Опасные токены: какие риски несут в себе ICO

Фото: Villa Bonch для РБК

Общий объем средств, привлеченных через первичное размещение​ токенов (Initial Coin Offering — ICO) с 2015 года, когда начал развиваться рынок, составляет более $3,7 млрд, говорится в исследовании компании Ernst & Young (EY) «Рынок ICO».

Проекты с российскими корнями входят в число лидеров по объемам сборов в рамках ICO — они занимают второе место после проектов из США с суммой привлеченных средств $310 млн. При этом Москва является мировым лидером среди городов по местонахождению руководителей или основателей проектов, вышедших на ICO, обогнав по этому показателю Кремниевую долину.

Спрос инвесторов на участие в ICO остается высоким, однако доля проектов, которые достигают желаемых целей, с середины осени 2017 года снижается: если в июне 90% проектов собрали целевой объем, то в ноябре доля таких проектов составила менее 25%.

«Сейчас ажиотаж остается, но только в отношении хороших проектов. Инвесторы в ICO стали более придирчивы, смотрят на команду проекта, на историю, на то, что разработано и относится ли оно к реальной жизни. При этом количество проектов и команд, которые пытаются «запрыгнуть на уходящий поезд» легких ICO, резко выросло. Общее количество тех, кто пытается провести ICO и собрать деньги, увеличивается, а процент в нем хороших проектов, которые привлекают более осторожных инвесторов, уменьшается», — сказал РБК руководитель центра технологий, медиа и телекоммуникаций Ernst & Young Юрий Гедгафов.

Как отмечают авторы исследования, инвесторов в ICO поджидает множество проблем — от неправильной оценки проекта и преднамеренных «закладок» в кодах до хакерских атак.

Риски оценки

Существенную проблему для инвесторов представляет оценка адекватности цены токенов, размещаемых в ходе ICO. В первую очередь она затруднена тем, что большинство проектов ICO находится на стадии идеи (84%) или прототипа — модели (11%), промышленный запуск ожидается через год и более после ICO. На работающие проекты приходится лишь 5% ICO.

Оценка токена зависит от множества переменных и крайне сложна для проектов на стадии разработки, говорят эксперты. По идее, она должна определяться традиционными методами — прогнозами развития проекта, финансовыми моделями на основе прогнозов, соотношением между количеством токенов и объемом предоставляемых проектом услуг. «Но в большинстве случаев она определяется PR, качеством White Paper (аналог проспекта эмиссии ценных бумаг, основной документ проекта, где содержится описание продукта. — РБК) и техникой ICO-продаж», — отмечают авторы исследования.

По информационному шуму оценивать проект, конечно, не следует, предупреждает инвесторов основатель группы компаний Blockchain.ru Дмитрий Мацук. «Ажиотаж не значит ничего сам по себе — это лишь сигнал к тому, что нужно проявить интерес. Сейчас вывод компании на ICO — отдельная дорогостоящая услуга. Чтобы привлечь инвесторов, проекты не скупятся на рекламу, услуги дизайнеров и пиарщиков. Учитывая это, к любому проекту нужно относиться с большим скепсисом», — предупреждает он.

Отсутствие возможности фундаментальной оценки приводит к экстремальной волатильности после начала торгов токеном. Согласно данным EY, некоторые токены демонстрируют рост на десятки тысяч процентов, а другие могут полностью потерять стоимость.

«В первую очередь надо обращать внимание на то, выполнима ли задача, поставленная проектом, насколько велик шанс именно этой команды реализовать проект на практике. Понять это можно по наличию у нее успешного опыта работы в аналогичной сфере», — объясняет основатель агентства по оценке цифровых активов Digrate, член экспертного совета Госдумы по цифровой экономике и блокчейн-технологиям Арсений Поярков.

Если оценить White Paper простому инвестору сложно, за дополнительной информацией можно обратиться непосредственно к представителям проекта, а также воспользоваться информацией с официальных страниц проекта в социальных сетях, в которых участники и потенциальные инвесторы разбирают все составляющие основного документа «на мелкие детали», говорит сооснователь криптобанка Wirex Павел Матвеев.

Проблемы недобросовестности

Не менее важная проблема — аккуратность и добросовестность команд, проводящих ICO. Программный код​ (смарт-контракт), в котором формулируются условия ICO, может содержать уязвимости или преднамеренные «закладки» (скрытые условия, которые в явном виде не были раскрыты инвесторам), говорится в исследовании.

Эксперты приводят в пример «закладку» в одном из проектов, где в программном коде предусмотрено, что команда может блокировать все транзакции с использованием токена в любое время и по любой причине (что может привести к ущемлению прав владельцев токена), может выпускать новые токены в любое время (что может привести к размыванию цены ранее выпущенных токенов) и может уничтожить токены на любом счете в любое время (что грозит полной потерей принадлежащих инвесторам токенов). В тексте для инвесторов описание этих рисков отсутствовало.

