Потенційні ризики світу Web3: глибокий аналіз хаосу екосистеми токенів Ethereum

У світі Web3 нові токени з'являються один за одним. Чи задумувалися ви, скільки нових токенів випускається щодня? Чи дійсно ці нові токени безпечні?

Ці питання не безпідставні. За останні кілька місяців команда безпеки зафіксувала велику кількість випадків Rug Pull, пов'язаних з новими токенами, які з'явилися на ланцюгу. Подальше розслідування виявило, що за цими випадками стоять організовані злочинні групи, і вони мають упізнавані риси.

Глибокий аналіз показав, що ці угруповання можуть використовувати групи Telegram для просування шахрайства. Вони використовують функцію "New Token Tracer" у групах, щоб залучити користувачів купувати шахрайські Токени, а в кінцевому підсумку отримують прибуток через Rug Pull.

Згідно з статистикою, з листопада 2023 року по початок серпня 2024 року ці Telegram-групи загалом просунули 93,930 нових токенів, серед яких кількість токенів, пов’язаних із Rug Pull, досягла 46,526, що становить 49.53%. Загальні витрати банд, що стоять за цими токенами Rug Pull, склали 149,813.72 ETH, отримавши прибуток у 282,699.96 ETH з прибутковістю 188.7%, що еквівалентно приблизно 800 мільйонам доларів.

Для оцінки частки токенів, що надсилаються через групи Telegram, в основній мережі Ethereum, статистика показує, що за той самий період в основній мережі Ethereum було випущено 100,260 нових токенів, з яких токени, що надсилаються через групи Telegram, становлять 89.99%. Середньо щодня виникає близько 370 нових токенів, що значно перевищує розумні очікування. Ще більш тривожно, що принаймні 48,265 токенів пов'язані зі схемами Rug Pull, що становить 48.14%. Іншими словами, майже кожен другий новий токен в основній мережі Ethereum пов'язаний з шахрайством.

Крім того, в інших блокчейн-мережах було виявлено більше випадків Rug Pull. Це означає, що безпекова ситуація в новій екосистемі токенів Web3 є більш серйозною, ніж очікувалося. Тому сподіваємося, що цей звіт допоможе членам Web3 підвищити обізнаність про ризики, залишатися на чеку та вчасно вжити заходів для захисту безпеки активів.

Огляд токенів ERC-20

ERC-20 є одним з найпоширеніших стандартів токенів на блокчейні, який визначає набір норм, що дозволяють токенам взаємодіяти між різними смарт-контрактами та децентралізованими застосунками. Він визначає основні функції токенів, такі як перекази, перевірка балансу, уповноваження третіх сторін на управління тощо. Цей стандартизований протокол спрощує створення та використання токенів. Насправді, будь-хто може випустити токени на основі стандарту ERC-20 для збору стартового капіталу для різних фінансових проектів.

Звичайні USDT, PEPE, DOGE належать до токенів ERC-20, їх можна купити через децентралізовані біржі. Однак деякі шахрайські групи також можуть випускати шкідливі токени ERC-20 з бекдорами, розміщуючи їх на біржах, щоб спонукати користувачів до покупки.

Типові випадки шахрайства з токенами Rug Pull

Наступне - це приклад шахрайства з токеном Rug Pull, який детально демонструє механізм роботи зловмисних токенів. Rug Pull означає шахрайство, коли команда проекту раптово вилучає кошти або відмовляється від проекту, що призводить до величезних втрат для інвесторів. Токени Rug Pull - це токени, випущені спеціально для здійснення такого шахрайства.

випадок

Зловмисник використовує адресу Deployer для розгортання токена TOMMI, а потім створює ліквідність пулу з 1,5 ETH та 100 мільйонами токенів TOMMI, і активно купує токени TOMMI з інших адрес, щоб підробити обсяги торгівлі, залучаючи користувачів та боти для нових токенів. Коли певна кількість ботів для нових токенів попадає в пастку, зловмисник використовує адресу Rug Puller для виконання Rug Pull, скидаючи 38,74 мільйона токенів TOMMI в ліквідність пулу, обмінюючи їх на приблизно 3,95 ETH. Токени Rug Puller походять з зловмисного затвердження в контракті токена TOMMI, що дозволяє їм безпосередньо виводити токени TOMMI з ліквідність пулу для виконання Rug Pull.

Процес Rug Pull

1. Підготовка атакуючих коштів: зловмисник поповнює рахунок Deployer на 2,47 Етер через біржу як стартовий капітал.

2. Розгортання токена Rug Pull з бекдором: Deployer створює токен TOMMI, попередньо видобуває 100 мільйонів токенів і розподіляє їх собі.

3. Створення початкового ліквідного пулу: Deployer використовує 1.5 ETH та всі попередньо видобуті токени для створення ліквідного пулу, отримуючи приблизно 0.387 LP токенів.

4. Знищення всієї попередньо видобутої кількості Токенів: Deployer відправляє всі LP токени на адресу 0 для знищення, теоретично втрачаючи можливість Rug Pull. Це робиться для обману антипіратських програм для нових токенів.

5. Фальшивий обсяг торгівлі: зловмисник активно купує токени TOMMI з кількох адрес, штучно підвищуючи обсяг торгівлі в пулі, що додатково приваблює новачків-роботів до участі.

