Кең тараған криптовалюта алаяқтығы және одан қалай сақтану керек

2023 жылы Калифорниядағы бір зейнеткер танысу қосымшасында сүйкімді бейтаныс адаммен танысты. Төрт ай ішінде олар жүздеген хабарлама алмасты — тағамдар, отбасы фотосуреттері, ақыры кездесу жоспарлары. Содан кейін инвестициялық кеңес келді: тұрақты, керемет табыс беретін «жеке» крипто трейдинг платформасы. Ол $10,000 салды және көрсеткіштің қалай өсіп бара жатқанын көрді. Ол одан да көп салды. Ол «пайдасын» шығарып алуға тырысқанда, сайт жоғалды, хабарламалар тоқтады, ал оның өмір бойы жинаған $1,2 миллион қаражаты ешқашан таба алмайтын әмиянда жоғалды. Сүйкімді бейтаныс адам болмаған еді. Мың адамға бір мезгілде бір скрипт іске асырып отырған алаяқтар қоймасы болды.

Бұл сирек кездесетін қорқынышты оқиға емес. FBI-дың Internet Crime Complaint Center орталығы 2023 жылы криптовалюта алаяқтығынан $5,6 миллиард шығын — жыл сайын 45% өсу тіркеді, ал Chainalysis криптоға қатысты қылмысты $14 миллиардтан жоғары деп бағалады. Бұл тек хабарланған жағдайлар. Ұят көбіне жәбірленушілерді үнсіз қалдырады, сол себепті нақты сан әлдеқайда жоғары болуы мүмкін.

Крипто алаяқтары кез келген алдамшылықтың алдында тұрған сол ежелгі тұтқаларды — көзқұмарлық, қорқыныш, жалғыздық және сенім — пайдаланады, бірақ бұл технологияға тән үш қасиет оларды күшейтеді: транзакциялар қайтарылмайды, мекенжайлар псевдонимді, ал мәдениет шынымен де бір апта ішінде 100 есе өсетін активтерді мадақтайды. Токен шынымен заңды түрде бір түнде шарықтап өсе алатын кезде, «керемет мүмкіндік» пен «анық алаяқтық» арасындағы шекара әдейі бұлдырланады. Осы бұлдырлық — алаяқтардың бүкіл бизнес моделі.

Мыналар — толықтай энциклопедия емес. Бұл — ең көп ақша сорып алатын бірнеше шабуыл түрі, оларды әмияныңызға жетпей тұрып тани алатындай жеткілікті механикалық толықтығымен түсіндірілген, әрі бүгін бесіндегі уақытта орнатуға болатын нақты қорғаныс стек.

Фишинг криптода кез келген шабуыл жолымен салыстырғанда жеке шығынды көбірек тудырады, ал механизм ойлағаннан да қарапайым: нақты сайтпен бірдей көрінетін жалған сайт — сол логотип, сол қаріп, сол макет, бір символға өзгеше URL. Сіз әмияныңызды қосасыз, әдеттегідей деп ойлаған транзакцияны бекітесіз, ал зиянкес смарт-келісімшарт сіз оған тиуге рұқсат берген барлық токенді сорады.

Тәжірибесіздердің нұсқаларында жазу қателіктер мен бұзылған суреттер бар. Қауіпті нұсқалар мінсіз. Google Ads жарнамалары «Uniswap» пен «MetaMask» үшін фишинг сілтемелерін нақты нәтижелердің үстінде көрсеткен. X-тегі есептік жазбалар Vitalik Buterin-ды немесе хаттаманың ресми есептік жазбасын өзгертіп, миллиондаған жазылушыларға жалған айрдроп сілтемелерін жариялайды. Discord боттары NFT серверіне қосылған секундте «эксклюзивті минт» сілтемелерімен жеке хабарлама жібереді. 2024 жыл басында «платформаны көшіру» электрондық хатын еліктеген фишинг науқаны OpenSea пайдаланушыларынан $1,7 миллионнан асатын NFT ұрлаған — есептік жазбаны жаңартқанмыз деп ойлаған адамдар.

Ең зиянды дамуы — әмиянды тонаушы бағдарлама (drainer) — енді «Drainer-as-a-Service» ретінде жалға берілетін дайын зиянкес код, техникалық емес қылмыскерлерге де кәсіби деңгейдегі ұрлау жинағын орналастыруға мүмкіндік береді. Тонаушыға сіздің сид-фразаңыз керек емес. Оған сенімді бетте бір ғана транзакцияға қол қоюыңыз жетеді, ал қолтаңба қалғанын жасайды.

