Sebbene l'industria delle criptovalute abbia continuato a raggiungere nuove vette, toccando recentemente una capitalizzazione di mercato di $3,89 trilioni, il panorama della finanza decentralizzata (DeFi) ha assistito a un drammatico aumento del numero di incidenti di rug pull.

Il 14 novembre, il numero di incidenti di rug pull ha raggiunto un allarmante picco di 31 in un solo giorno, mentre le loro perdite cumulative mensili ammontavano a una cifra considerevole di $15 milioni, segnalando l'escalation della sofisticatezza dei truffatori.

Sebbene la maggior parte di questi incidenti coinvolgesse importi relativamente piccoli, con perdite tipicamente inferiori a $100.000, il volume stesso e la crescente complessità di queste truffe hanno rappresentato una minaccia significativa per l'integrità del mercato DeFi.

La distribuzione dei rug pull tra metà ottobre e novembre. Fonte: TenArmor

Allen Zhang, co-fondatore e chief technology officer della società di cybersecurity Web3 GoPlus, ha dichiarato a Cointelegraph che il tipo di rug pull più prevalente è la truffa “honeypot token”, che è stata identificata in oltre 5.688 token da novembre.

Ha detto che i truffatori moderni si sono adattati implementando sofisticate strategie di controllo multi-portafoglio, rendendo difficile valutare il rischio basandosi esclusivamente su metriche di concentrazione dei detentori.

I truffatori crypto cambiano le loro tattiche.

Dall'esterno, il moderno rug pull è evoluto da un'operazione rozza di smash-and-grab a una sofisticata campagna psicologica.

Michael Heinrich, co-fondatore del fornitore di infrastruttura Web3 0G labs, ha dichiarato a Cointelegraph che i truffatori ora impiegano strategie di marketing professionali che farebbero invidia a startup legittime.

“Stiamo vedendo narrazioni meticolosamente elaborate progettate per attirare investitori ignari,” ha detto, “L'assenza di protocolli rigorosi di Know Your Customer consente agli sviluppatori malintenzionati di creare e promuovere token fraudolenti senza rivelare le proprie identità, rendendo difficile per le autorità rintracciarli e renderli responsabili.”

Il recente lancio del memecoin Peanut (PNUT) è un perfetto esempio. In appena sette giorni dal suo lancio del 1 novembre, PNUT ha visto un notevole aumento di prezzo di 161 volte, attirando truffatori che hanno creato versioni fraudolente del token. I truffatori sono riusciti a eseguire un rug pull per oltre $103.000.

In questo contesto, l'arma dei bot di front-running — applicazioni che monitorano le transazioni in un mempool per identificare obiettivi per un attacco di front-running — è diventata un metodo particolarmente insidioso.

Recenti: Il dilemma di Bitcoin di Microsoft: cavalcare l'onda da $5T di BTC o evitare il rischio

Zhang ha detto che gli attori malevoli stanno iniziando a sviluppare strategie di lancio di token automatizzate specificamente progettate per sfruttare i bot di front-running.

Questo, secondo la sua opinione, ha creato una dinamica affascinante nella teoria dei giochi in cui la competizione tra gli emittenti di token e gli strumenti di trading automatico è diventata sempre più matura e intelligente.

Steven Walbroehl, co-fondatore e chief technology officer della società di sicurezza Web3 Halborn, ha dichiarato a Cointelegraph che i bot di front-running stanno aiutando le truffe di rug pull, specialmente durante i lanci di token.

“Spesso iniziano con un ciclo di ‘hype e domanda’. I bot di front-running rilevano automaticamente le nuove quotazioni di token ed eseguono ordini di acquisto rapidi per anticipare gli investitori legittimi.”

“Queste azioni gonfiano artificialmente i prezzi e i volumi dei token, creando un'illusione di alta domanda e attirando più investitori a partecipare.”

Di conseguenza, i fornitori di sicurezza ora devono condurre analisi più dettagliate utilizzando metodi che vanno oltre le semplici metriche di concentrazione e incorporano indicatori più sofisticati di potenziale attività malevola.

Sviluppando la crescente sofisticatezza di queste truffe, Heinrich ha sottolineato un'area di rug pull in evoluzione recentemente: il “lancio equo” di token memecoin. Ha detto che il 90% dei portafogli su Pump.fun — un marketplace basato su Solana che consente agli utenti di creare e distribuire i propri token, principalmente memecoin — erano interrelati.

Questo significa che gli sviluppatori stanno iniettando token meme su Pump.fun e utilizzando bot insieme ad altre tattiche per far salire il prezzo prima di liquidare sugli utenti al dettaglio ignari. Un recente esempio di questo è avvenuto quando un tredicenne è riuscito a incassare $30.000 utilizzando questa stessa tattica.

Un ragazzo crea una moneta e poi la scarica sulla gente per $30.000 mentre è in diretta 😭pic.twitter.com/LoanyydtYX

— TTI (@TikTokInvestors) 20 Novembre 2024

Walbroehl ha detto che c'è stata una crescente tendenza di progetti fraudolenti che si associano falsamente a marchi noti per guadagnare credibilità. “Il ‘rug pull di Lego’ ha coinvolto un progetto che si è collegato ingannevolmente al popolare marchio Lego, attirando investitori con false pretese prima di eseguire la truffa,” ha aggiunto.

