English 
Español 
Русский HazeCrypto, Protokoll
13. März 2026. Ein Befund hoher Schwere, zum ROI-Modell selbst.
Bericht öffnenPrüfen Sie TurboLoop selbst. Hier sind die Adressen.
Jede Aussage unten lässt sich auf BscScan ohne Konto und ohne Vertrauen in irgendwen bestätigen. Der Betreiber verlinkt einige dieser Adressen nebenbei; hier stehen sie an einem Ort, jede mit der zugehörigen Prüfung und mit dem, was diese Prüfung nicht belegt.
Die Kurzfassung
- Vier Adressen zählen: der Protokollvertrag, der Token, die Burn-Adresse und der Liquiditätspool.
- Der Protokollvertrag ist verifiziert und die Eigentumsrechte sind abgegeben, beides ist auf BscScan ohne Konto lesbar.
- Die Burn-Adresse hält, was die Rückkäufe ihr geschickt haben, die Burn-Aussage ist also Transaktion für Transaktion prüfbar.
- Der Pool ist ein öffentliches PancakeSwap-V3-Paar, sein Bestand ist also die Liquidität aller in diesem Paar und nicht die eigene Position des Protokolls.
- claimRewards ist eine öffentliche schreibende Funktion, das verfügbare Guthaben (und bei Laufzeitende das Kapital) lässt sich also über BscScan abrufen, auch wenn die Web-App offline ist.
- Was nichts davon belegt: dass der beworbene Satz finanzierbar ist. Kein Vertrag gibt diese Zahl preis.
Vier Prüfungen
- 01
Der Protokollvertrag ist verifiziert und eigentümerlos
Öffnen Sie die Adresse, gehen Sie auf den Reiter Contract und prüfen Sie, dass der Quellcode als verifiziert markiert ist. Öffnen Sie dann Read Contract und rufen Sie owner() auf. Der Rückgabewert 0x0000000000000000000000000000000000000000 bedeutet, dass die Eigentumsrechte abgegeben sind: Die Regeln kann niemand ändern, auch das Team nicht.
0xc90E5785632dAaB9Cb61F5050dA393090541A76DAuf BscScan öffnen - 02
Die Tokenmenge entspricht der Angabe
Öffnen Sie den Token-Vertrag und lesen Sie totalSupply. Am 30. September 2026 kamen 1.261.128 TURBO zurück, keine runde Million, lesen Sie also den Live-Wert, statt einer zitierten Zahl zu glauben. Dieselbe Seite zeigt die Zahl der Halter und jeden Transfer seit dem Deployment.
0x64920e7f4f270f302e8b728f69b5a9fc24fda2d3Auf BscScan öffnen - 03
Die Burns haben tatsächlich stattgefunden
Der Betreiber gibt an, dass 10% der Verwaltungsgebühren täglich $TURBO kaufen und an die Burn-Adresse schicken. Öffnen Sie die Burn-Adresse und sehen Sie sich ihren $TURBO-Bestand und die eingehenden Transfers an, dieser Bestand sind dauerhaft aus dem Umlauf genommene Token. Der Rückkaufvertrag, der das ausführt, ist ebenfalls öffentlich.
0x000000000000000000000000000000000000dEaDAuf BscScan öffnen - 04
Der Liquiditätspool hält, was er halten soll
Einzahlungen gehen nach Angabe in einen USDC/USDT-Pool. Die Adresse ist ein öffentliches PancakeSwap-V3-Paar, die Bestände an USDT und USDC sind also die Liquidität aller in diesem Paar und nicht die eigene Position des Protokolls. Lesen Sie sie als Größe des Paares und nicht als Zahl dafür, wie viel TurboLoop gebunden hat. Das zeigt der Bestand nicht.
0x4f31fa980a675570939b737ebdde0471a4be40ebAuf BscScan öffnen
Die Audits
Drei Berichte, alle öffentlich. Lesen Sie sie statt des Siegels. Das Audit des Protokolls trägt einen Befund hoher Schwere, den das Siegel nicht zeigt.
HazeCrypto, Token
10. Juni 2026. Deckt den $TURBO-Vertrag und den Rückkaufvertrag ab.
Bericht öffnenSolidityScan, Protokoll
99,99 / 100, 0 kritisch, 0 hoch, 0 mittel, 0 niedrig
Bericht öffnenIhre eigenen Zahlen ohne das Dashboard lesen
Read Contract braucht weder Wallet noch Konto: Sie tippen eine Adresse ein und bekommen die Antwort, die Ihnen das Dashboard gezeigt hätte. Nützlich, wenn das Frontend ausfällt, und nützlich, um zu prüfen, was es anzeigt, wenn es läuft.
| Funktion | Was sie zurückgibt |
|---|---|
| getAvailableRewards(address) | Was für diese Adresse gerade abrufbar ist. |
| getDepositCount(address) | Wie viele Positionen die Adresse eröffnet hat. Bis zu 400 sind erlaubt. |
| getDepositInfo(address, index) | Eine Position: Betrag, Startzeit, Plan und ob sie bereits abgerechnet ist. |
| getUserInfo(address) | Benutzername, wer geworben hat, Registrierungsstatus und die laufenden Summen. |
| getUserTeamInfo(address) | Teamvolumen, Teamzahlen und der aktuelle Rang-Index. |
| getLevelEarnings(address) | Zwanzig Zahlen: die Provision je Empfehlungsstufe. |
| getLevelDownlines(address) | Zwanzig Zahlen: wie viele Personen auf jeder Stufe sitzen. |
| getDailyRewardStatus() | Die aktuelle Tagesnummer und wie weit deren Verarbeitung ist. |
Die schreibende Seite ist genauso offen: claimRewards zahlt das verfügbare Guthaben an denjenigen aus, dem die Adresse gehört, ganz ohne Frontend. Das ist der Teil, den man kennen sollte, bevor man ihn braucht.
