🪙 دانشکدهٔ ۳ · ارزیابی پروژه و تشخیص کلاهبرداری
تشخیص کلاهبرداری: رگ‌پول، پامپ‌ودامپ و طرح پانزی
Spotting scams: rug pulls, pump and dumps and Ponzi schemes
پیش‌نیازها: خواندن وایت‌پیپر و ارزیابی تیم و نقشهٔ راه
📚 آموزش در سه سطح
از سطح ساده شروع کنید؛ اگر روشن بود، سطح بعد را بخوانید. سطح مناسب شما ذخیره می‌شود.
🌱 توضیح ساده
در بازار کریپتو هر کسی می‌تواند در چند دقیقه توکن بسازد و در چند ساعت برایش تبلیغ کند. این آزادی، فضای مناسبی برای کلاهبرداری هم ساخته است. قانون طلایی ساده است: اگر چیزی بیش از حد خوب به نظر می‌رسد، احتمالاً درست نیست. فروشنده‌ای در خیابان که ساعت طلا را ده دلار می‌فروشد، یا پلتفرمی که سود روزانهٔ ثابت تضمین می‌کند، هر دو یک پیام دارند: باید خیلی بیشتر بپرسید.
چهار الگوی رایج را بشناسید. «طرح پانزی»: سود سرمایه‌گذاران قدیمی از پول سرمایه‌گذاران جدید پرداخت می‌شود و تا وقتی پول تازه می‌رسد، همه چیز عالی به نظر می‌آید. «رگ‌پول» (rug pull): سازندگان پس از جذب پول، نقدینگی را برمی‌دارند یا توکن‌های خود را یکجا می‌فروشند و ناپدید می‌شوند؛ مثل کشیدن فرش از زیر پای خریداران. «پامپ‌ودامپ»: گروهی قیمت یک دارایی کم‌حجم را با تبلیغ هماهنگ بالا می‌برند و به تازه‌واردان می‌فروشند. «هانی‌پات»: توکنی که کدش طوری نوشته شده که می‌توانید بخرید، ولی نمی‌توانید بفروشید.
شناخت این الگوها مهم‌تر از دنبال کردن هر پروژهٔ تازه است. پیش از هر تراکنش، قرارداد توکن را در ابزار امنیت توکن سایت بررسی کنید، دربارهٔ تیم و نقدینگی بپرسید و هرگز زیر فشار «فرصت محدود» تصمیم نگیرید. هیچ پشتیبان واقعی هرگز عبارت بازیابی یا کلید خصوصی شما را نمی‌خواهد.
📘 توضیح متوسط
سازوکار رگ‌پول در صرافی‌های غیرمتمرکز معمولاً این است: سازنده یک استخر نقدینگی (مثلاً توکن جدید در برابر BNB یا ETH) می‌سازد و «توکن‌های LP» را که نشانهٔ مالکیت استخر است، نزد خود نگه می‌دارد. وقتی خریداران کافی BNB یا ETH وارد استخر کردند، او LPها را بازمی‌گرداند و دارایی ارزشمند استخر را خارج می‌کند؛ قیمت توکن در چند ثانیه نزدیک صفر می‌شود. نوع «نرم» آن، فروش تدریجی یا یکجای توکن‌های بزرگ تیم است. نوع «کدی» آن، توابع پنهان در قرارداد است: ضرب نامحدود توکن، فهرست سیاه برای فروشندگان، یا مالیات فروشی که مالک می‌تواند تا نزدیک ۱۰۰٪ بالا ببرد.
طرح‌های پانزی را با ریاضی هم می‌توان شناخت. سود ۱٪ روزانهٔ مرکب یعنی ضرب سرمایه در حدود ۱٫۰۱ به توان ۳۶۵، که تقریباً ۳۸ برابر در سال است. هیچ فعالیت اقتصادی پایداری چنین بازدهی برای سپرده‌های بزرگ تولید نمی‌کند؛ پس منبع سود به‌احتمال زیاد پول ورودی تازه است. ساختارهای چندسطحی (پاداش برای آوردن عضو جدید)، تأخیر یا محدودیت در برداشت، و «نرم‌افزار معاملاتی محرمانه» بدون سابقهٔ قابل بررسی، نشانه‌های دیگری‌اند.
