העברות קריפטו בפורמט JSON

תכניות הונאה להעברת נכסים דיגיטליים באמצעות "קבצים מטוקנים"

IFB International Finance Bank – הודעת אזהרה למניעת הונאות

International Finance Bank ("IFB") זיהה עלייה במספר הפניות הנוכלניות הכוללות העברות לכאורה של נכסים דיגיטליים בעלי ערך גבוה, שכביכול בוצעו באמצעות "קובצי JSON מוטוקנים", "מקלטי מארח קריפטו", "נקודות קצה בנקאיות", "פרוטוקולי הפעלת ארנק" או מינוחים מאולתרים דומים.

תכניות אלה אינן נוגעות ל-USDT בלבד. אותו דפוס הונאה עשוי לכלול ביטקוין, אתריום, מטבעות יציבים (stablecoins), נכסים מבוססי טוקנים, טענות בדבר מטבע דיגיטלי של בנק מרכזי, מטבעות בלוקצ'יין פרטיים, נכסים עטופים (wrapped), טוקנים הנטענים כמגובי זהב, או מכשירים דיגיטליים פיקטיביים המוצגים כ"ברמה בנקאית" או "מוסדיים".

המינוח משתנה. ארכיטקטורת ההונאה נותרת זהה.

קובץ, תעודה, קוד, צילום מסך, תצוגת ארנק, הודעת API או "מארח" פרטי אינם יכולים, כשלעצמם, להוכיח בעלות על נכסים דיגיטליים או להעבירם. העברה לגיטימית של נכס דיגיטלי מחייבת שליטה בארנק הרלוונטי, חתימה קריפטוגרפית תקפה, שידור לבלוקצ'יין או לרשת הסילוק הרלוונטיים, ואימות עצמאי.

ההצגה המטעה המרכזית

רמאים טוענים לעיתים קרובות כי ניתן להעביר נכסים דיגיטליים על ידי שליחה, העלאה או "אחסון" של קובץ. הקובץ עשוי להיות מתואר כ-JSON, XML, מוצפן, מומר לאסימון (tokenised), מקודד, נתמך בפנקס חשבונות, מבוסס חוזה חכם או מאושר על ידי בנק.

הדבר אינו נכון מבחינה טכנית.

קובץ נתונים עשוי להכיל מידע. הוא עשוי להכיל כתובות, מטא-נתונים, תבניות עסקה, צילומי מסך, יתרות מפוברקות או טענות שרירותיות. כשלעצמו, הוא אינו ארנק, חשבון לשמירת נכסים, מכשיר בנקאי או מנגנון סילוק.

נכסים דיגיטליים אינם עוברים מיד ליד משום שקובץ קובע זאת. הם מועברים רק כאשר עסקה תקפה מאושרת על ידי הצד השולט בנכסים ומתקבלת על ידי הרשת הרלוונטית.

כיצד פועלות העברות לגיטימיות של נכסים דיגיטליים

בסליקה אמיתית של נכסים דיגיטליים, הראיה המכרעת אינה מסמך או הבטחה, אלא שליטה הניתנת לאימות וביצוע הניתן לאימות.

על השולח לשלוט בארנק הרלוונטי או בחשבון שמירת הנכסים הרלוונטי. יש לאשר כדין את העסקה. בבלוקצ'יין ציבורי משמעות הדבר היא בדרך כלל עסקה חתומה קריפטוגרפית המשודרת לרשת. לאחר שהעסקה התקבלה, ניתן לבחון אותה באופן עצמאי באמצעות סייר הבלוקצ'יין הרלוונטי או רישומי שמירת הנכסים המוסדיים.

בפעילות מוסדית, שכבה טכנית זו היא רק ההתחלה. ביצוע תקין מחייב גם אימות זהות, סינון סנקציות, ניתוח מקור הכספים, בחינת מקור העושר, ניטור עסקאות, בדיקות כשירות משפטית ואישור הציות. עסקאות גדולות אינן הופכות לכשרות בשל מהירות, דחיפות או מינוח מרשים.

סימני אזהרה נפוצים

גישות אלה נשענות לעיתים קרובות על לשון בדויה כגון "bank crypto host", "host receiver", "endpoint wallet", "tokenised file", "wallet release code", "gas tranche", "ledger activation", "private blockchain encashment" או "beneficiary wallet registration".

