تقرير حول فوضى بيئة عملة Web3

مقدمة

في عالم Web3، تتوالى العملات الجديدة. كم عدد العملات الجديدة التي يتم إصدارها كل يوم؟ هل هذه العملات الجديدة آمنة؟

هذه التساؤلات ليست بلا سبب. في الآونة الأخيرة، قامت فرق الأمان برصد عدد كبير من حالات سحب السجاد المتعلقة بالعملات الجديدة. وكشفت تحقيقات معمقة أن هناك عصابات إجرامية منظمة وراء هذه الحالات، وتظهر نمطية معينة. تكشف المزيد من التحليلات أن هذه العصابات قد تقوم بالترويج لعمليات الاحتيال من خلال ميزة "تتبع العملات الجديدة" في مجموعات تلغرام.

تشير الإحصائيات إلى أنه خلال الفترة من نوفمبر 2023 إلى أغسطس 2024، أرسلت مجموعات تلغرام ذات الصلة ما مجموعه 93,930 نوعًا جديدًا من العملات، منها 46,526 نوعًا تتعلق بخداع Rug Pull، مما يشكل 49.53%. وقد استثمرت العصابات وراء هذه العملات المضللة 149,813.72 ETH، محققة معدل عائد قدره 188.7% بأرباح تصل إلى 282,699.96 ETH، ما يعادل حوالي 800 مليون دولار.

لتقييم نسبة عملات Telegram المرسلة في شبكة Ethereum الرئيسية، تم جمع بيانات العملات الجديدة التي تم إصدارها في نفس الفترة على شبكة Ethereum الرئيسية. أظهرت النتائج أنه تم إصدار 100,260 عملة جديدة، وتشكل العملات المرسلة من مجموعة Telegram 89.99%. يتم إنشاء حوالي 370 عملة جديدة يوميًا، وهو ما يتجاوز التوقعات المعقولة بكثير. وكشفت تحقيقات أعمق أن 48,265 عملة على الأقل متورطة في احتيال Rug Pull، مما يشكل 48.14%. بعبارة أخرى، فإن واحدًا من كل عملتين جديدتين على شبكة Ethereum الرئيسية تقريبًا متورط في الاحتيال.

بالإضافة إلى ذلك، تم العثور على المزيد من حالات Rug Pull في شبكات blockchain الأخرى. وهذا يشير إلى أن الوضع الأمني في النظام البيئي الجديد للعملات في Web3 أكثر خطورة مما كان متوقعًا. تهدف هذه التقرير إلى تعزيز الوعي الوقائي في مجتمع Web3، ودعوة جميع الأطراف إلى البقاء يقظين، واتخاذ التدابير الوقائية اللازمة لحماية أصولهم.

مقدمة عن عملة ERC-20

ERC-20 هو أحد أكثر معايير العملات شيوعًا على blockchain، حيث يحدد مجموعة من المعايير التي تجعل العملات قابلة للتشغيل البيني بين عقود ذكية مختلفة وdApp. يحدد الوظائف الأساسية للعملة، مثل التحويل، والتحقق من الرصيد، وتفويض إدارة طرف ثالث، وغيرها. هذا المعيار يبسط إنشاء واستخدام العملات. يمكن لأي فرد أو منظمة إصدار عملة بناءً على معيار ERC-20 وجمع الأموال للمشاريع من خلال البيع المسبق.

تعتبر عملات USDT وPEPE وDOGE من عملات ERC-20، ويمكن شراؤها من خلال بورصات غير مركزية. ومع ذلك، قد تصدر بعض العصابات الاحتيالية عملات ERC-20 خبيثة تحتوي على أبواب خلفية، مما يجعلها مدرجة في البورصات لإغراء المستخدمين للشراء.

حالات الاحتيال النموذجية لعملة السحب المفاجئ

Rug Pull يشير إلى سلوك احتيالي حيث يقوم فريق المشروع بسحب الأموال فجأة أو التخلي عن المشروع، مما يتسبب في خسائر هائلة للمستثمرين. عملة Rug Pull تصدر خصيصًا لتنفيذ هذا الاحتيال.

