Autor oryginału: Dessislava Aubert, Anastasia Melachrinos

Tłumaczenie oryginalne: Block unicorn

9 października 2024 roku trzej market makerzy - ZM Quant, CLS Global i MyTrade - oraz ich pracownicy zostali oskarżeni o prowadzenie transakcji wash tradingowych i wspólne działania w imieniu firmy kryptowalutowej i jej tokena NexFundAI. Zgodnie z dowodami zebranymi przez FBI, łącznie 18 osób i podmiotów stoi przed zarzutami.

W tej szczegółowej analizie przeanalizujemy dane on-chain kryptowaluty NexFundAI, aby zidentyfikować wzory wash tradingu, które mogą rozciągać się na inne kryptowaluty, oraz poddać w wątpliwość płynność niektórych tokenów. Ponadto zbadamy inne strategie wash tradingu w DeFi oraz jak identyfikować nielegalne działania na platformach scentralizowanych.

Na koniec, zbadamy zachowania związane z podnoszeniem cen na rynku koreańskim, które zacierają granice między efektywnością rynku a manipulacją.

FBI identyfikuje transakcje wash tradingowe w danych tokenów

NexFundAI jest tokenem wydanym przez firmę stworzoną przez FBI w maju 2024 roku, mającym na celu ujawnienie manipulacji rynkowych na rynku kryptowalut. Oskarżone firmy prowadziły algorytmiczne transakcje wash tradingowe oraz manipulacyjne działania, zazwyczaj na giełdach DeFi, takich jak Uniswap. Te działania dotyczyły nowo wydawanych lub niskich tokenów, tworząc fałszywe wrażenie aktywnego rynku w celu przyciągnięcia prawdziwych inwestorów, co ostatecznie prowadziło do wzrostu cen tokenów i ich rozpoznawalności.

Śledztwo FBI przyniosło jasne zeznania, w których osoby zaangażowane szczegółowo opisały swoje kroki i intencje. Niektórzy nawet wyraźnie stwierdzili: „Tak robimy market making na Uniswap.” Jednak sprawa ta dostarcza nie tylko dowodów ustnych, ale także pokazuje za pomocą danych rzeczywisty obraz wash tradingu w DeFi, co będzie przedmiotem dalszej analizy.

Aby rozpocząć nasze badanie danych o fałszywych tokenach NexFundAI (kod Kaiko: NEXF) prowadzonych przez FBI, najpierw sprawdzimy dane o transferach on-chain tokena. Te dane dostarczają pełnej ścieżki od momentu emisji tokenu, w tym wszystkich portfeli i adresów inteligentnych kontraktów, które posiadały te tokeny.

Dane pokazują, że emitent tokenów przelał fundusze tokenów do portfela market makera, który następnie rozdzielił fundusze na dziesiątki innych portfeli, które na wykresie oznaczone są ciemnoniebieskimi skupiskami.

Następnie te fundusze zostały użyte do przeprowadzania transakcji wash tradingowych na jedynym rynku wtórnym stworzonym przez emitenta - Uniswap, który znajduje się w centralnej części wykresu i jest punktem przecięcia niemal wszystkich portfeli, które odbierają i/lub przenoszą ten token (od maja do września 2024).

Te odkrycia dodatkowo potwierdzają informacje ujawnione przez FBI w ramach akcji „wtyczki” pod przykrywką. Oskarżone firmy używały wielu botów i setek portfeli do przeprowadzania transakcji wash tradingowych, nie budząc podejrzeń inwestorów próbujących uchwycić wczesne okazje.

Aby uszczegółowić naszą analizę i potwierdzić, że niektóre transfery portfeli mają charakter oszukańczy, zwłaszcza w przypadku portfeli w grupie, rejestrowaliśmy daty pierwszych transferów do każdego portfela, obserwując całe dane on-chain, a nie tylko transfery tokenów NexFundAI. Dane pokazują, że w próbie 485 portfeli 148 portfeli (tj. 28%) otrzymało fundusze w tym samym bloku co co najmniej 5 innych portfeli.

Dla tak mało znanego tokena, pojawienie się takiego wzoru transakcji jest praktycznie niemożliwe. Dlatego można zasadnie przypuszczać, że przynajmniej te 138 adresów jest związanych z algorytmami transakcyjnymi, które mogą być używane do wash tradingu.

Aby dalej potwierdzić, że transakcje wash tradingu są związane z tym tokenem, przeanalizowaliśmy dane rynkowe jedynego istniejącego rynku wtórnego. Zbierając codzienny wolumen transakcji na rynku Uniswap i porównując wolumen kupna i sprzedaży, odkryliśmy zaskakującą symetrię między nimi. Ta symetria sugeruje, że firma market makerska codziennie hedguje całkowitą kwotę między wszystkimi portfelami uczestniczącymi w transakcjach wash tradingowych.

