Инсайдерская информация о выпуске токенов на Solana: разоблачение совместного охотничьего арбитража

Резюме

В этом отчете исследуется распространенная и высоко координированная схема "мем-токенов" на Solana: эмитенты токенов переводят SOL на "снайперские кошельки", что позволяет этим кошелькам купить токен в том же блоке, где он был запущен. Сосредоточившись на четкой и проверяемой цепочке финансирования между эмитентами и снайперами, мы выделили группу высоконадежных арбитражных действий.

Анализ показывает, что эта стратегия не является случайным явлением и не относится к пограничному поведению. Только за последний месяц было получено более 15 000 SOL реализованной прибыли через более чем 15 000 выпусков токена, с участием более 4 600 снайперских кошельков и более 10 400 развертывателей. Эти кошельки демонстрируют аномально высокий уровень успеха (87% снайперской прибыли ), аккуратные стратегии выхода и структурированные операционные модели.

Ключевое открытие:

• Финансируемые развертывателем снайперы обладают системностью, прибыльностью и обычно автоматизированы; снайперская активность наиболее сосредоточена в рабочее время в США.
• Структура многокошелькового майнинга очень распространена, часто используются временные кошельки и совместный вывод для имитации реального спроса.
• Средства запутывания постоянно совершенствуются, например, многоступенчатые финансовые цепочки и многофункциональные атаки на сделки, чтобы избежать обнаружения.
• Хотя есть ограничения, фильтр финансирования все же может захватывать самые четкие и повторяемые примеры поведения "инсайдеров" в крупном масштабе.
• В этом отчете представлен набор практических эвристических методов, помогающих командам протоколов и фронтендам в реальном времени идентифицировать, маркировать и реагировать на такие действия — включая отслеживание концентрации ранних позиций, присвоение меток кошелькам разработчиков и выдачу предупреждений пользователям на фронтенде в случае высокорискового выпуска.

Несмотря на то, что анализ охватывает лишь подсетевое поведение в одном блоке, его масштаб, структура и прибыльность свидетельствуют о том, что выпуск токена Solana активно контролируется с помощью синергетической сети, в то время как существующие меры защиты явно недостаточны.

Методология

Этот анализ начинается с четкой цели: выявить поведение, указывающее на совместное использование мем-токенов на Solana, особенно в случаях, когда разработчики предоставляют средства для кошельков-мишеней при запуске токена в том же блоке. Мы делим проблему на следующие этапы:

1. Фильтрация охоты на блоки в одном районе

Сначала отфильтруйте кошельки, которые были пойманы в ловушку в одном и том же блоке после развертывания. Поскольку: Solana не имеет глобального mempool; необходимо знать адрес токена до его появления на публичном фронте; а также время между развертыванием и первым взаимодействием с DEX крайне короткое. Такое поведение практически невозможно, чтобы происходило естественно, поэтому "ловушка в одном блоке" становится высоконадежным фильтром для выявления потенциального сговора или привилегированных действий.

2. Определение кошелька, связанного с развертывателем

Чтобы различить высококлассных снайперов и «внутренних» соратников, мы отслеживали переводы SOL между разработчиком и снайперами до выхода токена, помечая только те кошельки, которые удовлетворяли следующим условиям: прямое получение SOL от разработчика; прямое отправление SOL разработчику. Только кошельки с прямыми переводами до выхода токена были включены в окончательный набор данных.

3. Связать снайпинг с прибылью от токенов

Для каждого снайперского кошелька мы сопоставляем его торговую активность с токенами, на которые он нацелился, в частности, рассчитываем: общую сумму SOL, потраченную на покупку этого токена; общую сумму SOL, полученную от продажи на DEX; реализованную чистую прибыль (, а не номинальную прибыль ). Таким образом, можно точно определить прибыль, извлеченную из каждой атаки у разработчиков.

4. Оценка масштаба и поведения кошельков

Мы анализируем масштаб таких мероприятий с нескольких точек зрения: количество независимых развертывателей и кошельков-ловушек; количество подтвержденных синхронных атак на блоки; распределение прибыли от атак; количество токенов, выпущенных каждым развертывателем; случаи повторного использования кошельков-ловушек между токенами.