BitConnect نمونهٔ کلاسیک است: این پلتفرم از ۲۰۱۶ با وعدهٔ سودهای بالا از «ربات معاملاتی نوسان» و ساختار ارجاع چندسطحی رشد کرد و در ژانویهٔ ۲۰۱۸ برنامهٔ وام‌دهی خود را بست؛ توکن BCC در فاصلهٔ کوتاهی بیش از ۹۰٪ سقوط کرد. وزارت دادگستری آمریکا در فوریهٔ ۲۰۲۲ بنیان‌گذار آن را به‌دلیل طرحی ۲٫۴ میلیارد دلاری متهم کرد. OneCoin حتی بلاک‌چین عمومی واقعی نداشت؛ «بستهٔ آموزشی» همراه با توکن می‌فروخت و بنیان‌گذارش روجا ایگناتووا در اکتبر ۲۰۱۷ ناپدید شد و در ژوئن ۲۰۲۲ به فهرست ده تحت تعقیب اصلی FBI اضافه شد.
🔬 توضیح تخصصی
بررسی فنی پیش از ورود: ۱) آیا قرارداد تأییدشده است و مالک دارد؟ آیا مالکیت کنار گذاشته شده (renounced) یا به چندامضایی منتقل شده است؟ ۲) آیا قرارداد از نوع proxy است که منطقش قابل تغییر باشد؟ ۳) آیا توابعی برای ضرب، توقف معاملات، فهرست سیاه، تغییر مالیات یا حداکثر تراکنش وجود دارد؟ ۴) توکن‌های LP کجاست: سوزانده شده، در قرارداد قفل معتبر با تاریخ مشخص، یا در کیف پول سازنده؟ ۵) توزیع دارندگان پس از کنار گذاشتن آدرس‌های استخر، قفل و صرافی‌ها چگونه است؟ ۶) آدرس سازنده پیش‌تر چه توکن‌هایی ساخته و سرنوشت آن‌ها چه بوده است؟ ابزارهای خودکار مانند ابزار امنیت توکن سایت این موارد را سریع نشان می‌دهند، اما «قبول شدن» در آزمون خودکار به معنای امن بودن نیست؛ برخی کلاهبرداری‌ها در لایهٔ اجتماعی رخ می‌دهند نه در کد.
پامپ‌ودامپ‌های سازمان‌یافته معمولاً در کانال‌های تلگرام و دیسکورد با اعلام «ساعت پامپ» اجرا می‌شوند. برگزارکنندگان پیش‌تر خریده‌اند، اعضای عادی در ثانیه‌های اول با قیمت‌های بالاتر می‌خرند و برگزارکنندگان در همان دقایق به آن‌ها می‌فروشند. از نظر ریاضی، بیشتر شرکت‌کنندگان باید زیان کنند تا گروه کوچکی سود کند. حجم معاملات ساختگی (wash trading)، دنبال‌کنندگان خریداری‌شده و «حسابرسی» از شرکت‌های بی‌نام، ابزارهای ساخت اعتبار جعلی‌اند.
کلاهبرداری‌های مهندسی اجتماعی به‌ویژه برای کاربران فارسی‌زبان رایج است: کانال‌ها و ربات‌های تلگرامی که خود را پشتیبان صرافی معرفی می‌کنند، سایت‌های جعلی با دامنه‌ای شبیه صرافی‌های معروف، معامله‌های همتا‌به‌همتا با رسید جعلی، و درخواست «تأیید» قرارداد (approve) که اجازهٔ برداشت نامحدود توکن‌های کیف پول را به مهاجم می‌دهد. گروه دیگر «کلاهبرداری بازیابی» است: کسانی که به قربانیان قبلی وعدهٔ بازگرداندن پول از دست رفته را در ازای کارمزد پیش‌پرداخت می‌دهند. شواهد را نگه دارید، آدرس‌ها و تراکنش‌ها را ثبت کنید و فقط از مراجع رسمی کمک بگیرید.
