المخاطر المحتملة في عالم Web3: تحليل عميق لفوضى نظام عملة إثيريوم

في عالم Web3 ، تظهر عملات جديدة باستمرار. هل فكرت يومًا في عدد العملات الجديدة التي يتم إصدارها كل يوم؟ هل هذه العملات الجديدة آمنة حقًا؟

هذه التساؤلات ليست بلا هدف. في الأشهر القليلة الماضية، تمكن فريق الأمان من رصد عدد كبير من حالات الاحتيال المتعلقة بعملة جديدة تم طرحها على السلسلة. وكشفت التحقيقات الإضافية عن وجود عصابات إجرامية منظمة وراء هذه الحالات، وقد أظهرت سمات نمطية.

بعد تحليل عميق، تم اكتشاف أن هذه العصابات قد تقوم بالترويج لعمليات الاحتيال من خلال مجموعات Telegram. إنهم يستفيدون من ميزة "New Token Tracer" في المجموعة لجذب المستخدمين لشراء العملات الاحتيالية، وفي النهاية يحققون الأرباح من خلال Rug Pull.

وفقًا للإحصاءات، من نوفمبر 2023 إلى أوائل أغسطس 2024، قامت هذه المجموعات على تيليجرام بدفع 93,930 نوعًا من العملات الجديدة، من بينها 46,526 نوعًا من العملات التي تتعلق بRug Pull، مما يمثل 49.53%. كانت التكلفة الإجمالية التي استثمرتها عصابات هذه العملات التي تتعلق بRug Pull 149,813.72 ايثر، مع تحقيق أرباح بنسبة 188.7% تصل إلى 282,699.96 ايثر، ما يعادل حوالي 800 مليون دولار.

لتقييم نسبة عملات التوكن التي يتم دفعها من خلال مجموعات Telegram في شبكة إثيريوم الرئيسية، تظهر الإحصاءات أن شبكة إثيريوم الرئيسية أصدرت 100,260 نوعًا جديدًا من العملات في نفس الفترة، حيث تشكل العملات المدفوعة من مجموعات Telegram نسبة 89.99%. يولد حوالي 370 نوعًا جديدًا من العملات يوميًا، وهو ما يتجاوز التوقعات المعقولة. وما يثير القلق أكثر هو أن 48,265 نوعًا على الأقل من العملات مرتبطة بعمليات احتيال من نوع Rug Pull، مما يشكل نسبة مرتفعة تصل إلى 48.14%. بمعنى آخر، فإن واحدًا من كل عملتين جديدتين على شبكة إثيريوم الرئيسية مرتبط بالاحتيال.

علاوة على ذلك، تم اكتشاف المزيد من حالات سحب السجادة في شبكات بلوكتشين الأخرى. وهذا يعني أن حالة أمان النظام البيئي للعملات الجديدة في Web3 أكثر خطورة مما كان متوقعًا. لذلك، نأمل أن يساعد هذا التقرير أعضاء Web3 في تعزيز الوعي الوقائي، والبقاء في حالة تأهب، واتخاذ تدابير وقائية في الوقت المناسب لحماية أمان الأصول.

مقدمة عن عملة ERC-20

ERC-20 هو أحد أكثر معايير العملات شيوعًا على البلوكشين، حيث يحدد مجموعة من القواعد التي تتيح للعملات التفاعل بين عقود ذكية وتطبيقات لامركزية مختلفة. إنه يحدد الوظائف الأساسية للعملة، مثل التحويل، استعلام الرصيد، وتفويض إدارة طرف ثالث. هذا البروتوكول الموحد يبسط إنشاء واستخدام العملات. في الواقع، يمكن لأي شخص إصدار عملة بناءً على معيار ERC-20 لجمع الأموال لبدء مشاريع مالية متنوعة.

العملات الشائعة مثل USDT و PEPE و DOGE هي جميعها عملات ERC-20، يمكن شراؤها من خلال البورصات اللامركزية. ومع ذلك، قد تقوم بعض عصابات الاحتيال أيضًا بإصدار عملات ERC-20 خبيثة تحتوي على أبواب خلفية، وطرحها في البورصات، لاستدراج المستخدمين للشراء.

حالات الاحتيال النموذجية لعملة Rug Pull

فيما يلي حالة من حالات الاحتيال على عملة Rug Pull، تعرض بعمق نمط عمل الاحتيال بالعملات الخبيثة. يشير Rug Pull إلى تصرف احتيالي حيث يقوم فريق المشروع بسحب الأموال فجأة أو التخلي عن المشروع، مما يؤدي إلى تكبد المستثمرين خسائر ضخمة. عملة Rug Pull هي عملة تم إصدارها خصيصًا لتنفيذ هذا النوع من الاحتيال.