5. Следы активности машин

Чтобы понять, как эти операции выполняются, мы группируем действия по часам UTC. Результаты показывают: действия сосредоточены в определенных временных окнах; значительно снижаются в глубокие ночные часы UTC; это указывает на то, что скорее это задачи cron, синхронизированные с США, или временные окна для выполнения вручную, чем глобальная, постоянная автоматизация.

6. Анализ поведения выхода

В конце концов, мы исследуем поведение связанных с развертыванием кошельков при продаже токенов, которые подверглись атаке: измеряем время между первой покупкой и окончательной продажей (, продолжительность удержания ); статистика количества независимых сделок на продажу, используемых каждым кошельком для выхода. Таким образом, мы различаем, выбирает ли кошелек быструю распродажу или постепенную продажу, и исследуем связь между скоростью выхода и прибыльностью.

Сфокусируйтесь на самых явных угрозах

Сначала мы оценили масштаб охоты на блоки в процессе выпуска токенов на определенной платформе, и результаты оказались шокирующими: более 50% токенов были перехвачены еще до создания блока — охота на блоки стала доминирующей моделью выпуска.

На Solana участие в одном блоке обычно требует: предварительной подписи транзакции; координации вне цепи; или совместного использования инфраструктуры между развертывателем и покупателем.

Не все блокчейн-атаки одинаково злонамеренны, по крайней мере, существуют две категории ролей: "роботы, бросающие сеть на удачу" — тестирование эвристики или мелкая спекуляция; согласованные инсайдеры — включая развертывателей, предоставляющих финансирование своим покупателям.

Чтобы уменьшить количество ложных срабатываний и выделить истинное совместное поведение, мы добавили строгую фильтрацию в конечные показатели: учитываются только прямые SOL переводы между развертывателями и кошельками-стрелками, осуществленные до выхода на рынок. Это позволяет нам с уверенностью определить: кошельки, находящиеся под прямым контролем развертывателя; кошельки, действующие под руководством развертывателя; кошельки, имеющие внутренние каналы.

Исследование случая 1: Прямое финансирование

Кошелек развертывателя отправляет 1,2 SOL на 3 разных кошелька, а затем развертывает токен под названием SOL > BNB. Три кошелька, получившие финансирование, завершают покупку в одном и том же блоке, где создается токен, еще до того, как он станет видимым на более широком рынке. Затем они быстро продают для получения прибыли, осуществляя согласованный молниеносный выход. Это является учебным примером захвата токенов с помощью предфинансирования, который был зафиксирован нашим методом цепочки фондов. Несмотря на простоту метода, он массово повторяется в тысячах выпусков.

Исследование случая 2: Многоуровневое финансирование

Некоторые кошельки связаны с многократным арбитражом токенов. Эта сущность не вносила средства непосредственно в кошельки для арбитража, а передавала SOL через 5-7 промежуточных кошельков к конечному кошельку для арбитража, таким образом завершая арбитраж в одном блоке.

Наши существующие методы только обнаруживают некоторые предварительные переводы от развертывателя, но не могут захватить целую цепочку к конечному кошельку-мишени. Эти промежуточные кошельки обычно "одноразовые", используемые только для передачи SOL, что затрудняет их связь через простые запросы. Этот пробел не является недостатком дизайна, а результатом компромисса вычислительных ресурсов — отслеживание многошаговых путей финансирования в больших объемах данных хотя и возможно, но требует огромных затрат. Поэтому текущая реализация отдает приоритет высокому уровню уверенности и прямым соединениям, чтобы сохранить ясность и воспроизводимость.

Мы с помощью инструментов анализа данных продемонстрировали эту более длинную цепочку средств, графически представив, как финансы перемещаются от начального кошелька через оболочку к кошельку конечного развертывателя. Это подчеркивает сложность путаницы источников средств и указывает направление для дальнейшего совершенствования методов обнаружения.

Почему сосредоточиться на "прямом финансировании и кошельках для блокчейн-атак"

В оставшейся части статьи мы будем изучать кошельки-ловушки, которые напрямую получают средства от развертывателей перед запуском и наносят удары в пределах одного и того же блока. Причины следующие: они приносят значительную прибыль; имеют минимальные методы сокрытия; представляют собой наиболее оперативный злонамеренный подмножество; исследование их может предоставить наиболее четкую эвристическую рамку для обнаружения и смягчения более сложных стратегий извлечения.