Die Konstanten, wie sie im Quellcode stehen
Das sind keine Einstellungen. Sie sind im verifizierten Quellcode als konstant deklariert, keine Transaktion ändert sie, und es gibt keine Funktion, die es könnte.
| Konstante | Wert |
|---|---|
| MINIMUM_DEPOSIT | 1 USDT |
| MINIMUM_WITHDRAW | 1 USDT |
| MINIMUM_COMPOUND | 1 USDT |
| REFERRAL_QUALIFICATION | 25 USDT |
| SERVICE_FEE_PCT | 600 / 10000 = 6% |
| MAX_POSITIONS | 400 |
| REFERRAL_DEPTH | 20 |
| MAX_UPLINE_DEPTH | 100 |
| MAX_LEADERSHIP_PCT | 1000 / 10000 = 10% |
| TIME_STEP | 86,400 seconds |
Prozentwerte werden durch PERCENTS_DIVIDER = 10000 geteilt, SERVICE_FEE_PCT = 600 sind also 6%. launchDate() liefert den 10. März 2026, 13:00 UTC, dort beginnt der Tageszähler. Am 6. Oktober 2026 aus dem Quellcode gelesen.
Wohin die Gebühren gehen
Beide Gebühren haben ein Ziel, und das ist eine konstante Adresse.
Der Quellcode nimmt 6% bei der Einzahlung und 6% auf den ROI und schickt beides an SERVICE_FEE_WALLET, eine konstante Adresse, die sich nicht neu zuweisen lässt. Beide werden aus dem Liquiditätspool abgeführt statt von Ihnen abgezogen: Die Einzahlung wird in voller Höhe verbucht und der ROI vollständig gutgeschrieben. Der Kontostand dieser Wallet ist der öffentliche Nachweis dessen, was die Gebühren eingebracht haben und was zusätzlich zu den Auszahlungen aus dem Pool abgeflossen ist.
0xC8D2701882A9A629e9a9332950Fef78EE4FFD9A9 Auf BscScan öffnen Das Bounty über $100,000 und wofür es ein Beleg ist
Der Betreiber bietet eine sechsstellige Summe für den Nachweis, dass das Team Haltern schaden kann. Beim Wort genommen ist das ein starkes Signal: Ein Team, das mit Entdeckung rechnet, lobt keinen Preis für die eigene Entdeckung aus. Unten stehen die genannten Bedingungen und danach das, was sie nicht abdecken.
Die genannten Bedingungen
- $100,000 in USDT für einen bestätigten Befund, binnen sieben Tagen an eine Wallet Ihrer Wahl ausgezahlt.
- Der Umfang ist der ausgerollte Vertrag: ein Zentralisierungsrisiko, eine Schwachstelle oder ein Rug-Pull-Mechanismus.
- Offen für jeden, überall. Kein NDA und keine Vorprüfung.
- Eingereicht wird ein schriftlicher Bericht plus Proof of Concept, gesendet über @TurboLoop_Official.
- Mehrere Befunde werden getrennt vergütet, ohne genannte Obergrenze und ohne Nachverhandlung nach unten.
Was Sie feststellen können, ohne jemandem zu glauben
- Der Umfang ist klein genug, um ihn an einem Abend zu lesen. Die ABI des Vertrags, die veröffentlichte Liste der Aufrufe, die er annimmt, enthält sieben Funktionen, die etwas verändern, sechs davon gehören dem Einzahler, und owner() gibt die Nulladresse zurück.
- Deshalb ist das Bounty auch günstig auszuloben: ohne Pausieren, ohne Gebührensetzer und ohne Entnahme durch den Eigentümer sind die naheliegenden Kategorien bereits geschlossen.
- Die Bedingungen sprechen von Kontrolle und Code. Der Befund, der bereits aktenkundig ist, die Notiz hoher Schwere des Auditors, dass Dividenden aus den Einzahlungen anderer Nutzer stammen, betrifft dagegen die Ökonomie und fällt damit aus dieser Formulierung heraus.
- Nichts an der Auslobung steht on-chain: keine Treuhandadresse, keine Regelseite, kein Nachweis einer geleisteten Zahlung. Die Prüfung liegt im Ermessen des Betreibers, und die Schlichtungsstelle ist ein Telegram-Konto.
Lesen Sie es als das, was es ist: ein Beleg dafür, dass der Vertrag keine Admin-Hebel hat, was diese Liste ohnehin zeigt. Es ist kein Beleg dafür, dass der beworbene Satz finanzierbar ist, und genau das war die Frage des Audits.
Was diese Prüfungen nicht belegen
Das ist der Teil, den fast niemand veröffentlicht, deshalb hier im Klartext. Auch wer jede Prüfung oben besteht, lässt Folgendes offen.
- Ein Audit senkt die Wahrscheinlichkeit bekannter Schwachstellenklassen. Es beweist nicht, dass der Code fehlerfrei ist, und es prüft nicht, ob die Ökonomie den versprochenen Satz tragen kann.
- Abgegebene Eigentumsrechte schneiden nach beiden Seiten. Niemand kann die Regeln ändern, was ebenso heißt, dass niemand einen Fehler patchen oder den Vertrag anhalten kann, wenn etwas schiefläuft.
- Ein verifizierter Vertrag sagt Ihnen, was der Code tut, nicht ob der Auszahlungssatz tragfähig ist. Der Satz ist ein Parameter; woher das Geld dafür kommt, kann die Chain nicht bestätigen.
- Pool-Bestände sind eine Momentaufnahme. Sie zeigen, was jetzt da ist, nicht was da sein wird, wenn Ihre Laufzeit endet.