מונחים כאלה משמשים בדרך כלל להסתרת היעדרם של שמירת נכסים אמיתית, שליטה אמיתית בארנק ומנגנוני סילוק אמיתיים.

סימן אזהרה נפוץ נוסף הוא בקשה למידע על תשתיות הבנק, לכתובות IP, לנקודות קצה של שרתים, לגישה לארנקים או לנתונים טכניים שאינם פומביים. אין צורך במידע או בגישה אלה כדי לקבל העברה רגילה בבלוקצ'יין. בקשות מסוג זה עשויות להעיד על הנדסה חברתית, דיוג (פישינג), איסוף מודיעין במרחב הסייבר או ניסיון גישה בלתי מורשית.

נוכלים גם מזכירים בדרך כלל היקפי עסקאות חריגים, לעיתים במאות מיליונים או במיליארדים. לאחר מכן הם יוצרים דחיפות מלאכותית ומבטיחים כי ניתן להשלים את הפעולה תוך שעות, אם הנמען ימסור פרטים טכניים, ישלם עמלות או יחתום על מסמכי הסכמה. זוהי ארכיטקטורת לחץ קלאסית.

מחוון נוסף הוא שימוש בכלכלת עמלות בלתי רציונלית. בעלי נכסים אמיתיים אינם מוותרים על אחוזים חריגים לטובת מתווכים עלומים רק כדי להעביר נכסים דיגיטליים נזילים. כאשר הצעה מבטיחה עמלות מנופחות תמורת מאמץ מזערי, ההיגיון המסחרי הוא בדרך כלל הונאה.

סיכון של דמי מקדמה

רבות מן התכניות הללו מובילות בסופו של דבר לדרישת תשלום. התשלום עשוי להיות מכונה עלות גז, עלות הפעלה, עמלת ציות, עמלת רישום, חיוב אימות, סילוק מס, עמלת שחרור, ערבות ביטוחית, מימון ארנק, עסקת מראה או הוכחת נזילות.

תוויות אלה אינן משנות את המהות. מהקורבן נדרש לשלם כסף בטרם התבצעה כל העברת נכס שניתן לאמתה באופן עצמאי.

אף מוסד שקול לא ישלם עמלות מראש לצדדים נגדיים בלתי מוכרים תמורת גישה נטענת לנכסים דיגיטליים שלא אומתו באמצעות הליכי שמירת נכסים, בנקאות או בלוקצ'יין מוכרים.

מסמכים אינם סילוק

גורמי הונאה מספקים לעיתים קרובות כתבי המחאה, מכתבי בנק, צילומי מסך, תעודות, קודים, לוחות עסקאות, הדפסי ארנקים או טפסי ציות לכאורה.

חומרים כאלה עשויים להיות מזויפים, לא רלוונטיים או חסרי משמעות מסחרית.

מסמך יכול לתמוך בעסקה, אך אינו יכול להחליף סילוק. מסמכים משפטיים אינם מוכיחים כי נכס דיגיטלי קיים, כי השולח שולט בו, כי הוא חופשי מעיקולים ושעבודים, כי מקורו חוקי או כי ניתן להעבירו.

לגבי נכסים דיגיטליים, הסף המינימלי הוא אימות בלתי תלוי של הנכס, של הארנק או חשבון השמירה, של הגורם השולט, של היסטוריית העסקאות ושל המקור החוקי של הכספים.

עמדת IFB

IFB רואה הצעות שלא התבקשו הכוללות ״קבצים מטוקנזים״, ״מארחי קריפטו״, ״נקודות קצה בנקאיות״, ״הפעלת ארנק״, ״פדיון פרטי״ או מבנים דומים כהצעות בסיכון גבוה, אלא אם כן אומתו באופן עצמאי באמצעות ערוצים משפטיים, בנקאיים, של שמירת נכסים ושל בלוקצ׳יין מוכרים.

IFB אינו מקבל הצעות בנכסים דיגיטליים המבוססות על קבצים שאינם ניתנים לאימות, צילומי מסך, קודים פרטיים, נקודות קצה של שרתים או הבטחות בלתי רשמיות של מתווכים.

IFB לא תספק נתוני תשתית של בנקאות פרטית, נתוני נקודות קצה של שרתים, פרטי גישה לארנקים, מפתחות פרטיים, ביטויי שחזור (seed phrases), תשלומים מראש או אישורים מוסדיים לעסקאות שלא ניתן לאמת באופן עצמאי.