Қорғаныс жалықтырғыш, дәл сол себепті жұмыс істейді:

• Нақты URL-ды бетбелгіге сақтап тек соларды пайдаланыңыз — ешқашан жарнамалардан, жеке хабарламалардан немесе әлеуметтік желі жазбаларынан емес.
• Әмияныңызды қосар алдында URL-ды әр таңбасымен тексеріп шығыңыз. Ауыстырылған әріптерге (rn мен m), артық сызықшаларға, ұқсас домендерге назар аударыңыз.
• Қол қойып отырғаныңызды оқыңыз. «Барлығын бекіту» сұрайтын немесе белсенді сауда жасамайтын токенге шығыс рұқсатын беретін әмиян сұранысы — қызыл жалауша.
• Крипто үшін арнайы браузер немесе профиль, ал қымбат нәрсе үшін аппараттық немесе MPC әмиян пайдаланыңыз.

Дамытушы токен шығарады. Олар оны X және Telegram-да тынымсыз жарнамалайды. Сатып алушылар ағылған сайын баға көтеріледі. Содан кейін бір транзакцияда дамытушы DEX пулынан барша өтімділікті сорады да кетіп қалады. Баға лезде нөлге түседі. Әр сатып алушыда физикалық түрде сата алмайтын токен қалады, өйткені сатуға өтімділік жоқ. Сіздің астыңыздан «кілем тартып алынады» деп аталатын дегеніміз осы.

Chainalysis тек 2021 жылы ғана $2,8 миллиардтан асатын rug pull кірісін тізе шықты. Squid Game токені (SQUID) — оқулық жағдай: ол дамытушылар $3,3 миллионмен жоғалғанша 75,000% көтерілді, олар қалыпты ұстанушыларға сатуды мүлдем мүмкін етпейтін код жазған. Rug pull-дардың көбі әлдеқайда кішкентай және жылдамырак — дамытушы пулды жұлып алғанша бірнеше сағат тірі жүретін лончпадтардағы мем-коиндер.

Rug pull-дар үш механикалық түрде болады, олардың қайсысы қайсы екенін білу пайдалы:

• Өтімділікті ұрлау (қатты rug). Топ заңды көрінетіндей өтімділік пулын құрайды, сатып алушыларға ақшаларын қосуға мүмкіндік береді, содан кейін бәрін бір мезгілде шешіп алады. Лезде нөл.
• Токенді дампинг (жұмсак rug). Топ жеткізудің көбін жасырын ұстап, баяндаманы көтеріп, сіздің сатып алу тапсырыстарыңызға үнсіз сатады, диаграмма құлдырағанша. Баяу, бірақ дәл сол дәрежеде түпкілікті.
• Сатылмайтын токен тұзағы. Келісімшартта дамытушыдан басқа барлық адамдардың сатуын бөгейтін жасырын функция — «бал құман (honeypot)» — бар. Сіз бүкіл күн сатып ала аласыз; шыға алмайсыз.

Ескерту белгілері топтасады. Жалғыздың ешбіреуі дәлел емес, бірақ екеу-үшеуі сізді тоқтатуы керек:

• Тексерілетін тарихы жоқ анонимді топ.
• Тайм-лок келісімшартында құлыпталмаған өтімділік (яғни дев оны кез келген уақытта шешіп алады).
• Келісімшартта девке шексіз жаңа токен басу мүмкіндігін беретін минт функциясы.
• Шоғырланған иеліктер — жеткізудің көбіне бірнеше әмиян ие болады.
• Жұмыс істейтін пайдалылықсыз, тек «100 есе» мадақтауы бар өнімді емес бағаны сататын маркетинг.

Мұның көбін бес минутта өзіңіз тексере аласыз. Etherscan сияқты блок-эксплорерде келісімшарттың тексерілгенін (бастапқы код ашық) растап, ең ірі иеленушілерді қарап шығыңыз. Honeypot кодын және құлыпталмаған өтімділікті белгілеу үшін токенді Token Sniffer немесе Rug Doc сияқты скринерден өткізіп алыңыз. Токен осы бес минуттық аудиттен аман өте алмаса, ол ақшаңызды алуға лайық емес.