Dogłębne zbadanie pojedynczych transakcji, a następnie oznaczenie ich według adresów portfeli, ujawnia, że niektóre adresy przeprowadziły identyczne transakcje (ten sam kwot i znacznik czasu) w ciągu miesiąca, co wskazuje na strategię wash tradingu, sugerującą, że te adresy są ze sobą powiązane.

Dalsze dochodzenie ujawnia, że za pomocą rozwiązania Wallet Data firmy Kaiko odkryliśmy, że te dwa adresy, mimo że nigdy nie interagowały ze sobą na łańcuchu, były finansowane przez ten sam adres portfela: 0x4aa6a6231630ad13ef52c06de3d3d3850fafcd70. Sam portfel otrzymał fundusze przez inteligentny kontrakt Railgun. Zgodnie z informacjami na stronie Railgun, „RAILGUN to inteligentny kontrakt zaprojektowany dla profesjonalnych traderów i użytkowników DeFi, mający na celu zwiększenie prywatności transakcji kryptograficznych.” Te odkrycia sugerują, że te adresy portfeli mogą mieć do ukrycia pewne działania, takie jak manipulacja rynkowa, a nawet poważniejsze incydenty.

Oszustwa DeFi przekraczają NexFundAI

Manipulacje w DeFi nie ograniczają się tylko do dochodzenia FBI. Nasze dane pokazują, że w zdecentralizowanych giełdach Ethereum istnieje ponad 200 000 aktywów, z których wiele nie ma rzeczywistego zastosowania i jest kontrolowanych przez jedną osobę.

Niektórzy emitenci tokenów wydawanych na Ethereum tworzą krótkoterminowe pule płynności na Uniswap. Kontrolując płynność w puli i używając wielu portfeli do przeprowadzania transakcji wash tradingowych, zwiększają atrakcyjność puli, przyciągając zwykłych inwestorów, aby zgromadzić ETH i sprzedać posiadane tokeny. Według danych Wallet Data firmy Kaiko, analiza czterech kryptowalut pokazuje, że taka operacja może przynieść 22-krotność początkowej inwestycji ETH w ciągu około 10 dni. Ta analiza ujawnia powszechne oszustwa wśród emitentów tokenów, które wykraczają poza zakres dochodzenia FBI w sprawie NexFundAI.

Wzór danych: na przykład token GIGA2.0

Użytkownik (np. 0x33ee6449b05193766f839d6f84f7afd5c9bb3c93) otrzymał (i uruchomił) całą podaż nowego tokena z pewnego adresu (np. 0x000).

Użytkownik natychmiast (w tym samym dniu) przenosi te tokeny i część ETH, aby stworzyć nowy pulę płynności Uniswap V2. Ponieważ cała płynność pochodzi od użytkownika, otrzymuje on tokeny UNI-V2 reprezentujące jego wkład.

Średnio, po 10 dniach, użytkownik wycofa całą płynność, zniszczy tokeny UNI-V2 i wycofa dodatkowe zyski ETH uzyskane z opłat transakcyjnych.

Podczas analizy danych on-chain tych czterech tokenów odkryliśmy, że ten sam wzór powtarza się, co sugeruje, że manipulacja prowadzona w sposób zautomatyzowany i powtarzalny ma na celu wyłącznie zysk.

Manipulacja rynkowa nie ogranicza się do DeFi

Choć śledztwo FBI skutecznie ujawniło te działania, nadużycia rynkowe nie są wyłącznością kryptowalut czy DeFi. W 2019 roku dyrektor generalny Gotbit publicznie mówił o swojej nieetycznej działalności w pomaganiu projektom kryptowalutowym „ukryć się”. Dyrektor generalny Gotbit i jego dwóch dyrektorów zostali również oskarżeni w tej sprawie o manipulację różnymi kryptowalutami za pomocą podobnych metod.

Jednakże, odkrycie takich manipulacji na giełdach scentralizowanych jest trudniejsze. Te giełdy pokazują jedynie dane z rynku na poziomie zleceń i transakcji, co utrudnia precyzyjne zidentyfikowanie fałszywych transakcji. Mimo to, porównanie wzorów transakcji i wskaźników rynkowych między giełdami nadal może pomóc w odkryciu problemów. Na przykład, jeśli wolumen transakcji znacznie przekracza płynność (1% głębokości rynku), może to być związane z transakcjami wash tradingowymi.

Dane pokazują, że aktywa na HTX i Poloniex mają największy wskaźnik wolumenu do płynności przekraczający 100 razy. Zwykle monety meme, monety prywatne i altcoiny o niskiej kapitalizacji rynkowej wykazują nieproporcjonalnie wysoki wskaźnik wolumenu do głębokości.

