Звіт про дослідження хаосу в екосистемі Web3 токенів

Вступ

У світі Web3 нові токени з'являються один за одним. Скільки нових токенів випускається щодня? Чи безпечні ці нові токени?

Ці запитання не безпідставні. Нещодавно команда безпеки зафіксувала велику кількість випадків Rug Pull, пов'язаних з новими токенами на ланцюгу. Глибше розслідування виявило, що за цими випадками стоять організовані злочинні угруповання, які мають характерні ознаки. Подальший аналіз показав, що ці угруповання можуть здійснювати шахрайську рекламу через функцію "відстеження нових токенів" у групах Telegram.

Статистика показує, що в період з листопада 2023 року по серпень 2024 року відповідні групи в Telegram надіслали 93,930 нових токенів, з яких 46,526 були пов'язані з Rug Pull, що становить 49.53%. Зловмисники, які стоять за цими токенами Rug Pull, інвестували 149,813.72 ETH, отримавши прибуток у 282,699.96 ETH з прибутковістю 188.7%, що еквівалентно приблизно 800 мільйонам доларів.

Для оцінки частки токенів, що розсилаються в групах Telegram, у мережі Ethereum, було статистично проаналізовано дані про нові токени, випущені в тій же мережі. Результати показали, що було випущено 100,260 нових токенів, з яких токени, що розсилаються в групах Telegram, становлять 89.99%. В середньому щодня з'являється близько 370 нових токенів, що значно перевищує розумні очікування. Глибше дослідження виявило, що щонайменше 48,265 токенів пов'язані з шахрайством Rug Pull, що становить 48.14%. Іншими словами, майже кожен другий новий токен у мережі Ethereum пов'язаний з шахрайством.

Крім того, в інших блокчейн-мережах також виявлено більше випадків Rug Pull. Це свідчить про те, що безпекова ситуація в новій екосистемі токенів Web3 є більш серйозною, ніж очікувалося. Цей звіт має на меті підвищити обізнаність спільноти Web3 щодо запобігання ризикам, закликаючи всіх залишатися насторожі, вживати необхідних запобіжних заходів для захисту активів.

Огляд токенів ERC-20

ERC-20 є одним з найпоширеніших стандартів токенів на блокчейні, який визначає набір норм, що дозволяють токенам взаємодіяти між різними смарт-контрактами та dApp. Він регулює основні функції токенів, такі як перекази, перевірка балансу, уповноваження третіх осіб на управління тощо. Цей стандарт спрощує створення та використання токенів. Будь-яка особа або організація може випускати токени на основі стандарту ERC-20 та залучати кошти для проекту через пре-продаж.

USDT, PEPE, DOGE та інші є ERC-20 Токенами, які можна придбати через децентралізовані біржі. Однак деякі шахрайські групи можуть випускати шкідливі ERC-20 Токени з бекдорами, розміщуючи їх на біржах, щоб спонукати користувачів до покупки.

Типові випадки шахрайства з Rug Pull Токенами

Rug Pull – це шахрайство, коли команда проекту раптово забирає кошти або abandons проект, що призводить до величезних втрат для інвесторів. Rug Pull Токен спеціально випускається для здійснення такого шахрайства.

Аналіз випадків

Зловмисники використовують адресу Deployer для розгортання токена TOMMI, створюють ліквідність, а потім купують за допомогою інших адрес, щоб підробити обсяг торгівлі. Коли бот для первинного розміщення акцій попадається в пастку, зловмисник виконує Rug Pull, обмінюючи ETH з ліквідності. Контракт токена TOMMI заздалегідь надав Rug Puller дозвіл на ліквідність, що дозволяє безпосередньо виводити токени з пулу для Rug Pull.

Процес Rug Pull

1. Підготувати фінансування атаки: поповнити Deployer ETH з біржі.

2. Розгортання токену з бекдором: створення токену TOMMI, попереднє видобування 100 мільйонів.

3. Створення початкового ліквідного пулу: використати 1.5 ETH та всі токени для створення пулу.

4. Знищення попередньо видобутих Токенів: знищення LP монет, що, здавалося б, позбавляє можливості Rug Pull.

5. Підробка обсягу торгівлі: купівля токенів TOMMI з кількох адрес.

6. Виконання Rug Pull: Виведення великої кількості токенів з ліквідного пулу та обвалення ціни для отримання готівки.

7. Переведення коштів: надішліть прибуток на проміжну адресу.

8. Збір коштів: адреса проміжного переказу надсилає кошти на адресу зберігання.

Аналіз задніх дверей коду

Контракт TOMMI Токен має бекдор у функції openTrading, що дозволяє під час створення ліквідного пулу надати пулу право на схвалення передачі Токенів на адресу Rug Puller, що дозволяє безпосередньо виводити Токени з пулу.

Ознаки злочину

1. Deployer отримує кошти з біржі
2. Створення ліквідності та знищення токенів LP
3. Rug Puller використовує велику кількість токенів для обміну на ETH в пулі
4. Перемістіть прибуток на адресу зберігання коштів

Ці характеристики широко присутні в кількох випадках, що вказує на те, що поведінка Rug Pull має високу ступінь стандартизації і, можливо, пов'язана з однією і тією ж групою шахраїв.