6. Виконання Rug Pull: Rug Puller безпосередньо через задній хід токена вивів 38740000 токенів з ліквідностного пулу, а потім використав ці токени, щоб знищити пул, витягнувши близько 3.95 Етер.

7. Переміщення отриманих коштів: зловмисник відправляє кошти, отримані внаслідок Rug Pull, на проміжну адресу.

8. Збір коштів: адреса проміжного переказу надсилає кошти до адреси зберігання коштів. Адреса зберігання коштів розділить більшість коштів, щоб розпочати новий етап Rug Pull, а невелику кількість коштів виведе через біржу.

Код заднього ходу Rug Pull

Зловмисники залишили шкідливий бекдор approve в функції openTrading контракту TOMMI Токен, що дозволяє при створенні ліквідності пулу надати пулу адресу Rug Puller для схвалення переказу токенів, що дозволяє Rug Puller безпосередньо виводити токени з пулу.

Моделізовані риси злочинної діяльності

1. Deployer отримує кошти через біржу
2. Deployer створює ліквідність пул і знищує LP Токен
3. Rug Puller використовує велику кількість Токенів для обміну на ETH у пулі
4. Rug Puller перенесе отриманий ETH на адресу зберігання коштів

Ці характеристики широко присутні в захоплених випадках, що свідчить про високу модульованість поведінки Rug Pull. Кошти врешті-решт зосереджуються на адресі зберігання коштів, що натякає на те, що ці випадки можуть бути пов'язані з однією і тією ж злочинною групою.

Аналіз злочинної групи Rug Pull

Адреса зберігання коштів для видобутку

Виявлено 7 високоефективних адрес для збереження коштів, пов'язаних з 1124 випадками Rug Pull. Ці адреси будуть розподіляти заморожені кошти для нових Rug Pull, частина з них через біржі буде виводитись у готівку.

Статистика показує, що ці адреси вклали загалом 149,813.72 Етер, отримали прибуток 282,699.96 Етер, а рівень прибутковості становить 188.7%. Адреса з найвищою часткою прибутку отримала 2,668.17 Етер, що становить 27.7% від загального прибутку.

Хоча кошти зібрані на різних адресах, між випадками існує багато спільного, що викликає підозри щодо належності до однієї групи. Подальший аналіз виявив, що між цими адресами існують фінансові зв'язки, які можна розділити на 3 набори адрес, але всі вони використовують однакові інфраструктурні контракти для розподілу ETH для Rug Pull, що свідчить про можливу належність до однієї групи.

Аналіз спільної інфраструктури

Два основних адреси інфраструктури: 0x1d39 та 0x6348.

0x1d39 основні функції:

• multiSendETH: розподіл переказу, використовується для підробки обсягу торгівлі
• 0x7a860e7e:Купити токен Rug Pull

Функція 0x6348 подібна, ім'я функції покупки - 0x3f8a436c.

Статистика показує, що невелика кількість адрес використовується для розподілу коштів, а велика кількість адрес - для підробки обсягу торгівлі. 7 адрес для зберігання коштів через інфраструктуру спільно розподілили 3,616 разів кошти на загальну суму 9,369.98 ETH.

Аналіз джерел фінансування злочину

1124 випадків, 1069 з (95.11%) фінансування Deployer походить з гарячих гаманців бірж. Група одночасно використовує кілька гарячих гаманців бірж, щоб ускладнити відстеження.

Аналіз екосистеми токенів Ethereum

Пуш-аналітика токенів у Telegram групі

Протягом періоду з жовтня 2023 року до серпня 2024 року відповідні групи надіслали 93,930 Токенів.

Застосувавши правила виявлення Rug Pull, виявлено:

• 46,526 Токенів Rug Pull,占比49.53%
• 41,801 активних часів <72 години, становить 89.84%
• 25,622 активних часів <3 години, становить 55.07%

Спосіб виведення готівки:

• 69.06% через видалення ліквідності
• 30.94% через розпродаж

Спосіб виклику контракту:

• 76,35% через маршрутизатор Uniswap
• 23.65% через створення атакуючого контракту

Аналіз Токенів, випущених на основі Ethereum

У той же час основна мережа випустила 100,260 Токенів ( без LP Токенів ).

Результат перевірки Rug Pull:

• 48,265 монета Rug Pull, що становить 48.14%

Telegram групи пуш токенів та основних токенів порівняння:

• Перетин 90,228, що становить 89.99% основної мережі
• Telegram додатково 3,703 токенів для агентських контрактів
• Основна мережа додатково 10,032 можливих фільтрованих групою

Аналіз життєвого циклу токена:

• 78,018 монет <72 години,占77.82%
• 22,242>72 години

Рекомендації з безпеки

1. Перевага надається купівлі нових токенів через відомі централізовані біржі.
2. Перевірити офіційну адресу токена
3. Підтвердіть, що проект має офіційний веб-сайт та активну спільноту
4. Уникайте покупки токенів, створених менше ніж 3 дні тому
5. Використання послуг стороннього сканування безпеки

Заклик

1. Біржі посилюють контроль за зловмисними фінансовими потоками
2. Постачальники третіх послуг посилюють перевірку безпеки
3. Інвестори використовують безпечні інструменти та активно розкривають злочинну діяльність
4. Працівники безпеки активно виявляють та протидіють незаконній діяльності
5. Усі учасники спільно підтримують безпеку екосистеми Web3