Należy zauważyć, że wskaźnik wolumenu do płynności nie jest idealnym wskaźnikiem, ponieważ wolumen transakcji może znacznie wzrosnąć z powodu działań promocyjnych niektórych giełd (takich jak zerowe opłaty). Aby dokładniej ocenić fałszywy wolumen transakcji, możemy zbadać korelacje wolumenu transakcji między giełdami. Zwykle trendy wolumenu transakcji dla danego aktywa między różnymi giełdami są skorelowane i długoterminowo wykazują spójność. Jeśli wolumen transakcji jest długoterminowo monotoniczny, występują długie okresy bez transakcji lub istnieją wyraźne różnice między różnymi giełdami, może to sugerować anomalie w działalności transakcyjnej.

Na przykład, gdy przyjrzeliśmy się tokenowi PEPE na niektórych giełdach, odkryliśmy, że HTX wykazuje znaczne różnice w trendach wolumenu transakcji w 2024 roku w porównaniu do innych platform. Na HTX wolumen transakcji PEPE pozostawał wysoki w lipcu, a nawet wzrastał, podczas gdy na większości innych giełd wolumen spadał.

Dalsza analiza danych transakcyjnych ujawnia, że na rynku PEPE-USDT na HTX aktywne były algorytmiczne transakcje. W ciągu 3 lipca złożono 4200 zleceń kupna i sprzedaży 1M PEPE, co daje średnio około 180 zleceń na godzinę. Ten wzór transakcji kontrastuje z transakcjami na Krakenie w tym samym czasie, które były bardziej naturalne i skierowane na detalistów, z nieregularnymi rozmiarami i czasem transakcji.

Podobny wzór pojawił się w kilka innych dni lipca. Na przykład, od 9 do 12 lipca przeprowadzono ponad 5900 transakcji kupna i sprzedaży 2M PEPE.

Wiele oznak sugeruje możliwą automatyzację transakcji wash tradingu, w tym wysoki wskaźnik wolumenu do głębokości, niezwykłe tygodniowe wzory transakcji, stałe rozmiary powtarzających się zleceń i szybkie wykonanie. W transakcjach wash tradingowych ta sama strona jednocześnie składa zlecenia kupna i sprzedaży, aby sztucznie zwiększyć wolumen transakcji, co sprawia, że rynek wydaje się bardziej płynny.

Subtelna granica między manipulacją rynkową a brakiem efektywności

Manipulacja rynkowa w rynku kryptowalut czasami bywa mylona z arbitrażem, który polega na wykorzystaniu braku równowagi efektywności rynku do uzyskania zysku.

Na przykład, zjawisko „łowienia sieciowego” jest powszechne na rynku koreańskim (gdzie po przyciągnięciu detalicznych inwestorów przez sztuczne podnoszenie cen następuje wycofanie środków). Traderzy wykorzystują tymczasowe wstrzymania wpłat i wypłat, aby sztucznie podnieść ceny aktywów i zyskać na tym. Typowy przypadek miał miejsce w 2023 roku, gdy rodzima kryptowaluta Curve (CRV) została wstrzymana na kilku koreańskich giełdach z powodu ataku hakerskiego.

Wykres pokazuje, że gdy Bithumb wstrzymał wpłaty i wypłaty tokena CRV, ogromne zlecenia kupna doprowadziły do znacznego wzrostu cen, ale następnie szybko spadły wraz z rozpoczęciem sprzedaży. W czasie wstrzymania, krótkoterminowe wzrosty związane z zakupami były natychmiast po nich poddawane sprzedaży. Ogólnie rzecz biorąc, ilość sprzedaży była znacznie wyższa niż ilość zakupów.

Gdy tylko wstrzymanie się kończy, ceny szybko spadają, ponieważ traderzy mogą łatwo kupować i sprzedawać na giełdach w celu arbitrażu. Takie wstrzymania zazwyczaj przyciągają detalicznych traderów i spekulantów, którzy przewidują, że z powodu ograniczonej płynności ceny wzrosną.

Wnioski

Identyfikacja manipulacji rynkowych w rynku kryptowalut wciąż jest na wczesnym etapie. Jednak połączenie danych i dowodów z przeszłych dochodzeń pomoże organom regulacyjnym, giełdom i inwestorom lepiej radzić sobie z przyszłymi problemami manipulacji rynkowej. W obszarze DeFi, przejrzystość danych blockchainowych oferuje unikalną możliwość wykrywania transakcji wash tradingowych dla różnych tokenów, co stopniowo podnosi uczciwość rynku. Na giełdach scentralizowanych dane rynkowe mogą ujawniać nowe problemy z nadużyciami rynkowymi, a także stopniowo dostosowywać interesy niektórych giełd do interesów publicznych. W miarę rozwoju branży kryptowalut, wykorzystanie wszystkich dostępnych danych pomoże zredukować niepożądane zachowania i stworzyć bardziej sprawiedliwe środowisko transakcyjne.