אמצעי הגנה

על לקוחות וצדדים נגדיים ליישם אמת מידה פשוטה: אם הנכסים אמיתיים, ניתן לאמתם באמצעות רישומי שמירת נכסים לגיטימיים או ראיות על-גבי הבלוקצ'יין. אם השולח שולט בהם, השולח יכול להוכיח שליטה. אם העסקה חוקית, השולח יכול לספק זהות מלאה, מקור כספים ותיעוד ציות מלא.

כל סירוב להציג ראיות כאלה יש להתייחס אליו כדגל אדום מהותי.

יש להעביר פניות חשודות לטיפול גורמי הציות, המשפט וההגנה בסייבר לפני המשך כל מגע. אין למסור נתונים תפעוליים, לבצע תשלום, לחתום או להעניק גישה לארנק לפני שהעסקה אומתה באופן רשמי.

בקיצור

הונאות בנכסים דיגיטליים נשענות יותר ויותר על תיאטרון טכני. נוכלים משתמשים בשפה מורכבת, בתפקידים בנקאיים מומצאים ובהליכים מבוססי קבצים מפוברקים כדי ליצור מראית עין של תחכום.

היסודות נותרים פשוטים. קובץ אינו ארנק. צילום מסך אינו הוכחת יכולת פיננסית. נקודת קצה בשרת אינה מסלול סילוק. מסמך אינו עסקת בלוקצ'יין. הבטחה לעמלה יוצאת דופן אינה לגיטימיות מסחרית.

העברות נכסים דיגיטליים לגיטימיות ניתנות לאימות, מורשות, תואמות לדין וניתנות לביקורת. יש לדחות כל הצעה המתחמקת מסטנדרטים אלה.

קובץ JSON יכול לשמש כחבילת הוראות לגיטימית בתשתית הנכסים הדיגיטליים הפנימית של הבנק, אך ורק בתנאים מבוקרים בקפדנות. במקרה כזה, קובץ ה-JSON עצמו אינו מכיל ואינו מעביר מטבע קריפטוגרפי. הוא נושא אך ורק הוראות עסקה מובנות, המפורשות על ידי מערכות הליבה המורשות של IFB.

לדוגמה, אם לקוח IFB מנהל כבר אצל הבנק שמירת נכסים דיגיטליים מאומתת, הודעת JSON עשויה לכלול נתונים כגון:

• מזהה חשבון הלקוח
• רשת בלוקצ'יין
• כתובת הארנק של המקבל
• סוג האסימון
• סכום העסקה
• הפניות לציות
• חתימות קריפטוגרפיות
• נתוני אימות של ממשק API

משהתקבל, המערכות הפנימיות של IFB יאמתו:

• אימות לקוח
• בעלות על הארנק
• יתרות חשבון
• ציות ל-AML/KYC
• סינון סנקציות
• מגבלות מדיניות העסקאות
• סמכויות אישור פנימיות

אם כל הבקרות מאושרות, תשתית שמירת הנכסים של IFB או מערכת ארנקי האוצר שלו רשאית ליצור עסקת בלוקצ'יין ממשית באמצעות המפתחות הפרטיים המאובטחים של הבנק או סביבת שמירת הנכסים שלו. ההעברה בפועל מתבצעת רק כאשר תשתית החתימה המורשית של IFB חותמת קריפטוגרפית על העסקה ומשדרת אותה לרשת הבלוקצ'יין.

ההבחנה המכרעת היא זו:

קובץ ה-JSON עצמו אינו מעביר קריפטו.

הבנק מעביר קריפטו לאחר אימות עצמאי של ההוראה וביצוע עסקת בלוקצ'יין אמיתית מנכסים המוחזקים כבר בשמירת נכסים.

הדבר דומה להודעות SWIFT בבנקאות המסורתית. הודעת SWIFT מסוג MT103 אינה מכילה בעצמה כסף. זוהי הוראה מאומתת הגורמת למערכות הבנקאיות להעביר כספים דרך תשתית סילוק מוסדרת. JSON במערכות נכסים דיגיטליים מוסדיות יכול למלא תפקיד תזמור דומה, אך לעולם לא כמכשיר למוכ"ז העומד בפני עצמו.