввести кодовую фразу вашего кошелька или другую конфиденциальную информацию — то, чем вы никогда не должны делиться с кем-либо.

Многие мошенники выдают себя за известных людей, за которыми вы можете следить в социальных сетях. Они отправят вам сообщение с предложением помощи, прежде чем попросить вас отправить криптовалюту или поделиться конфиденциальной информацией. Иногда мошенники запускают поддельные каналы YouTube для сбора средств.

В январе 2021 года кто-то потерял 1,14 миллиона долларов из-за мошенников, выдававших себя за Майкла Сэйлора, генерального директора MicroStrategy.

Помните, что настоящие влиятельные лица вряд ли попросят вас отправить им деньги в личном сообщении, особенно если они никогда не разговаривали с вами раньше. Однако некоторые знаменитости могут сознательно или невольно продвигать схемы накачки и сброса, которые также распространены в криптовалютах.

Поддельные объявления Google

Первый результат Google для криптопроекта может не указать вам правильное направление — на самом деле он может направить вас к мошенникам.

Мошенничество с рекламой Google (Google.com)

К сожалению, Google не проверяет подлинность веб-сайтов перед продажей рекламных мест, поэтому рекламу Google никогда не следует считать признаком легитимности.

Если вы не уверены, что это правильный веб-сайт, проверьте надежные источники, такие как официальная страница проекта в Твиттере, чтобы найти настоящий веб-сайт.

Страница Uniswap Labs в Твиттере (Twitter)

Эксплойты и уязвимости

DeFi работает на фрагментах кода, которые видны всем, а это означает, что технически подкованные люди могут использовать уязвимости в коде и уйти с огромными суммами денег.

18 апреля 2022 года протокол стабильной монеты Beanstalk Farms был использован злоумышленником на сумму 76 миллионов долларов, который использовал флэш-кредит для покупки токенов управления. Они использовались для отправки двух предложений, которые вставляли вредоносные смарт-контракты.

Другой протокол DeFi под названием Rari Capital потерял около 79,3 миллиона долларов в результате эксплойта 30 апреля 2022 года. Злоумышленник воспользовался уязвимостью повторного входа в смарт-контрактах пула ликвидности протокола Rari Fuse, заставив их вызвать функцию вредоносного контракта для очистки всех пулов криптовалюты. .

Чтобы снизить риск эксплойтов, многие проекты DeFi поручают аудиторским фирмам, таким как PeckShield или Hacken, проверять их код и помогать им устранять любые обнаруженные проблемы. Проекты DeFi также могут предлагать вознаграждение хакерам в белой шляпе через такие платформы, как Immunefi, за обнаружение ошибок в их коде до того, как это сделают злоумышленники.

Аудиты и программы вознаграждений обычно отображаются на веб-сайтах проектов, чтобы вы могли ознакомиться с ними, прежде чем принять решение об инвестировании. Хотя эти программы снижают риск эксплойтов, они не устраняют риски полностью. Есть много проверенных проектов DeFi, которые стали жертвами эксплойтов на миллионы долларов.

Мошеннические аирдропы

Airdrops, в которых протоколы раздают бесплатные токены членам своих сообществ, довольно распространены и популярны. Но не все токены, отправленные на ваш кошелек, являются подлинными. Существует множество мошеннических аирдропов, которые могут украсть средства вашего кошелька, когда вы запрашиваете или переводите бесплатные токены.

В большинстве случаев эти токены будут названы в честь сомнительного веб-сайта. Если вы подключите свой кошелек через мошеннический веб-сайт и разрешите доступ к вредоносному смарт-контракту, злоумышленники смогут вывести средства прямо из вашего кошелька.