Web3 Token Ecossistema Relatório de Investigação

Introdução

No mundo Web3, novos Tokens surgem a cada momento. Quantos novos Tokens são emitidos diariamente? Esses novos Tokens são seguros?

Estas dúvidas não são infundadas. Recentemente, a equipe de segurança capturou uma grande quantidade de casos de Rug Pull envolvendo novos Tokens que foram lançados na cadeia. Uma investigação mais aprofundada revelou que por trás desses casos existem quadrilhas organizadas e que apresentam características padronizadas. Uma análise adicional revelou que esses grupos podem estar a promover fraudes através da funcionalidade "rastreamento de novos Tokens" em grupos do Telegram.

Estatísticas mostram que, entre novembro de 2023 e agosto de 2024, grupos relevantes no Telegram enviaram um total de 93.930 novos Tokens, dos quais 46.526 estavam envolvidos em Rug Pull, representando 49,53%. Os grupos por trás desses Tokens de Rug Pull investiram um custo de 149.813,72 ETH, obtendo um retorno de 188,7%, lucrando 282.699,96 ETH, equivalente a cerca de 800 milhões de dólares.

Para avaliar a proporção de tokens promovidos por grupos do Telegram na mainnet Ethereum, foram coletados dados sobre novos tokens emitidos na mainnet Ethereum durante o mesmo período. Os resultados mostram que foram emitidos um total de 100.260 novos tokens, dos quais os tokens promovidos por grupos do Telegram representam 89,99%. Em média, cerca de 370 novos tokens surgem diariamente, superando amplamente as expectativas razoáveis. Uma investigação mais aprofundada revelou que pelo menos 48.265 tokens estão envolvidos em fraudes do tipo Rug Pull, representando 48,14%. Em outras palavras, praticamente um em cada dois novos tokens na mainnet Ethereum está envolvido em fraudes.

Além disso, mais casos de Rug Pull foram encontrados em outras redes de blockchain. Isso indica que a situação de segurança do novo ecossistema de tokens no Web3 é mais severa do que o esperado. Este relatório tem como objetivo aumentar a conscientização da comunidade Web3 sobre a prevenção, apelando a todas as partes para que permaneçam vigilantes, adotem as medidas preventivas necessárias e protejam a segurança dos ativos.

Introdução aos Tokens ERC-20

ERC-20 é um dos padrões de Token mais comuns em blockchain, definindo um conjunto de normas que permite a interoperação de Tokens entre diferentes contratos inteligentes e dApps. Ele estabelece as funções básicas do Token, como transferências, consulta de saldo, autorização de terceiros para gestão, entre outros. Este padrão simplifica a criação e o uso de Tokens. Qualquer indivíduo ou organização pode emitir Tokens com base no padrão ERC-20 e arrecadar fundos para o projeto através de pré-vendas.

USDT, PEPE, DOGE e outros pertencem a tokens ERC-20, que podem ser comprados através de trocas descentralizadas. No entanto, certos grupos de fraude podem emitir tokens ERC-20 maliciosos com backdoors, listando-os em exchanges para induzir os usuários a comprá-los.

Rug Pull Token típico de casos de fraude

Rug Pull refere-se a uma ação fraudulenta em que a equipe do projeto retira repentinamente os fundos ou abandona o projeto, causando enormes perdas aos investidores. O Token Rug Pull é emitido especificamente para realizar esse tipo de golpe.

Análise de Caso

Os atacantes utilizaram o endereço Deployer para implantar o Token TOMMI, criar um pool de liquidez e comprar através de outros endereços para falsificar o volume de transações. Quando o bot de lançamento inicial cai na armadilha, os atacantes executam o Rug Pull, trocando ETH do pool de liquidez. O contrato do Token TOMMI concedeu previamente ao Rug Puller a permissão de aprovar o pool de liquidez, permitindo que ele retirasse diretamente tokens do pool para realizar o Rug Pull.

processo de Rug Pull

1. Preparar fundos para ataque: recarregar ETH do exchange para o Deployer.

2. Implantar Token com backdoor: criar Token TOMMI, pré-minerar 100 milhões.

3. Criar um pool de liquidez inicial: usar 1.5 ETH e todos os Tokens para criar o pool.

4. Queima de Token pré-minerado: queimar Token LP, parece perder a capacidade de Rug Pull.

5. Volume de transações falsificado: comprar Token TOMMI com vários endereços.

6. Execução de Rug Pull: retirar uma grande quantidade de Token do pool de liquidez e fazer dump para realizar lucro.

7. Transferir fundos: Enviar os lucros para o endereço de transição.

8. Agrupamento de fundos: O endereço de transferência enviará os fundos para o endereço de retenção.

Análise de backdoor de código

O contrato do Token TOMMI deixa uma porta dos fundos na função openTrading, permitindo que, ao criar um pool de liquidez, o pool aprove a transferência de moedas para o endereço Rug Puller, permitindo que ele retire diretamente os tokens do pool.

características do crime

1. Deployer obtém fundos da bolsa
2. Criar um pool de liquidez e destruir os tokens LP
3. Rug Puller usa uma grande quantidade de Token para trocar ETH na pool.
4. Transferir os lucros para o endereço de retenção de fundos

Essas características estão amplamente presentes em vários casos, indicando que o comportamento de Rug Pull é altamente padronizado e pode envolver o mesmo grupo de golpistas.