🌍 مثال واقعی: توکن Squid Game: اکتبر تا ۱ نوامبر ۲۰۲۱
در اواخر اکتبر ۲۰۲۱، هم‌زمان با محبوبیت جهانی سریال «بازی مرکب» نتفلیکس، توکنی با نام SQUID روی BNB Chain عرضه شد که هیچ ارتباط رسمی‌ای با سریال نداشت. قیمت آن در چند روز ده‌ها هزار درصد بالا رفت و برخی رسانه‌ها حتی پیش از سقوط دربارهٔ آن خبر منتشر کردند.
خریداران به‌تدریج متوجه شدند نمی‌توانند توکن را بفروشند؛ قرارداد فروش را به شرطی وابسته کرده بود که عملاً برای خریداران عادی ممکن نبود؛ یعنی الگوی هانی‌پات. در ۱ نوامبر ۲۰۲۱ قیمت در چند دقیقه تقریباً به صفر رسید، سازندگان نقدینگی را خارج کردند و وب‌سایت و حساب‌های اجتماعی پروژه ناپدید شدند. برآوردهای رسانه‌ای مبلغ خارج‌شده را حدود ۳ میلیون دلار گزارش کردند.
نشانه‌هایی که از قبل قابل مشاهده بود: نبود امکان فروش برای دیگران، تیم ناشناس، بسته بودن نظرات در شبکه‌های اجتماعی، استفادهٔ بدون مجوز از یک برند مشهور و رشد عمودی قیمت. همهٔ این‌ها با یک بررسی چنددقیقه‌ای قرارداد و رفتار بازار قابل تشخیص بود.
🔤 واژگان تخصصی
خروج ناگهانی سازندگان با پول خریداران از راه برداشت نقدینگی، فروش یکجا یا توابع مخرب قرارداد.
مثال: خروج نقدینگی SQUID در ۱ نوامبر ۲۰۲۱.
توکنی که کد قراردادش خرید را مجاز ولی فروش را برای خریداران عادی ناممکن یا بسیار پرهزینه می‌کند.
مثال: توکنی که مالیات فروش آن ۹۹٪ تنظیم شده است.
بالا بردن مصنوعی و هماهنگ قیمت یک دارایی کم‌حجم و فروش آن به خریداران دیرهنگام.
مثال: کانال تلگرامی که «ساعت پامپ» یک توکن کوچک را اعلام می‌کند.
طرحی که سود سرمایه‌گذاران قبلی را از پول سرمایه‌گذاران جدید می‌پردازد، نه از فعالیت اقتصادی واقعی.
مثال: BitConnect که در ژانویهٔ ۲۰۱۸ فروریخت.
توکنی که سهم مالکیت در یک استخر نقدینگی صرافی غیرمتمرکز را نشان می‌دهد و با آن می‌توان دارایی استخر را برداشت.
مثال: سازنده‌ای که LPها را قفل نکرده، می‌تواند در هر لحظه نقدینگی را خارج کند.
اجازه‌ای که کاربر به یک قرارداد می‌دهد تا مقدار مشخص یا نامحدودی از توکن‌هایش را جابه‌جا کند.
مثال: سایت فیشینگی که با یک تأییدیهٔ نامحدود، USDT کیف پول را خالی می‌کند.
🔑 نکات کلیدی
- سود ثابت و تضمینی بالا، مهم‌ترین نشانهٔ طرح پانزی است؛ همیشه بپرسید سود از کجا می‌آید.
- پیش از هر خرید، قرارداد را در ابزار امنیت توکن بررسی کنید: مالک، توابع ضرب و مالیات، و وضعیت قفل نقدینگی.
- اگر نمی‌توانید بفروشید یا دیگران نمی‌توانند بفروشند، احتمالاً با هانی‌پات روبه‌رو هستید.
- فشار زمانی، تبلیغ چهره‌ها و دنبال‌کنندگان زیاد، جایگزین شواهد نیستند.
- هیچ پشتیبان واقعی عبارت بازیابی نمی‌خواهد؛ وعدهٔ بازیابی پول از دست رفته معمولاً کلاهبرداری دوم است.
⚠️ اشتباهات رایج
- ورود به پروژه‌ای فقط به‌دلیل رشد سریع قیمت؛ در SQUID رشد عمودی دقیقاً پیش از رگ‌پول رخ داد.