Мерзімсіз атаудың себебі — әдіс: алаяқтар «сою» алдында жәбірленушіні жанашырлықпен және кішкентай жалған жеңістермен «толтырады» — бір мезгілде бәрін алады. Бұл қазір криптодағы табыс бойынша ең үлкен алаяқтық санаты, ал Binance «шошқа союы» жағдайларының 2022-2023 жылдарда екі есе (100,5% өсу) артуын хабарлады. Секундта ұрған тонаушыдан айырмашылығы, бұл шабуыл апталар немесе айлар бойы созылады, дәл осы оны сонша қауіпті ететін нәрсе: ақша қатысқанда жәбірленуші басқа жақтағы адамға шынымен сенеді.

Ол төрт кезеңмен жүреді, пішінін тануыңыз — ең жақсы қорғанысыңыз:

• 1. Байланыс. «Қате нөмір» хабарламасы, танысу қосымшасындағы сәйкестік, достық жеке хабарлама. Ашушы әрдайым жылы және ешқашан ақша туралы емес.
• 2. Тарбиелеу. Апталар бойы нақты сұхбат — күнделікті хабарласу, өмір тарихы, эмоциялық жақындық. Алаяқ шыдамды, қолдайтын, жақын. Қаржы туралы әлі сөз жоқ.
• 3. Толтыру. Олар «жеке» инвестициялық платформаны, өздеріне жақсы болғанын, кезейлеп еске алады. Сіз аз мөлшер саласыз, ал көрсеткіш керемет табысты көрсетеді. Олар тіпті сізге аз ғана шығарып алуға рұқсат береді, шынайы екенін дәлелдеу үшін. Сол жалғыз сәтті шығарым — ілмек.
• 4. Сою. Батылдана, сіз жинағыңызды саласыз. Шығарым жасамақ болғанда, сізге алдымен «салық» немен «комиссия» төлеу керек делінеді — ешқашан болмаған ақшаны қуалауға тағы ақша. Содан кейін платформа мен адам бірге жоғалады.

Платформа бірінші беттен бастап ойдан шығарылған болды. «Табыс» — алаяқ бақылайтын деректер базасындағы сандар. Бүкіл сәулет сенімді жасап, содан кейін оны қаруландыруға арналған.

Кейбір алаяқтықтар смарт-келісімшартта жасырынбайды — олар кестеде жасырынады. Понци схемасы бар инвесторларға жаңа инвесторлардың ақшасынан төлейді, нақты пайдадан емес. Депозиттер өсіп жатқанда, ертегі «табыс» шынайы болып көрінеді, ал куәгерлер жарқырайды. Ағын баяулаған сәтте бүкіл нәрсе құлдырайды, ал ішінде қалғандардың бәрі бәрін жоғалтады.

Крипто мұны күшейтеді, өйткені шектен шыққан табыстар сенімді естіледі. Мем-коин шынымен 50 есе өскенде, «күнделікті 2% табыс, кепілдендірілген» уәдесі бірден фантазия болып тіркелмейді — тіпті ол жылына 137,000%-дан асатынын есептесеңіз де, бұл жердегі ешбір адал бизнес шыдайлмайтын мөлшерлеме. Бүгінгі күнге дейінгі ең үлкен крипто-Понци — BitConnect — күніне ~1% уәде етті, миллиардтарды тартты, 2018 жылы жарылды, он мыңдаған адамдардың жинағын жоғалтты.

Белгілер математикалық, олар өтірік айтпайды:

• «Кепілдендірілген» табыс. Кез келген нақты инвестиция тәуекел алып жүреді. Табыс көрсеткіші жанындағы «кепілдендірілген» сөзі — қаржыдағы ең үлкен қызыл жалауша.
• Күдіктей тегіс табыстар. Нақты нарықтар шайқалады. Күн сайын бірдей мөлшерде өсіп отыратын диаграмма — сауда нәтижесі емес, ойдан шығарылған сан.
• Тартылым қысымы. Сіздің сыйағыныз басқаларды тартуға байланысты болса, «табыс» — келесі жәбірленушінің депозиті ғана. Бұл — өнім емес, пирамида.
• Айдалы стратегия. Тексерілетін тізбек ішіндегі белсенділігі жоқ «меншікті AI арбитраж боты» стратегия жоқ дегенді білдіреді — сіздің ақшаныз сізден бұрын қосылған адамға төлейді.