تحليل الحالة

المهاجمون استخدموا عنوان Deployer لنشر عملة TOMMI، وإنشاء حوض السيولة، وشراء عملة عبر عناوين أخرى لتزوير حجم التداول. عندما يقع روبوت الشراء الجديد في الفخ، ينفذ المهاجم عملية سحب عاجلة، ويستبدل ETH من حوض السيولة. تعاقد عملة TOMMI منح مسبقًا لصاحب سحب العاجل صلاحية الموافقة على حوض السيولة، مما يسمح له بسحب العملة مباشرة من الحوض لتنفيذ سحب عاجل.

عملية سحب السجادة

1. إعداد أموال الهجوم: شحن ETH من البورصة إلى Deployer.

2. نشر عملة تحتوي على باب خلفي: إنشاء عملة TOMMI، تعدين مسبق 100 مليون.

3. إنشاء حوض السيولة الأولي: استخدم 1.5 ETH وجميع العملات لإنشاء الحوض.

4. حرق العملات المسبقة: حرق رموز LP، يبدو أنه فقد القدرة على سحب السجادة.

5. حجم المعاملات المزيف: استخدام عدة عناوين لشراء عملة TOMMI.

6. تنفيذ سحب السجادة: سحب كمية كبيرة من العملات من حوض السيولة وبيعها لتحقيق الربح.

7. نقل الأموال: إرسال الأرباح إلى عنوان الترحيل.

8. جمع الأموال: سيتم إرسال الأموال من عنوان الترانزيت إلى عنوان الاحتفاظ.

تحليل ثغرات الشيفرة

تحتوي عقد عملة TOMMI على ثغرة في دالة openTrading، حيث ستسمح عند إنشاء تجمع السيولة للتجمع بالموافقة على نقل عملة إلى عنوان Rug Puller، مما يتيح له سحب العملة مباشرة من التجمع.

سمات الجريمة

1. يقوم Deployer بالحصول على الأموال من البورصة
2. إنشاء حوض السيولة وحرق رموز LP
3. يقوم Rug Puller بتحويل كميات كبيرة من عملة إلى ETH في بركة التبادل
4. نقل الأرباح إلى عنوان الاحتفاظ بالأموال

تتواجد هذه الميزات بشكل شائع في عدة حالات، مما يشير إلى أن سلوك سحب السجادة نمطي للغاية، وقد ينطوي على نفس مجموعة المحتالين.

تحليل عصابة سحب البساط

عنوان الاحتفاظ بالمال

تحليل يكشف عن 7 عناوين احتفاظ بالأموال نشطة للغاية، مرتبطة بـ 1,124 حالة سحب احتيالي. هذه العناوين تستخدم الأموال المحتفظ بها لتفكيكها لاستخدامها في سحب احتيالي جديد، بينما يتم تحويل جزء صغير منها إلى نقد من خلال البورصات.

تظهر الإحصاءات أن التكلفة الإجمالية لهذه العناوين هي 149,813.72 ETH، والإيرادات الإجمالية 432,513.68 ETH، والأرباح 282,699.96 ETH( حوالي 8 مليار دولار)، ومعدل العائد المتوسط 188.7٪.

عنوان ارتباط الاحتفاظ بالأموال

من خلال تحليل تدفق الأموال، يمكن تقسيم 7 عناوين إلى 3 مجموعات:

1. 0xDF1a و 0xDEd0
2. 0x1607 و 0x4856
3. 0x2836 ، 0x0573 ، 0xF653 و 0x7dd9

يوجد تحويل مباشر داخل التجمع، ولا يوجد تحويل مباشر بين التجمعات. لكن يتم تقسيم الأموال من خلال نفس عقد البنية التحتية، مما يدل على أنها قد تنتمي إلى نفس العصابة.

تحليل البنية التحتية المشتركة

الأساسيات المشتركة الرئيسية هي عنوانان: 0x1d39 و 0x6348.

0x1d39 الوظائف الرئيسية:

• multiSendETH: تقسيم التحويل
• 0x7a860e7e:شراء عملة Rug Pull

وظيفة 0x6348 مشابهة، اسم دالة الشراء هو 0x3f8a436c.

تظهر الإحصائيات أن عددًا قليلاً من العناوين تُستخدم لتقسيم الأموال، بينما تُستخدم أعداد كبيرة من العناوين لتزوير المعاملات. تم تقسيم عناوين الاحتفاظ بالأموال 3,616 مرة من خلال البنية التحتية، بمبلغ 9,369.98 ETH.

