Rug Pull Nedir ve Nasıl Önlenebilir?

Rug pull, kripto geliştiricilerinin bir projeyi terk ettiği ve proje fonlarıyla kaçtığı ya da önceden ellerinde bulunan varlıklarını sattığı kötü niyetli bir eylemdir. DEX‘ler kötü niyetli geliştiricilerin tokenlarını herhangi bir ön doğrulama ya da denetim olmaksızın listelemesine izin verdiğinden, rug pull’lar en çok DeFi ekosisteminde yaygındır.

Rug Pull Nedir?

DeFi ekosistemi, DApp’ler ile birlikte tamamen kullanıcılar tarafından yönlendirilir, çünkü herhangi bir geliştirici kendi projelerini oluşturabilirken, kullanıcılar projenin değerli olduğuna inanırlarsa satın almayı tercih edebilirler. Bu durum cazip olsa da, kötü niyetli geliştiriciler kolayca sahte tokenlar yaratıp listeleyebildiği için bu özgürlüğün büyük bir dezavantajı da vardır. Özellikle kötü niyetli aktörler, yeni tokenlar yaratmanın önündeki teknik ve finansal engelleri büyük ölçüde azaltan ERC-20 standardından faydalanmaktadır. Rug pull işleminin bir diğer kilit unsuru da Uniswap (UNI) ve SushiSwap (SUSHI) gibi merkezi olmayan borsalardır (DEX’ler) ve bu borsalar merkezi borsaların (CEX’ler) aksine tokenların denetim olmaksızın listelenmesine izin vermektedir.

Blok zinciri analiz şirketi CipherTrace’in bir raporu, 2020’nin ikinci yarısında meydana gelen tüm büyük dolandırıcılıkların %99’unun DeFi rug pulları ve diğer çıkış dolandırıcılıklarından kaynaklandığını ortaya koydu. DeFi’ye akan muazzam miktardaki para (2020’nin başlarında 1,7 milyar dolardan Mayıs 2021’e kadar 130 milyar dolara yükseldi), kötü niyetli aktörlerin ilgisini çekmekte gecikmedi. Güvenlik analistleri, 2017’deki ilk coin arzı (ICO) çılgınlığı ile kullanılan taktiklerde benzerlik olduğunu belirttiler.

Rug Pull Nasıl İşler?

Rug pull’lar, her ikisi de kripto alanındaki düzenleme eksikliğinden, yanlış bilgilendirmeden, shilling’den (bir kripto paranın sürekli olarak övülmesi) ve kaçırma korkusundan (FOMO) yararlandığı için pump and dump şemalarına benzer şekilde çalışır. Aradaki fark, pump and dump’ların genellikle daha kısa bir zaman aralığında faaliyet göstermesi, düşük hacimli tokenların fiyat hareketleri etrafında dönmesi ve token geliştiricilerinin katılımını gerektirmemesidir.

Öte yandan, rug pull, içeriden kişilerin tokenlarını Bitcoin (BTC) veya Ethereum (ETH) gibi başka bir (değerli) tokenla eşleştirerek kullanıcı fonlarının çoğunu almasını içerir. Yatırımcılar tokenlarını dolandırıcılık tokenı ile değiştirdikten sonra, geliştiriciler değerli tokenların likidite havuzunu boşaltır ve böylece yatırımcıların altından “halıyı çeker” (rug pull).

Bir diğer yaygın taktik ise, çoğu durumda yatırımcılardan gizlenen ya da proje kasası, geliştirici fonu veya nihai yanma olarak açıklanan büyük geliştirici ön coinlerdir. Dolandırıcılık ancak token fiyatı yeterince yükseldiğinde bu fonlar hızla satıldığında ortaya çıkar.

Rug pull işlemi genellikle projenin akıllı sözleşmelerine kasıtlı olarak yazılan ve geliştiricilerin stake edilmiş veya başka bir şekilde kilitlenmiş tokenları boşaltmasına ve manipüle etmesine olanak tanıyan arka kapılar aracılığıyla gerçekleştirilir. Her durumda, rug pull durumunun yaşanması fiyatı hızla sıfıra çeker ve erken çıkmayan yatırımcıları bir sürü değersiz tokenla baş başa bırakır.