Әр табыс мүмкіндігіне бір фильтр қолданыңыз: табыс шын мәнінде қайдан келеді? Егер нақты экономикалық көзін — сауда комиссияларын, несиелеу пайызын, тізбекте тексерілетін стейкинг сыйақыларын — атай алмасаңыз, көзі, бәлкім, келесі инвестор, ал сіз шығу өтімділігі боласыз.

Әр алаяқтық күрделі емес. Кейбіреуі шулы және дөрекі, бірақ сонда да жұмыс істейді, өйткені олар назардың басқа жерге кеткен сәтін мақсат етеді. Иеленуші болып көрсету мен тегін тарату алаяқтығы — классика: расталған көрінетін есептік жазба «осы мекенжайға 1 ETH жіберсеңіз, 2 ETH қайтарасыз» деп уәде береді. Ешкім ешқашан ақшаны тегін екі есе қылмайды. Математика — бүкіл алаяқтық. AI оны тек тегінерек жасады: Elon Musk немесе крипто негізін салушылардың deepfake бейнелері енді кәсіби өндірілген көрінетін тікелей эфирлі тегін тарату «жүргізеді».

Екі тыныш аналог одан да ұзақ мерзімді зиян тудырады:

• Зиянкес айрдроп. Сіз әмияныңызда жұмбак токендерді көріп оянасыз. Оларды сұрап алу сізді қосылып, қол қоюды сұрайтын сайтқа жібереді — сол қолтаңба тұзақ. Заңды айрдроп ешқашан оны «ашу» үшін төлеу немесе бүлдіргіш рұқсатқа қол қоюды талап етпейді. Күтпеген токендерді сый емес, ілмек деп есептеңіз.
• Мекенжайды улау. Алаяқ сіз жиі пайдаланатын мекенжайға дерлік бірдей көрінетіндей жобаланған мекенжайдан сізге шамалы транзакция жібереді — бірдей алдыңғы және соңғы бірнеше таңба. Кейінірек, сіз біреуге төлеу үшін тарихыңыздан жуырда мекенжай көшірген кезде, қателесіп олардың мекенжайын алып, қаражатты тікелей шабуылдаушыға жіберіп жібересіз. Тек ұштарын емес, толық мекенжайды әрдайым тексеріп шығыңыз.

Одан кейін сіздің әмияныңызда дәл қазір отырған баяу-қимылдағы қауіп бар: токен рұқсаттары. DEX-те сауда жасаған сайын сіз смарт-келісімшартқа сіздің атыңыздан токенді жылжытуға рұқсат бересіз — ал көбі бетінде шексіз рұқсатты әдепкі бойынша қояды. Сол рұқсат мерзімі бітпейді. Егер сол келісімшарт кейінірек эксплойтталса немесе бастапқыда зиянкес болған болса, ол рұқсат берілген токенді сіз әрекеттесуді ұмытқаннан айлар өткен соң соруы мүмкін. Тасталған немесе бұзылған келісімшарттардағы ескі рұқсаттар — сіздің қаражатыңыздың астындағы ұйықтап жатқан құпан тор.

Түзету — данышпандыкта емес, күтіп ұстауда: revoke.cash немесе Etherscan-ның рұқсат тексерушісі сияқты құралмен рұқсаттарыңызды мезгіл-мезгіл тексеріп, енді белсенді пайдаланбайтын нәрсенің бәрін кері қайтарыңыз. Мүмкін болғанда шексіз қол жетімділік бермей, қажет мөлшердің дәл шамасын ғана бекітіңіз.

Алаяқтарды сол сәтте олардан ойлы болу арқылы жеңбейсіз — олар ешкімнің ойы кесіп тұрмаған сәттерді жобалайды. Сіз оларды алдын ала орнатылған құрылым арқылы жеңесіз, сол себепті ең жаман басуыңыз да сізге көп қымбат тұрмайды. Мына жерде — әсер ретімен реттелген стек.