Аналіз злочинної групи, що займається Rug Pull

Адреса зберігання коштів

Аналіз показав, що є 7 високоефективних адрес для зберігання коштів, пов'язаних з 1 124 випадками Rug Pull. Ці адреси використовують накопичені кошти для нових Rug Pull, а частина з них виводиться через біржі.

Статистика показує, що загальна вартість цих адрес становить 149,813.72 ETH, загальний дохід 432,513.68 ETH, прибуток 282,699.96 ETH( приблизно 8 мільярдів доларів), середня рентабельність 188.7%.

Зв'язок між адресами збереження коштів

Аналізуючи рух коштів, можна розділити 7 адрес на 3 групи:

1. 0xDF1a і 0xDEd0
2. 0x1607 та 0x4856
3. 0x2836, 0x0573, 0xF653 та 0x7dd9

У колекції існує прямий переказ, а між колекціями немає прямого переказу. Але всі вони розподіляють кошти через однакові базові інфраструктурні контракти, що вказує на можливу приналежність до однієї групи.

Аналіз спільної інфраструктури

Основні спільні адреси інфраструктури: 0x1d39 та 0x6348.

0x1d39 основні функції:

• multiSendETH: розподіл переказу
• 0x7a860e7e:Купити токен Rug Pull

Функція 0x6348 подібна, ім'я функції покупки - 0x3f8a436c.

Статистика показує, що невелика кількість адрес використовується для розподілу коштів, а велика кількість адрес для підробки транзакцій. Адреси збереження коштів через інфраструктуру загалом розподілили 3,616 разів, на суму 9,369.98 ETH.

Джерело фінансування злочину

Аналіз 1,124 випадків, 95.11% коштів Deployer походять з гарячих гаманців бірж. Група одночасно використовує кілька бірж, щоб ускладнити відстеження.

Ці характеристики свідчать про те, що банда Rug Pull організована чітко, має чітке розподіл обов'язків та професійно здійснює злочини.

Аналіз каналів просування

Основні канали просування: Twitter та групи в Telegram.

Група підтримується командою онлайн-стріляльників або професійною командою з випуску нових Токенів, яка спеціалізується на просуванні нових Токенів, стаючи природним рекламним каналом для Rug Pull банд.

Реклама в Twitter

Використання сторонніх послуг (, таких як Dexed.com ), для передачі інформації про нові монети.

Реклама групи Telegram

Як група Banana Gun, надсилає нові Токени і надає зручний вхід для покупки. Ручна перевірка виявила великий відсоток Токенів Rug Pull.

Аналіз екосистеми токенів Ethereum

Пуш-повідомлення аналізу Токена групи Telegram

Протягом періоду з жовтня 2023 року по серпень 2024 року група надіслала 93 930 Токенів.

Використовуйте такі правила для виявлення Rug Pull Токенів:

1. Протягом 24 годин без переказів
2. Існує ліквідний пул Uniswap V2
3. Загальна кількість подій Transfer не перевищує 1000 разів
4. Останні 5 угод мають великі суми ліквідності, що виводяться або розпродаються.

Результати перевірки: 46,526 Rug Pull Токенів, що становить 49.53%.

41,801 Токенів (89.84%) активний час менше 72 годин, 25,622 Токенів (55.07%) менше 3 годин, що свідчить про надзвичайну ефективність злочинів.

69.06% через вилучення ліквідності, 76.35% через виконання Rug Pull за допомогою Uniswap Router.

Загальний прибуток 282,699.96 ETH, рентабельність 188.70%, приблизно 800 мільйонів доларів.

Аналіз токенів основної мережі Ethereum

в той же час було випущено 100,260 Токенів на основній мережі, охоплення групи Telegram становить 89.99%.

Основна мережа Rug Pull Токенів 48,265 штук, що становить 48.14%, що сильно узгоджується з даними, надісланими групою.

77.82% Токен життя менше 72 годин, можуть існувати інші не виявлені форми шахрайства.

Роздуми та пропозиції

1. В даний час в екосистемі Ethereum існують серйозні проблеми з безпекою, ситуація в інших блокчейн-мережах може бути ще гіршою.

2. Потрібно подальше дослідження:

   • Кількість груп Раг Пул та їх зв'язки
   • Розрізнення адреси жертви та адреси атакуючого
   • Попереднє/поточне виявлення Rug Pull
   • Стратегія отримання прибутку бандою
   • Інші можливі канали просування

3. Рекомендації для інвесторів:

   • Перевага надається купівлі через відомі централізовані біржі
   • Перевірте офіційну адресу контракту
   • Перевірте офіційний сайт проекту та спільноту
   • Уникайте покупки токенів, створених менше ніж 3 дні тому
   • Використання послуг безпечного сканування сторонніх постачальників

Заклик

1. Біржі посилюють нагляд, борються з незаконною шахрайською діяльністю.

2. Постачальники послуг третьої сторони посилюють перевірку контенту.

3. Жертви активно використовують інструменти безпеки, активно повідомляють про злочинні дії.

4. Професіонали безпеки активно виявляють і протистоять незаконній діяльності.

5. Усі учасники Web3 спільно працюють над створенням більш безпечного та прозорого середовища для блокчейн.