ZachXBT раскрывает скандал с инсайдерской информацией в Axiom: как внутренние сотрудники злоупотребляют своими привилегиями?

Автор: Хлоя, ChainCatcher

Событие, привлекшее внимание рынка в последние дни и собравшее десятки миллионов долларов ставок на Polymarket, «Какую криптовалютную компанию ЗакXBT разоблачит в инсайдерской торговле?», наконец подошло к концу. 26 февраля детектив блокчейна ЗакXBT официально опубликовал отчет о расследовании, в котором прямо указал на торговую платформу DeFi Axiom Exchange.

В отчете содержится обвинение в том, что высокопоставленный сотрудник платформы якобы злоупотребил внутренними управленческими привилегиями, чтобы в течение длительного времени незаконно получать доступ к личным данным кошельков пользователей, превратив эту конфиденциальную информацию в инструмент для инсайдерской торговли. В этой статье мы подробно рассмотрим цепочку доказательств, раскрытую ZachXBT, в которой «прозрачность цепочки» подменяется «управлением черным ящиком вне цепочки».

ZachXBT раскрывает скандал с инсайдерской торговлей на бирже Axiom

Axiom Exchange была основана Мистом и Калом и в начале 2025 года была отобрана для участия в зимней программе Y Combinator (W25). Эта платформа продемонстрировала поразительные результаты, принеся совокупный доход в размере более 390 миллионов долларов всего за один год. Однако за блестящими финансовыми данными старший сотрудник по развитию бизнеса по имени Брукс Бауэр превращал бэкэнд-инструменты Axiom в частную охотничью территорию.

Согласно расследованию ZachXBT, Брукс Бауэр действовал не в одиночку; он создал организованный процесс «монетизации информации», ядром которого была панель внутреннего контроля Axiom, позволявшая Бруксу свободно запрашивать личную информацию любого пользователя через промокоды, адреса кошельков или UID. Брукс заявил в записи, что он может «узнать все что угодно об этом человеке», и его действия свидетельствовали о высокой осведомленности в вопросах противодействия слежке:

1. Первоначально запрашивается только 10–20 кошельков, чтобы не вызвать сигналы тревоги о системных аномалиях.

2. Цели не были выбраны случайным образом. Например, KOL по имени Марселл стал ключевой целью отслеживания из-за покупки большого количества мем-монет с помощью своего личного кошелька и продвижения выхода ликвидности среди своих поклонников. Частные кошельки таких трейдеров редко бывают общедоступными, а частота повторного использования адресов низкая, что делает эту информацию очень ценной для арбитража.

3. Установление организации и правил, таких как помощь другого сотрудника Axiom, Райана (Ryucio), в поиске информации о пользователях, найм Gowno в качестве модератора и сбор этих частных кошельков в Google Sheets для отслеживания.

Эти нарушения продолжались более десяти месяцев (начиная с апреля 2025 года), а цепочка доказательств включала скриншоты бэкэнд-управления жертв «Джерри» и «Моникс». Эта информация также вызвала вопросы: почему сотрудник отдела развития бизнеса имел межфункциональный доступ? Необходимые оповещения мониторинга и изоляция доступа явно не сработали.

Официальный ответ Axiom не скрывает структурных дисфункций

После публикации отчета ZachXBT официальный ответ Axiom следовал стандартному подходу к управлению кризисными ситуациями в сфере связей с общественностью: было опубликовано заявление, в котором выражались «шок и разочарование», отменен доступ и начато расследование. Однако это все равно не может скрыть лежащую в основе структурную дисфункцию, поскольку такие инциденты свидетельствуют о неспособности платформы контролировать доступ, а не просто о действиях отдельного сотрудника.

1. Отсутствующие журналы аудита

В традиционных финансовых или зрелых технологических компаниях Web2 любая операция, связанная с доступом к конфиденциальным данным пользователей, должна оставлять след в журнале. Если сотрудник отдела развития бизнеса может выполнять межфункциональный запрос сотен адресов кошельков, не связанных с его бизнесом, система должна немедленно сработать сигнал тревоги. Десятимесячный регуляторный вакуум в Axiom указывает на то, что ее внутренняя система, возможно, даже не имеет «механизма обнаружения аномалий», и сохраняются ли «записи о действиях», также вызывает сомнения.