Análise dos Grupos de Crime de Rug Pull

endereço de retenção de fundos

A análise revelou 7 endereços de retenção de fundos altamente ativos, associados a 1.124 casos de Rug Pull. Esses endereços dividem os fundos depositados para novos Rug Pulls, enquanto uma pequena parte é convertida em dinheiro através de exchanges.

Estatísticas mostram que esses endereços tiveram um custo total de 149.813,72 ETH, uma receita total de 432.513,68 ETH, um lucro de 282.699,96 ETH( cerca de 8 milhões de dólares), uma taxa de retorno média de 188,7%.

Endereço de retenção de fundos associado

Através da análise do fluxo de fundos, é possível dividir 7 endereços em 3 conjuntos:

1. 0xDF1a e 0xDEd0
2. 0x1607 e 0x4856
3. 0x2836、0x0573、0xF653和0x7dd9

Existem transferências diretas dentro do conjunto, mas não há transferências diretas entre os conjuntos. No entanto, todos eles dividem fundos através do mesmo contrato de infraestrutura, indicando que podem pertencer ao mesmo grupo.

Análise de Infraestruturas Comuns

Principalmente compartilha dois endereços de infraestrutura: 0x1d39 e 0x6348.

0x1d39 principais funções:

• multiSendETH: dividir transferência
• 0x7a860e7e: Comprar Token Rug Pull

A função 0x6348 é semelhante, o nome da função de compra é 0x3f8a436c.

Estatísticas mostram que um pequeno número de endereços é usado para dividir fundos, enquanto um grande número de endereços é utilizado para criar transações falsas. Os endereços de retenção de fundos dividiram-se um total de 3.616 vezes através da infraestrutura, totalizando 9.369,98 ETH.

origem dos fundos para o crime

Analisando 1.124 casos, 95,11% dos fundos dos Deployers vêm de carteiras quentes de exchanges. O grupo utiliza várias exchanges ao mesmo tempo para aumentar a dificuldade de rastreamento.

Essas características mostram que o grupo Rug Pull é bem organizado, com divisão de tarefas clara e atuação profissional.

Análise de Canais de Promoção

Principais canais de promoção: Twitter e grupos do Telegram.

Os grupos são mantidos por equipes de robôs de sniping on-chain ou equipes profissionais de lançamento de novos tokens, dedicados a promover novos tokens, tornando-se um canal publicitário natural para gangues de Rug Pull.

anúncios do Twitter

Utilize serviços de terceiros ( como Dexed.com ) para enviar informações sobre novas moedas.

Anúncio do grupo Telegram

Como o grupo Banana Gun, que promove novos Tokens e fornece uma entrada de compra conveniente. Inspeções aleatórias revelaram que uma grande proporção são Tokens Rug Pull.

Análise do ecossistema de Token da Ethereum

Análise de Token do grupo Telegram

Durante o período de outubro de 2023 a agosto de 2024, o grupo enviou um total de 93.930 Tokens.

Utilize as seguintes regras para detetar Tokens Rug Pull:

1. Sem transferência nas últimas 24 horas
2. Existe um pool de liquidez Uniswap V2
3. O evento de Transfer total não deve exceder 1000 vezes
4. As últimas 5 transações tiveram grandes retiradas de liquidez ou vendas em massa.

Resultado da verificação: 46.526 Tokens Rug Pull, representando 49,53%.

41,801 ( 89.84% ) com tempo ativo inferior a 72 horas, 25,622 ( 55.07% ) inferior a 3 horas, mostrando uma eficiência de crime extremamente alta.

69,06% através da remoção de liquidez, 76,35% através da execução de Rug Pull no Uniswap Router.

Lucro total de 282.699,96 ETH, taxa de lucro de 188,70%, equivalente a cerca de 800 milhões de dólares.

Análise de Token da rede principal Ethereum

No mesmo período, foram emitidos 100.260 Token na mainnet, com uma taxa de cobertura do grupo Telegram de 89,99%.

Mainnet Rug Pull Token 48,265, representa 48,14%, em alta concordância com os dados enviados pelo grupo.

77.82% do ciclo de vida do Token é inferior a 72 horas, podendo haver outras formas de fraude não detectadas.

Pensamentos e Sugestões

1. Atualmente, o ecossistema Ethereum apresenta sérias vulnerabilidades de segurança, e a situação em outras redes de blockchain pode ser ainda pior.

2. Necessita de mais investigação:

   • Número de grupos de Rug Pull e associações
   • Distinção entre endereço do vítima e do atacante
   • Detecção de Rug Pull antes/durante
   • Estratégia de lucros do grupo
   • Outros canais de promoção possíveis

3. Sugestões para investidores:

   • Priorize comprar através de exchanges centralizadas conhecidas
   • Verificar o endereço do contrato oficial
   • Verifique o site oficial do projeto e a comunidade
   • Evite comprar Tokens com menos de 3 dias de criação
   • Utilizar serviços de verificação de segurança de terceiros

Apelo

1. A bolsa de valores reforça a regulamentação e combate ações fraudulentas ilegais.

2. Os prestadores de serviços terceiros reforçam a revisão de conteúdo.

3. As vítimas usam ativamente ferramentas de segurança e divulgam proativamente comportamentos criminosos.

4. Profissionais de segurança devem identificar e combater ativamente comportamentos ilegais.

5. Todas as partes envolvidas no Web3 devem trabalhar juntas para criar um ambiente de blockchain mais seguro e transparente.