Tipik bir rug pull dolandırıcılığı şuna benzer:

İlk olarak, kötü niyetli bir geliştirici, genellikle başka bir tokenin veya şablonun kodunu kopyalayıp yapıştırarak ve birkaç satırı değiştirerek gerçek bir kullanım durumu olmayan bir token (buna SCAM diyelim) oluşturur. Ardından, geliştirici Uniswap ya da Sushiswap gibi bir DEX’e SCAM’in likiditesini ekler ve tokenı telegram grupları ve sosyal medya aracılığıyla, genellikle de influencer’lara ödeme yaparak satmaya başlar. Bundan sonra, tokenin fiyatı yükseldikçe, inanılmaz getiri vaatleri ve FOMO, giderek daha fazla kullanıcının likidite havuzuna gerçek değere sahip tokenler (tipik olarak ETH) eklemesine neden olur, böylece kullanıcıların doğrudan SCAM satın almasına neden olarak fiyatı daha da yükseltir. SCAM’in geliştiricisi, kazancından memnun kaldığında platformdaki tüm likiditeyi boşaltır ve değerli tokenları toplayarak çıkar; gemiye erken atlamayan yatırımcılar ise ellerinde paraya çevirebilecekleri bir yer olmadan değersiz tokenlarla kalır. Geliştirici bu süreci farklı bir token ve takma ad altında istediği sayıda tekrarlayabilir.

Rug Pull Örnekleri Nelerdir?

Compounder Finance (CP3R), 2020’de sektörü kasıp kavuran diğer yield farming DeFi projelerinin çoğuna benzeyen, Harvest ve Yearn Finance’in (YFI) kendi tanımıyla bir klonuydu. 1 Aralık’ta, akıllı sözleşmesinin piyasaya sürülmesinden yalnızca 22 gün sonra, proje akıllı sözleşmelerinden 10,8 milyon doların üzerinde para çekerek yatırımcılarını hayal kırıklığına uğrattı. Toplamda 750.000 $ değerinde Wrapped Bitcoin (WBTC), 4,8 milyon $ değerinde ETH, 5 milyon $ değerinde DAI ve daha küçük miktarlarda diğer tokenlar çalındı. CP3R’nin fiyatı 24 saat içinde %98,8 düştü ve kısa bir süre sonra tamamen durağanlaştı.

Compounder Finance’in 1 Aralık’taki halının çekilmesinden önceki ve sonraki fiyatı (Kaynak: CoinGecko)

Daha da kötüsü, CP3R aslında akıllı sözleşme denetim firması Solidity Finance tarafından denetlenmişti ve bu firma, geliştirme ekibinin yüksek kontrol seviyesinin yanı sıra şüpheli bir zaman kilitli akıllı sözleşme yapılandırmasını da işaretlemişti. Denetim tamamlandıktan sonra, geliştiriciler 24 saatlik zaman kilidi aracılığıyla projedeki tüm fonları çekmelerine olanak tanıyan gizli bir arka kapıya gizlice girdiler; bu kapı halka açık olsa da açıkça denetlenmiyordu.

Önemli bir sorun, bir proje tarafından talep edilen herhangi bir denetimin, geliştiricilerin kendilerinin yatırımcılar için oluşturabileceği risklerden ziyade muhtemelen dış tehditlere odaklanacak olmasıdır. CP3R örneğinde, zaman kilidi yapılandırması denetim tarafından işaretlenmiş olsa da yatırımcılar büyük bir güvenlik açığını görmezden gelmeyi tercih etmiştir.

Dolandırıcılığı Nasıl Anlar ve Önlersiniz?

Tüm dolandırıcılıklarda olduğu gibi, dolandırılmaktan kaçınmanın en kolay yolu gerekli özeni göstermektir. Her zaman token’ın kullanım durumunu göz önünde bulundurun, anlamadığınız bir şeye asla yatırım yapmayın ve sadece yüksek getiri vaat ettiği veya keskin bir şekilde yükseldiği için bir projeye asla acele etmeyin. “Bir şey kulağa gerçek olamayacak kadar iyi geliyorsa, muhtemelen öyledir” şeklindeki eski atasözünü her zaman hatırlayın.