حالة

قام المهاجم بنشر عملة TOMMI باستخدام عنوان Deployer، ثم أنشأ حوض سيولة باستخدام 1.5 من ايثر و100 مليون من عملة TOMMI، وشراء عملة TOMMI بنشاط من عناوين أخرى لتزوير حجم التداول، لجذب المستخدمين وروبوتات الإدراج الجديدة. عندما يقع عدد معين من روبوتات الإدراج الجديدة في الفخ، يقوم المهاجم بتنفيذ سحب السجادة باستخدام عنوان Rug Puller، ويقوم بضخ 3874 مليون عملة TOMMI في حوض السيولة، واسترداد حوالي 3.95 من ايثر. تأتي عملات Rug Puller من تفويض الموافقة الخبيثة لعقد عملة TOMMI، مما يسمح لها بسحب عملة TOMMI مباشرة من حوض السيولة لتنفيذ سحب السجادة.

عملية سحب السجادة

1. إعداد أموال الهجوم: يقوم المهاجم بشحن 2.47 إثيريوم إلى Deployer من خلال البورصة كأموال بداية.

2. نشر عملة Rug Pull مع خلفية: يقوم المطور بإنشاء عملة TOMMI، ويحفر مسبقًا 100 مليون عملة ويخصصها لنفسه.

3. إنشاء حوض السيولة الأولي: يقوم Deployer بإنشاء حوض السيولة باستخدام 1.5 ايثر وجميع العملات التي تم استخراجها مسبقًا، للحصول على حوالي 0.387 من رموز LP.

4. تدمير جميع إمدادات العملة المستخرجة مسبقًا: يقوم Deployer بإرسال جميع عملات LP إلى عنوان 0 للتدمير، وبالتالي فقدت نظريًا القدرة على سحب الأموال. هذا للتمويه على برنامج مكافحة الاحتيال لروبوتات الاكتتاب.

5. حجم المعاملات المزيف: يقوم المهاجمون بشراء عملة TOMMI بنشاط من عدة عناوين، مما يؤدي إلى رفع حجم المعاملات في البركة، وجذب الروبوتات الجديدة للدخول.

6. تنفيذ سحب السجادة: يقوم ساحب السجادة بسحب 38740000 عملة مباشرة من بركة السيولة من خلال ثغرة العملة، ثم يستخدم هذه العملة لضرب البركة، مستخلصاً حوالي 3.95 ايثر.

7. تحويل أموال الأرباح: يقوم المهاجم بإرسال الأموال التي حصل عليها من Rug Pull إلى عنوان وسيط.

8. تجميع الأموال: ستقوم عنوان الترانزيت بإرسال الأموال إلى عنوان الاحتفاظ بالأموال. سيقوم عنوان الاحتفاظ بالأموال بتقسيم معظم الأموال لبدء جولة جديدة من Rug Pull، وسحب كمية صغيرة من الأموال من خلال تبادل.

كود ثغرة سحب السجاد

ترك المهاجمون باب خلفي ضار في دالة openTrading لعقد TOMMI عملة، مما يسمح للمسبح بالموافقة على نقل عملة إلى عنوان Rug Puller عند إنشاء حوض السيولة، مما يمكّن Rug Puller من سحب العملة مباشرة من الحوض.

نمط خاص لأسلوب الجريمة

1. يقوم Deployer بالحصول على الأموال من البورصة
2. يقوم Deployer بإنشاء بركة السيولة وإتلاف عملات LP
3. يقوم Rug Puller بتبادل كميات كبيرة من عملة في بركة ETH
4. سيقوم ساحب البساط بنقل الـ ETH الذي حصل عليه إلى عنوان احتفاظ الأموال

توجد هذه الميزات بشكل شائع في الحالات الملتقطة، مما يشير إلى أن سلوك سحب السجادة نمطي للغاية. يتم جمع الأموال في النهاية إلى عنوان الاحتفاظ بالأموال، مما يوحي بأن هذه الحالات قد تتضمن نفس العصابة الإجرامية.

تحليل عصابة سحب السجادة

عنوان الاحتفاظ بالأموال للتنقيب

تم التعرف على 7 عناوين نشطة للغاية للاحتفاظ بالأموال، مرتبطة بـ 1124 حالة من حالات سحب البساط. ستقوم هذه العناوين بتقسيم الأموال المودعة لاستخدامها في سحب بساط جديد، مع تحويل جزء صغير منها إلى نقد من خلال البورصات.

تشير الإحصائيات إلى أن هذه العناوين استثمرت إجمالي 149,813.72 ايثر، وجنت أرباحًا قدرها 282,699.96 ايثر، مما أدى إلى هامش ربح بلغ 188.7%. ومن بين هذه العناوين، حقق العنوان الذي حقق أعلى نسبة ربح أرباحًا قدرها 2,668.17 ايثر، وهو ما يمثل 27.7% من إجمالي الأرباح.