- اعتماد به نتیجهٔ مثبت یک ابزار خودکار به‌عنوان تضمین؛ کلاهبرداری می‌تواند در لایهٔ اجتماعی یا با قرارداد قابل ارتقا رخ دهد.
- باور به اینکه «فقط زود وارد شو و زود خارج شو» در پامپ‌ودامپ کار می‌کند؛ برگزارکنندگان همیشه زودتر از شما هستند.
- امضای تأییدیه‌های نامحدود در سایت‌های ناشناس؛ این کار اجازهٔ برداشت توکن‌ها را بدون تراکنش بعدی شما به مهاجم می‌دهد.
- پرداخت کارمزد به «شرکت‌های بازیابی» پس از کلاهبرداری؛ این الگو معمولاً قربانی را دوباره هدف می‌گیرد.
🛠 تمرین عملی: بررسی امنیتی دو قرارداد توکن بدون خرید
- آدرس قرارداد یک توکن جاافتاده (مثلاً UNI روی اتریوم) را از سایت رسمی پروژه یا CoinGecko بردارید و در ابزار امنیت توکن سایت بررسی کنید.
- آدرس یک توکن بسیار تازه را از فهرست جفت‌های جدید یک مرورگر صرافی غیرمتمرکز بردارید و همان بررسی را انجام دهید؛ هیچ خریدی انجام ندهید و کیف پول وصل نکنید.
- برای هر دو، وضعیت مالک قرارداد، توابع ضرب یا مالیات، و قفل یا سوزانده بودن LP را ثبت کنید.
- در مرورگر بلاک‌چین، درصد عرضهٔ ده کیف پول بزرگ هر توکن را یادداشت کنید و آدرس‌های استخر و قفل را جدا کنید.
- برای توکن تازه، فهرستی از نشانه‌های هشدار با شواهد بنویسید و سطح ریسک را با دلیل توضیح دهید.
✅ معیار درستی: گزارش شما برای هر دو توکن خروجی ابزار امنیت، وضعیت LP و توزیع دارندگان را دارد و برای توکن تازه دست‌کم سه نشانه یا عدم‌نشانه با شواهد مستند شده است؛ هیچ تراکنش یا اتصال کیف پولی انجام نشده است.
🔒 در هیچ تمرینی از سرمایهٔ واقعی، عبارت بازیابی (Seed Phrase)، کلید خصوصی یا اتصال کیف پول اصلی استفاده نکنید.
📝 آزمون تطبیقی
هر بار ۵ سؤال از بانک ۹ سؤالی این درس انتخاب می‌شود؛ سؤال‌هایی که قبلاً اشتباه زده‌اید زودتر برمی‌گردند. حدنصاب قبولی ۸۰٪ (۴ از ۵) است و درس بعد با قبولی باز می‌شود.
✍️ پرسش تشریحی
یک فهرست بررسی هفت‌مرحله‌ای برای تشخیص رگ‌پول و پانزی پیش از ورود به یک پروژه بنویسید و آن را با نمونهٔ SQUID یا BitConnect تطبیق دهید.
بعد از نوشتن، پاسخ خود را با این معیارها بسنجید
خودارزیابی: هر نکته‌ای را که پاسخ شما به‌روشنی پوشش داده علامت بزنید.
🤖 دستیار آموزشی
دستیار آفلاین آکادمی: پاسخ‌ها فقط از متن درس‌ها و واژگان همین آکادمی پیدا می‌شوند و منبع هر پاسخ نشان داده می‌شود. هوش مصنوعی مولد نیست، حدس نمی‌زند و هیچ سیگنال خرید و فروشی نمی‌دهد.
📎 منابع مطالعاتی
- Investopedia — Ponzi Scheme
- Investopedia — Pump-and-Dump
- Investor.gov (SEC) — هشدارهای سرمایهگذاری
- FBI — Ten Most Wanted Fugitives
🏁 معیار تسلط بر این درس: می‌توانید با ابزار امنیت توکن و مرورگر بلاک‌چین قرارداد یک توکن را بررسی کنید، نشانه‌های رگ‌پول، هانی‌پات، پامپ‌ودامپ و پانزی را با شواهد مستند کنید و از تراکنش‌های پرخطر پرهیز کنید.