Likidite

Merkezi olmayan borsalar, bir likidite havuzundaki tokenların fiyatlarını mevcut bakiyelere göre algoritmik olarak belirler. Kendinizi bir rug pull’dan korumanın en kolay yolu havuzdaki likidite miktarını kontrol etmektir. Meşru tokenlar, belirli bir süre için kilitlenmiş önemli miktarda token ile birlikte toplam likiditede on milyonlarca (milyarlarca olmasa da) dolara sahip olma eğilimindedir.

Hızla yükselen fiyatlar

Pump ve dumplarda olduğu gibi, potansiyel yatırımcılar fiyatı sadece birkaç saat içinde fırlayan herhangi bir projeden oldukça şüphelenmelidir. Bir tokenin değerinin yükseldiğini görürseniz nedenini anlamaya çalışın. Yeni bir ortaklık, yeni bir borsa listelemesi veya başka anlamlı bir duyuru yapılmadıysa, bu sadece sizi ve diğer yatırımcıları FOMO’dan para yatırmaya yönlendirme girişimi olabilir.

İsimlendirme taktikleri

Dolandırıcılık tokenları genellikle daha köklü, saygın projelere benzer isimler taşır. DeFi otomatik piyasa yapıcısı (AMM) Compound Finance’in (COMP) kurucusu Robert Leshner, CP3R halı çekişinin bilgisiz kurbanları cezbetmek için kasıtlı olarak projesine çok benzer bir isim kullandığını belirtti. Diğer örnekler arasında Yfdexf Finance ve TRUAMPL rug pull’ları bulunmaktadır.

Pazarlama taktikleri

Tıpkı diğer birçok dolandırıcılıkta olduğu gibi, rug pull da herhangi bir pratik kullanım durumu göz önünde bulundurularak tasarlanmamıştır. Bu nedenle, fiyatı yükseltmeye başlamak üzere ilk yatırımcı grubunu çekmek için büyük ölçüde pazarlamaya güvenirler. Bu genellikle Instagram ve TikTok gibi platformlarda sözde kripto “influencer “ları ile birlikte sosyal medyanın yoğun kullanımını içerir. Bu tür birrug pull stratejisinin bir örneği, halı çekmeden önce sosyal medya promosyonlarıyla çok sayıda yatırımcıyı çeken Save The Kids (KIDS) tokenidir.

Arka plan araştırması

Rug pull’ların büyük çoğunluğu anonim veya takma isimli ekipler tarafından yürütülmektedir. Projenin web sitesinde ekip hakkında anlamlı bilgiler (gerçek isimler, önceki kripto deneyimi, LinkedIn profilleri vb.) yoksa dikkatli olmalısınız. Projenin saygın kuruluşlarla herhangi bir ortaklığı olup olmadığını veya teknik incelemesinin bir anlam ifade edip etmediğini (eğer varsa) değerlendirin.

Sonuç

2017’deki ICO çılgınlığında ve son zamanlarda DeFi’deki patlamada olduğu gibi, dolandırıcılar paranın gittiği her yeri takip edecektir. DeFi ekosisteminin yeni token oluşturma ve listeleme kolaylığı gibi bazı yönleri, dolandırıcılığı her zamankinden daha kolay hale getirdi. DeFi, dünya genelinde milyonlarca kişi için yepyeni bir finans dünyasının kapılarını açtığı gibi, kötü niyetli kişiler için de büyük bir potansiyel kurban havuzunun kapılarını açtı.

Ne kadar yaygın olsalar da, rug pullarda kaybedilen fonlar neredeyse hiçbir zaman geri alınamıyor ve çoğu durumda dolandırıcılar iz bırakmadan ortadan kaybolabiliyor. Herhangi bir merkezi otoritenin koruması veya gözetimi olmadan, yatırımcılar herhangi bir şeyin ters gitmesi durumunda büyük ölçüde kendi başlarının çaresine bakmak zorunda kalırlar. Bu nedenle, bir DeFi projesine yatırım yapmadan önce, özellikle de gerçek olamayacak kadar iyi göründüğünde, uygun durum tespiti yapmak çok önemlidir.