2. Число жертв остается неясным

В заявлении Axiom не упоминается количество затронутых пользователей. Это вызывает более серьезные опасения: если Брукс Бауэр мог получить доступ к этой информации, то что же говорить о других сотрудниках? В отчете упоминаются модератор Gowno и другой сотрудник отдела развития бизнеса Райан как соучастники, что позволяет предположить, что такое злоупотребление привилегиями может быть относительно простым. Когда структура управления организацией основана на «доверии», а не на «институтах», предельные издержки внутренней коррупции чрезвычайно низки.

Разрешения – это просто формальность? Черная дыра управления данными в стартапах Web3

Дальнейшее расследование сути этого скандала. Размеры доступных данных, перечисленных в отчете ZachXBT, вызывают тревогу: полные списки кошельков пользователей, кошельки, отслеживаемые пользователями, полная история транзакций, названия кошельков, определенные пользователями, и связанные с ними учетные записи. Этот список включает не только данные о транзакциях, но и воссоздает полную картину поведения пользователя в сети.

В традиционных финансовых учреждениях доступ к таким данным строго ограничен «принципом минимально необходимой информации». Любому сотруднику без явной служебной необходимости запрещается доступ к конфиденциальным данным клиентов; все действия по доступу должны сохраняться в журналах операций, подлежащих аудиту, и периодически проверяться отделами по обеспечению соответствия. Логика конструкции этого механизма проста: он не полагается на личные моральные принципы сотрудников, а минимизирует ущерб до возникновения проблем за счет двойного ограничения со стороны технологий и систем.

Бэкэнд Axiom явно не соответствовал этому стандарту. Еще более настораживает то, что такие проблемы не являются единичными случаями в стартапах Web3. Быстро растущие команды часто сосредотачивают инженерные ресурсы на итерации продукта, в то время как вопросы соответствия нормативным требованиям и управления данными отходят на второй план, а иногда даже рассматриваются как темы, которые необходимо решать «после листинга». Однако, как только платформа достигает масштабов Axiom, чувствительность данных, доступных через бэкэнд-инструменты, значительно превышает чувствительность данных на ранних этапах, в то время как создание защитных механизмов часто остается на уровне стартапа.

Этот случай также раскрывает уникальный абсурдный парадокс Web3: прозрачность в цепочке не равна прозрачности вне цепочки. Блокчейн обеспечивает «анонимную прозрачность» транзакций; каждый может видеть поток адресов, но с трудом различает сущности, стоящие за ними. Однако реальный риск возникает в тот момент, когда пользователи завершают регистрацию, привязывают кошельки и устанавливают примечания: они передают наиболее важную информацию о том, что «владельцем этого адреса являюсь я», в централизованную базу данных платформы.

После этого анонимность постепенно становится иллюзией. Как только этот слой идентичности связывается с большим количеством информации, помечается дополнительными метками или даже подвергается злоупотреблению, прозрачность цепочки блоков перестает защищать пользователей и становится самым точным инструментом в руках злоумышленников.

Децентрализация на уровне протокола не равнозначна децентрализации компании

Скандал с Axiom показывает не только личные проступки нескольких сотрудников. Это служит зеркалом, отражающим значительное противоречие, которое вся индустрия Web3 долгое время избегала под лозунгом «децентрализации»: децентрализация на уровне протоколов не равнозначна децентрализации на операционном уровне компаний.

Когда основная деятельность платформы по-прежнему опирается на централизованные бэкэнд-системы, ручное обслуживание клиентов и субъективные суждения сотрудников, ярлыки «DeFi» или «Web3» выглядят лишь как украшение фасада. Пользователи доверяют неизменности смарт-контрактов, но забывают, что в момент ввода личной информации и привязки кошельков они уже передают самую важную информацию полностью централизованной организации.

Доверие никогда не было бесплатным; в местах, где системы еще не созрели, сторона, несущая расходы, связанные с доверием, всегда является стороной с наиболее асимметричной информацией.