Rilevamento, prevenzione e difesa della comunità.

Con l'aumento delle truffe memecoin, la comunità di sicurezza blockchain ha iniziato a montare una sofisticata controffensiva.

La società di ricerca sulla sicurezza Anaxi Labs e il CyLab della Carnegie Mellon University hanno sviluppato algoritmi per semplificare i componenti della blockchain e migliorare la trasparenza.

Kate Shen, co-fondatrice di Anaxi Labs, ha dichiarato a Cointelegraph che i prossimi mesi potrebbero essere monumentali per la sicurezza e l'audibilità della blockchain, specialmente con la società di VC Andreessen Horowitz che ha lanciato il suo primo prodotto importante interno, Jolt, all'inizio di quest'anno.

“L'obiettivo di [Jolt] è offrire strumenti più semplici, veloci e facilmente audibili rispetto all'attuale esperienza degli sviluppatori, che spesso è ‘intensiva in termini di sforzi’ e offre una grande superficie per l'insorgenza di bug critici per la sicurezza,” ha detto.

GoPlus ha introdotto il SafeToken Protocol, fornendo modelli di sicurezza standardizzati per ridurre la frequenza dei rug pull attuati tramite codice malevolo. “Fornendo questi modelli standardizzati e sicuri, stiamo aiutando a stabilire una base più sicura per i lanci di token nell'ecosistema Web3,” ha detto il co-fondatore Zhang.

Al di là di tali soluzioni specifiche, Nanak Nihal Khalsa, co-fondatore del protocollo di sicurezza Web3 Holonym, ha dichiarato a Cointelegraph che i portafogli crypto dovrebbero utilizzare strumenti di scansione automatizzati del codice quando l'utente interagisce con un contratto.

“Questo non può essere risolto a livello utente, ma può essere fatto a livello di portafoglio. I portafogli dovrebbero iniziare a fare questo oltre alla simulazione delle transazioni,” ha detto.

Heinrich crede che le piattaforme DeFi dovrebbero coinvolgere costantemente aziende terze di fiducia per audit contrattuali, incoraggiando allo stesso tempo lo sviluppo di codice open-source su piattaforme come GitHub. “Progettare contratti che non possano essere modificati dopo la distribuzione, punto,” ha aggiunto.

L'aspetto psicologico dei rug pull è sottovalutato.

I rug pull possono impiegare forme sofisticate di manipolazione psicologica. Ben Caselin, chief marketing officer della piattaforma di trading di asset digitali VALR, ha dichiarato a Cointelegraph che la maggior parte dei trader di criptovalute ha interiorizzato la natura ad alto rischio di questi mercati, aggiungendo:

“In sostanza stanno scommettendo, investendo in più token a bassa capitalizzazione di mercato con la speranza che uno o due possano avere successo nel breve termine.”

Questa dinamica ha aiutato a creare il terreno ideale per le truffe in cui gli investitori, spinti dalla paura di perdere opportunità (FOMO) e dall'appeal dei profitti veloci, sono diventati vulnerabili alle truffe.

Heinrich ha detto che i truffatori di oggi sono diventati abili nella creazione di facciate estremamente professionali. “Ricevo almeno un'email a settimana da un ‘fondo di investimento’ che dichiara interesse per il mio progetto,” ha rivelato.

Il ruolo dei social media e del marketing degli influencer è diventato anche innegabile, con falsi endorsement, storie di successo fabricate e campagne di marketing coordinate che sono diventati strumenti standard.

“I truffatori eseguono campagne FOMO sui social media per sfruttare il comportamento impulsivo degli investitori. Preoccupante, alcuni truffatori ripetono lo stesso copione su più progetti, affinando le loro tattiche per colpire la prossima ondata di vittime,” ha detto Shen.

Riconoscere i segnali d'allerta.

Ci sono diversi segnali che i trader possono cercare per riconoscere un potenziale rug pull.

Uno è “concentrazione dei token.” Khalsa ha detto che i truffatori creano l'illusione di distribuzione controllando più portafogli, apparentemente indipendenti.

“Maggiore è la centralizzazione di un'offerta di token, maggiore è la probabilità e l'impatto di un potenziale rug pull,” ha detto.

Recenti: Perché le criptovalute devono affrontare il loro divario di conoscenza ‘pericolosamente basso’

I progetti truffa elencano frequentemente token con bassa liquidità, rendendo più facile per i detentori centralizzati eseguire rug pull. I progetti con una distribuzione comunitaria minima sono particolarmente vulnerabili, poiché una più ampia dispersione dei token riduce i rischi di manipolazione.

È già facile far sembrare un'offerta di token centralizzata distribuita, ad esempio suddividendo i fondi tra diversi indirizzi controllati da una sola persona o scrivendo un contratto token ERC-20 falso che può mentire riguardo all'offerta e ai saldi degli utenti. “Sebbene questi trucchi possano essere individuati, l'utente medio di solito non li coglie,” ha detto Khalsa.

In questo contesto, Shen ha detto che strumenti come Etherscan e Token Sniffer possono aiutare a segnalare progetti in cui pochi portafogli principali dominano la proprietà delle criptovalute.

Khalsa ha detto che mentre è impossibile eliminare tutti i rischi, è comunque possibile ridurli drasticamente attraverso l'istruzione, l'innovazione tecnologica e una cultura di responsabilità collettiva.