مصدر تمويل الجريمة

تم تحليل 1,124 حالة، حيث تأتي 95.11% من أموال المطورين من محافظ العملات الساخنة في البورصات. تستخدم العصابة عدة بورصات في الوقت نفسه لزيادة صعوبة التتبع.

تظهر هذه الميزات أن عصابة Rug Pull منظمة بشكل جيد، مع تقسيم واضح للعمل، واحترافية في التنفيذ.

تحليل قنوات الترويج

القنوات الرئيسية للترويج: تويتر ومجموعات تيليجرام.

تدير المجموعات فريقًا من روبوتات القنص على السلسلة أو فريقًا محترفًا في الطرح الأول، يخصص لدفع عملات جديدة، مما يجعلها قناة إعلانات طبيعية لعصابات سحب البساط.

إعلانات تويتر

استخدم خدمات الطرف الثالث ( مثل Dexed.com ) لدفع معلومات العملات الجديدة.

إعلان مجموعة تلغرام

مثل مجموعة Banana Gun، يتم دفع عملات جديدة وتوفير مدخلات شراء مريحة. وقد أظهرت الفحوصات اليدوية أن نسبة كبيرة منها هي عملات Rug Pull.

تحليل نظام إيكولوجي لعملة إيثيريوم

تحليل عملة دفع من مجموعة Telegram

خلال الفترة من أكتوبر 2023 إلى أغسطس 2024، أرسل المجموعة ما مجموعه 93,930 عملة.

استخدم القواعد التالية للكشف عن عملة Rug Pull:

1. لا توجد تحويلات خلال 24 ساعة
2. وجود بركة سيولة Uniswap V2
3. لا تتجاوز أحداث النقل 1000 مرة
4. آخر 5 معاملات شهدت سحب سيولة كبيرة أو عمليات بيع كبيرة

نتيجة الفحص: 46,526 عملة Rug Pull، تمثل 49.53%.

41,801 عملة ( 89.84% ) نشطت لأقل من 72 ساعة، 25,622 عملة ( 55.07% ) لأقل من 3 ساعات، مما يدل على كفاءة عالية في التنفيذ.

69.06% من خلال إزالة السيولة، 76.35% من خلال تنفيذ سحب السجاد عبر Uniswap Router.

إجمالي الربح 282,699.96 ETH، معدل الربحية 188.70%، ما يعادل حوالي 8 ملايين دولار.

تحليل عملة الشبكة الرئيسية للإيثيريوم

خلال نفس الفترة، تم إصدار 100,260 عملة على الشبكة الرئيسية، ونسبة تغطية مجموعة Telegram هي 89.99%.

شبكة رئيسية 48,265 عملة Rug Pull ، تشكل 48.14% ، متوافقة بشكل كبير مع بيانات الدفع الجماعي.

77.82٪ من الرموز المميزة لها عمر أقل من 72 ساعة ، وقد تكون هناك أشكال أخرى من الاحتيال غير المكتشفة.

تفكير واقتراحات

1. تعاني بيئة إيثريوم الحالية من مخاطر أمان خطيرة، وقد تكون حالة شبكات البلوكشين الأخرى أسوأ.

2. تحتاج إلى مزيد من البحث:

   • عدد عصابات Rug Pull والروابط
   • تمييز بين عنوان الضحية والمهاجم
   • كشف Rug Pull قبل الحدث/أثناء الحدث
   • استراتيجية تحقيق الأرباح للعصابات
   • قنوات الترويج الأخرى المحتملة

3. نصيحة للمستثمرين:

   • من الأفضل الشراء من خلال بورصات مركزية معروفة
   • تحقق من عنوان العقد الرسمي
   • تحقق من الموقع الرسمي للمشروع والمجتمع
   • تجنب شراء العملات التي تم إنشاؤها منذ أقل من 3 أيام
   • استخدام خدمات الفحص الأمني من طرف ثالث

دعوة

1. تعزز البورصة الرقابة، وتكافح السلوكيات الاحتيالية غير القانونية.

2. مزودي الخدمات من الأطراف الثالثة يعززون مراجعة المحتوى.

3. الضحية تستخدم أدوات الأمان بنشاط، وتكشف عن السلوك الإجرامي بشكل نشط.

4. يقوم المتخصصون في الأمن بالاكتشاف النشط ومواجهة الأفعال غير القانونية.

5. يجب على جميع الأطراف المشاركة في Web3 العمل معًا لإنشاء بيئة Blockchain أكثر أمانًا وشفافية.