1. Әмиянды бөліп қойыңыз. Күнделікті әрекеттесу үшін — dApp-ке қосылу, айрдроп сұрап алу, NFT минттеу — минималды қаражаты бар «ыстық» әмиян ұстаңыз. Портфолиоңыздың негізгі бөлігін кездейсоқ смарт-келісімшартқа ешқашан тимейтін аппараттық немесе MPC әмиянда ұстаңыз. Ыстық әмияныңыз фишингке ілінсе, сіз бүкіл байлығыңызды емес, кіші қалтаңызды жоғалтасыз. Осы жалғыз әдет кез келгеннен көбірек түсу тәуекеліңізді шектейді.

2. URL тәртібін ұстаныңыз. Пайдаланатын әр нақты сайтты бетбелгіге сақтап, тек соларынан кіріп жүріңіз. Крипто платформасына жарнама, DM немесе біреу жіберген «қолдау» сілтемесі арқылы ешқашан жетпеңіз. Қосылмас бұрын доменді әр таңбасымен тексеріп шығыңыз.

3. Рұқсаттарыңызды таза ұстаңыз. Ескі токен рұқсаттарын үнемі кері қайтарып, шексіздің орнына нақты шығыс шектерін артық көрсетіп жүріңіз. Таза рұқсат тізімі эксплойтталған келісімшартта тартып алуға ешнәрсе жоқ дегенді білдіреді.

4. Әр қолтаңбаны оқыңыз. Қол қоймас бұрын баяулаңыз. Сұраныс «барлығын бекіту» сұраса, сауда жасамайтын токенге қолжетімділік берсе немесе кестеленген уақыт таймерімен келсе, тоқтап тексеріп шығыңыз. Жеделдік — жасанды жасалады.

Апаттық крипто шығындарының көбі екі сәтсіздіктің біреуіне келіп тіреледі: біреуден ұрланған, сорылған немесе фишингпен алынған сид-фраза — немесе қаражатты үнсіз дұрыс емес басқарған орталықтандырылған сақтаушы, FTX стилінде. GaiaEx осы екеуін де сәтсіздіктің жалғыз нүктесі ретінде алып тастауға арналған архитектурада құрылған.

MPC кілт қауіпсіздігі — ұрлайтын сид-фраза жоқ. Сіздің жеке кілтіңіз ешқашан бір жерде жиналмайды. Көп тарапты есептеу (MPC) арқылы ол тәуелсіз тараптар ұстайтын шифрланған сынықтарға бөлінеді, сол себепті ешбір жалғыз сервер, құрылғы немен адам толық кілтті ешқашан ұстамайды. Фишинг бетінің сізден алдап шығара алатын негізгі сид-фразасы жоқ, әрі шабуылдаушы сорып алатын жалғыз файл жоқ. Толықтай шығынның ең кең тараған себебі — бұзылған сид — бұл модельде мүлдем жоқ.

Дизайны бойынша сақтаушысыз — FTX сценарийі жоқ. Сіз активтеріңізді бақылап отырасыз. GaiaEx бір басшы жабық есіктің артында тұтынушы ақшасын жылжыта алатын орталықтандырылған сейф емес, өйткені жабық есік мүлдем жоқ — есеп айырысу кез келген адам растай алатын тізбекте орындалады.

Сіз аудит жасай алатын тізбектегі орындау. Сауда Hyperliquid L1-де секундтан аз түпкіліктілікпен, ашық реестрде есеп айырысады. Сенім GaiaEx-компания шынайы ішкі кітап ұстауында емес — тізбектің математикалық кепілдіктерінде.

Мұның ешбіреуі сізді жеңілмейтін етпейді. Ешбір биржа мен ешбір технология сіздің зиянкес транзакцияға қол қоюыңызды немен жинақтарыңызды «романтикалық» бейтаныс адамның инвестициялық платформасына жіберуіңізді тоқтата алмайды. Алдыңғы бөлімдегі қорғаныс стек әлі де сіздің жауапкершілігіңіз — әмиянды бөлу, URL тәртібі, рұқсат гигиенасы және $0 сынағы. GaiaEx-тің жасайтыны — апаттық сәтсіздіктің бетін сіз шынымен бақылап отырған шешімдерге дейін қысқарту, ойламауыңыз керек нәрсені алып тастау. Бұл — адал мәміле: платформа криптографияны басқарады, сол себепті сізде ешқашан болмаған сид-фразаны жоғалта алмайсыз, ал сіз ешбір бағдарлама сіз үшін жасай алмайтын пайымдау шешімдерін басқарасыз.