على الرغم من تجميع الأموال في عناوين مختلفة، إلا أن هناك العديد من القواسم المشتركة بين الحالات، مما يثير الشك في أن هذه الحالات تنتمي إلى نفس العصابة. وأظهر التحليل الإضافي وجود علاقة تدفق الأموال بين هذه العناوين، والتي يمكن تقسيمها إلى 3 مجموعات من العناوين، لكنها جميعًا تستخدم نفس عقود البنية التحتية لتقسيم ETH من أجل Rug Pull، مما يشير إلى أنها قد تنتمي إلى نفس العصابة.

تحليل البنية التحتية المشتركة

عنوانان رئيسيان للبنية التحتية: 0x1d39 و 0x6348.

0x1d39 الوظائف الرئيسية:

• multiSendETH: تقسيم التحويلات، يستخدم لتزوير حجم المعاملات
• 0x7a860e7e:شراء عملة Rug Pull

0x6348 وظيفته مشابهة، اسم دالة الشراء هو 0x3f8a436c.

تظهر الإحصائيات أن عددًا قليلاً من العناوين تُستخدم لتقسيم الأموال، بينما تُستخدم عدد كبير من العناوين لتزوير حجم المعاملات. قامت 7 عناوين للاحتفاظ بالأموال بتقسيم 3,616 مرة من الأموال من خلال البنية التحتية، بإجمالي 9,369.98 ايثر.

تحليل مصدر تمويل الجريمة

في 1124 حالة، جاء 1069 من ( بنسبة 95.11% من أموال Deployer من المحفظة الساخنة للبورصات. استخدمت العصابة عدة محافظ ساخنة من البورصات في نفس الوقت لزيادة صعوبة التتبع.

![تحقيق عميق في حالات سحب السجادة، كشف الفوضى في نظام عملة إثيريوم])https://img-cdn.gateio.im/webp-social/moments-a9035d9c0e7c78a4ea6716b18f7f03d0.webp(

تحليل بيئة عملة إثيريوم

) تحليل عملة دفع مجموعة تيليجرام

خلال الفترة من أكتوبر 2023 إلى أغسطس 2024، قامت المجموعات ذات الصلة بإرسال 93,930 عملة.

بعد تطبيق قواعد الكشف عن عمليات سحب البساط:

• 46,526 عملة Rug Pull, نسبة 49.53%
• 41,801 نشط خلال أقل من 72 ساعة، تمثل 89.84%
• 25,622 وقت نشط <3 ساعات، تمثل 55.07%

طرق تحويل النقود:

• 69.06% من خلال إزالة السيولة
• 30.94% من خلال التلاعب بالسوق

طريقة استدعاء العقد:

• 76.35% عبر جهاز توجيه Uniswap
• 23.65% من خلال إنشاء عقد هجوم

![تحقيق عميق في حالات سحب البساط، يكشف عن فوضى نظام عملات إثيريوم]###https://img-cdn.gateio.im/webp-social/moments-613e9c2c161026bc3f6b1f455adf3357.webp(

) تحليل إصدار عملة على شبكة إثيريوم الرئيسية

خلال نفس الفترة، تم إصدار 100,260 عملة ### دون احتساب عملات LP (.

نتائج كشف سحب السجادة:

• 48,265 رمز سحب البساط ، 48.14٪

دفع مجموعة تيليجرام مقارنة بين عملة الرموز وعملة الشبكة الرئيسية:

• تقاطع 90,228، تمثل 89.99% من الشبكة الرئيسية
• تلغرام 3,703 إضافية كعملة لعقد الوكالة
• الشبكة الرئيسية بها 10,032 إضافية قد تتعرض للتصفية بواسطة المجموعات

عملة生命周期 تحليل:

• 78,018 عملة<72 ساعة,占77.82%
• 22,242>72 ساعة

![تحقيق عميق في حالات Rug Pull، وكشف الفوضى في نظام عملات إثيريوم])https://img-cdn.gateio.im/webp-social/moments-59173185a407e2efb578e0dc593d4765.webp(

نصائح للسلامة

1. يُفضل شراء عملة جديدة من خلال بورصات مركزية معروفة
2. تحقق من عنوان العملة الرسمي
3. تأكيد أن المشروع لديه موقع رسمي ومجتمع نشط
4. تجنب شراء العملات التي تم إنشاؤها منذ أقل من 3 أيام
5. استخدام خدمة المسح الأمني التابعة لجهات خارجية

دعوة

1. تقوم البورصات بتعزيز رقابة تدفقات الأموال الخبيثة
2. تعزيز مراجعة الأمان من قبل مقدمي الخدمة الطرف الثالث
3. يقوم المستثمرون باستخدام أدوات الأمان والكشف بشكل نشط عن الأنشطة الإجرامية
4. تعمل الجهات الفاعلة في مجال الأمن على اكتشاف ومواجهة الأنشطة غير القانونية بشكل نشط
5. جميع المشاركين يحافظون على أمان بيئة Web3

![تحقيق متعمق في حالات سحب البساط، يكشف الفوضى في نظام عملات إثيريوم])https://img-cdn.gateio.im/webp-social/moments-5a69d488a5518db2e6d868a6f31d16d2.webp(