Обнаружить

Сосредоточившись на подмножестве "блокировка в одном районе + прямая цепочка финансирования", мы раскрыли широкий, структурированный и высокоприбыльный совместный онлайн-поведение. Все данные охватывают период с 15 марта по настоящее время:

1. Одинаковые блоки и финансируемые развертывателем снайперы очень распространены и систематизированы.

a. За последний месяц было подтверждено, что более 15,000 токенов были напрямую захвачены кошельками на этапе выхода на рынок;

b. Включает более 4600 снайперских кошельков, более 10400 развертывателей;

c. занимает около 1,75% от объема выпуска на платформе.

2. Это действие приносит огромную прибыль

a. Прямое получение средств с кошелька, который уже достиг чистой прибыли >15,000 SOL;

b. Успех снайперской атаки 87%, неудачных сделок крайне мало;

c. Типичные доходы от одного кошелька 1-100 SOL, в редких случаях более 500 SOL.

3. Повторное развертывание и прицеливание на фермерскую сеть

a. Многие развертыватели используют новые кошельки для массового создания десятков и сотен токенов;

b. Некоторые снайперские кошельки выполняют сотни снайпингов за один день;

c. Наблюдается структура "центр-радиус": один кошелек финансирует несколько снайперских кошельков, все снайпят один и тот же Токен.

4. Снайпинг демонстрирует человекоцентричную временную модель

a. Пиковая активность с 14:00 до 23:00 UTC; с 00:00 до 08:00 UTC почти остановлена;

b. Соответствует рабочему времени США, что означает, что это инициируется вручную/по расписанию cron, а не полностью автоматизировано 24 часа в сутки.

5. Одноразовый кошелек и многоподписная транзакция путают право собственности

a. Разработчик одновременно вносит средства в несколько кошельков и подписывает сделку для атаки;

b. Эти кошельки больше не подписывают ни одной транзакции;

c. Разработчик распределяет начальную покупку по 2-4 кошелькам, маскируя реальный спрос.

Выходное поведение

Чтобы глубже понять, как эти кошельки выходят, мы разбили данные по двум основным поведенческим измерениям:

1. Скорость выхода ( Время выхода )——от первой покупки до окончательной продажи.

2. Количество продаж ( Swap Count )——Количество независимых продаж, использованных для выхода.

Данные выводы

1. Скорость выхода

a. 55% снайперов было продано за 1 минуту;

b. 85% распродажа в течение 5 минут;

c. 11% завершено за 15 секунд.

2. Количество продаж

a. Более 90% снайперских кошельков выходят всего с 1-2 продажами;

b. Очень редко используется постепенная распродажа.

3. Тренд прибыли

a. Самым прибыльным является кошелек, выходящий за <1 минуту, затем <5 минут;

b. Более длительное удержание или многократная продажа, хотя средняя прибыль за раз немного выше, но количество крайне мало, что ограничивает вклад в общую прибыль.

объяснение

Эти модели показывают: финансируемый развертывателем снайпинг не является торговым действием, а представляет собой автоматизированную, низкорисковую стратегию извлечения:

• Успей купить → быстро продать → полностью выйти.
• Одноразовая продажа означает полное игнорирование колебаний цен, просто использование возможности для сброса.
• Меньшинство более сложных стратегий выхода является лишь исключением, нестандартной моделью.

Оперативные инсайты

Следующие рекомендации направлены на помощь командам протокола, фронтенд-разработчикам и исследователям в идентификации и противодействии моделям выпуска токена с извлечением или сотрудничеством, путём преобразования наблюдаемого поведения в эвристики, фильтры и предупреждения, что повысит прозрачность для пользователей и снизит риски.

1. Отслеживание концентрации ранних позиций
2. Присвоить метки кошелькам развертывателя
3. Выдача предупреждения на переднем плане при высокорискованном выпуске
4. Построение сложной системы отслеживания потоков капитала
5. Реальное время мониторинга режима многоподписей ловушки
6. Анализ распределения скорости выхода
7. Наблюдение за степенью диверсификации выходных сделок
8. Определение повторно используемых снайперских кошельков