«Так иногда происходит, что недобросовестные организаторы ICO для извлечения личной выгоды в тексте White Paper указывают одно, а в коде смарт-контракта — другое», — подтверждает ведущий разработчик компании BitClave Антон Буков. По его словам, проверить инвестору самостоятельно соответствие между заявленными и реальными условиями не удастся. «Прочитать условия смарт-контракта может только программист, и то не каждый. Так что инвестору я бы посоветовал обращаться к информации, которую предоставляют инвестирующие в данный проект криптовалютные фонды (фонды доверительного управления, размещающие средства в криптовалюты. — РБК). Они обычно размещают у себя на сайтах информацию с анализом ICO, в который собираются вкладывать средства. У них есть возможность привлечь специалистов к оценке кода, так что их выводам можно доверять», — советует разработчик.

Из-за отсутствия в России законодательства, регулирующего ICO, пока инвесторы практически не могут бороться с недобросовестными организаторами проектов и вынуждены во многом полагаться на добрую волю эмитентов и на удачу. «Однако в скором будущем правовое поле вокруг криптоэкономики стабилизируется и инвесторы получат легальные механизмы защиты своих прав. И тогда, если организаторы ICO будут совершать действия, которые могут быть классифицированы как обман инвесторов, инвесторы смогут обращаться в компетентные органы», — говорит Арсений Поярков. Введение ответственности за нарушения должно сократить количество нарушений.

Проблемы киберугроз

Объемы ICO вызывают всплеск интереса хакеров. В среднем более 10% средств от ICO теряются в результате атак, свидетельствует отчет EY. Хакерам помогают ажиотаж, отсутствие централизованного расчета и необратимость транзакций на блокчейне. Организаторы ICO фокусируются на привлечении инвесторов, и безопасность часто уходит на второй план. Причем чем более «раскрученный» и масштабный ICO, тем более он привлекателен для атак.

Атакам подвергаются как проекты (эмитенты), так и инвесторы. Основные инструменты отъема средств: подмена адреса кошелька проекта, получение доступа к ключам кошельков и кража средств с кошельков, взломы бирж и кошельков. На долю фишинговых схем (вид интернет-мошенничества, целью которого является получение доступа к конфиденциальным данным пользователей) приходится более половины всех хищений, причем в начале весны 2017 года этот тренд начал стремительно расти, доход мошенников от отдельных фишинговых сайтов может достигать $1,5 млн месяц, отмечают авторы исследования. Как правило, через фишинговый сайт мошенники либо предлагают перевести средства на свой кошелек или контракт, либо выманивают приватный ключ от кошелька инвестора.

Эксперты «Лаборатории Касперского» также отмечают, что бум криптовалют и рынка ICO не избежал повышенного внимания со стороны злоумышленников. Что касается ICO, на протяжении года наблюдались как классические фишинговые схемы обмана потенциальных инвесторов в реальные проекты, так и откровенно поддельные проекты, целью которых был простой сбор денег без последующей реализации какой-либо идеи.

Чтобы не стать жертвой мошенников, надо пользоваться простыми правилами безопасности и бытовой логикой, тогда в большинстве случаев потерь можно будет избежать, говорят эксперты. «Держите свои приватные ключи (набор цифр и букв, дающий доступ к средствам на криптовалютном кошельке) в защищенном месте, не ходите по рекламным ссылкам, пользуйтесь только официальными ресурсами», — советует Арсений Поярков. Чтобы максимально обезопасить свои средства от хакерской атаки, а личные данные — от кражи, Павел Матвеев советует хранить средства на «холодных», то есть не имеющих соединения с интернетом, кошельках.

Чтобы ошибочно не воспользоваться фишинговым сайтом, нужно быть внимательным. Фишинговый сайт будет иметь адрес, отличающийся на одну или несколько букв от официального. Чтобы понять, какой адрес является официальным, следует просмотреть аккаунты организаторов проекта в социальных сетях и сверить указанные там ссылки с адресом основного сайта. «Кроме того, если адрес начинается не с https, а с http, это означает, что на этом сайте нет шифрования и велика вероятность, что это не настоящий сайт ICO», — рассказывает Антон Буков.

Перепроверять следует и адрес кошелька, на который организаторы проекта предлагают переводить средства при приобретении токенов. «Во всех официальных каналах проекта должен быть указан один и тот же адрес. Именно по нему и надо совершать перевод, причем перепроверить и адрес сайта, и адрес кошелька, и переводимую сумму», — советует Дмитрий Мацук.

Также необходимо с осторожностью относиться к письмам, в которых от имени организатора ICO присылаются адреса кошелька для перечисления средств. «Часто хакеры выходят на связь с инвестором в публичных каналах (социальных сетях, блогах и мессенджерах), представляются сотрудниками компании и просят переслать средства на адрес кошелька, уверяя, что, например, началась предпродажа токенов и только этому инвестору они доступны по низкой цене», — рассказывает Антон Буков. Слепо доверять таким «подаркам» не стоит, нужно перепроверить адрес кошелька и сотрудника, например, связавшись с представителями проекта.