- Тема
74k Популярность
29k Популярность
9k Популярность
4k Популярность
4k Популярность
29k Популярность
16k Популярность
22k Популярность
12k Популярность
2k Популярность
- Закрепить
74k Популярность
29k Популярность
9k Популярность
4k Популярность
4k Популярность
29k Популярность
16k Популярность
22k Популярность
12k Популярность
2k Популярность
Экосистема токенов Ethereum полна подводных течений: почти половина новых монет подозревается в мошенничестве, убытки составляют до 800 миллионов долларов.
Глубокое расследование случаев Rug Pull, разоблачение хаоса экосистемы токенов Ethereum
Введение
В мире Web3 постоянно появляются новые токены. Ты когда-нибудь задумывался, сколько новых токенов выпускается каждый день? Насколько безопасны эти новые токены?
Появление этих вопросов не является безосновательным. За последние несколько месяцев команда безопасности зафиксировала множество случаев Rug Pull. Примечательно, что все токены, вовлеченные в эти случаи, без исключения являются новыми токенами, которые только что вышли на цепь.
Затем команда безопасности провела глубокое расследование этих случаев Rug Pull и обнаружила, что за ними стоят организованные преступные группы, а также обобщила модельные характеристики этих мошенничеств. Путем глубокого анализа методов работы этих групп было выявлено возможное направление мошеннического продвижения группами Rug Pull: группы в Telegram. Эти группы используют функцию "New Token Tracer" в некоторых группах, чтобы привлечь пользователей к покупке мошеннических токенов и в конечном итоге извлечь прибыль через Rug Pull.
Собраны данные о сообщениях о токенах в этих Telegram-группах с ноября 2023 года по начало августа 2024 года, и было обнаружено, что было отправлено 93,930 новых токенов, из которых 46,526 токенов связаны с Rug Pull, что составляет целых 49.53%. Согласно статистике, общий объем инвестиций групп, стоящих за этими токенами Rug Pull, составил 149,813.72 Эфир, с доходностью до 188.7%, что принесло прибыль в 282,699.96 Эфир, что эквивалентно примерно 800 миллионов долларов.
Чтобы оценить долю новых токенов, продвигаемых через группы Telegram, в основной сети Ethereum, были собраны данные о новых токенах, выпущенных в основной сети Ethereum за тот же период времени. Данные показывают, что за этот период было выпущено 100,260 новых токенов, из которых токены, продвигаемые через группы Telegram, составляют 89.99% от всей основной сети. В среднем ежедневно появляется около 370 новых токенов, что значительно превышает разумные ожидания. После дальнейшего глубокого расследования было обнаружено тревожное истинное положение дел — как минимум 48,265 токенов связаны с мошенничеством Rug Pull, что составляет 48.14%. Другими словами, почти каждый второй новый токен в основной сети Ethereum связан с мошенничеством.
Кроме того, было обнаружено больше случаев Rug Pull на других блокчейн-сетях. Это означает, что безопасность всей экосистемы новых токенов Web3 гораздо серьезнее, чем ожидалось, не только на основной сети Ethereum. Таким образом, надеемся помочь всем членам Web3 повысить свою осведомленность о мерах предосторожности, оставаться настороженными перед лицом множества мошенничеств и своевременно принимать необходимые меры предосторожности для защиты своей безопасности активов.
ERC-20 токен
Перед тем как официально начать этот отчет, давайте сначала ознакомимся с некоторыми основными концепциями.
ERC-20 Токены являются одним из самых распространенных стандартов токенов в настоящее время на блокчейне. Он определяет набор спецификаций, позволяющих токенам взаимодействовать между различными смарт-контрактами и децентрализованными приложениями (dApp). Стандарт ERC-20 устанавливает основные функции токена, такие как перевод, проверка баланса, авторизация третьих лиц на управление токенами и другие. Благодаря этому стандартизированному протоколу разработчики могут легче выпускать и управлять токенами, что упрощает их создание и использование. На самом деле, любой человек или организация могут выпускать свои токены на основе стандарта ERC-20 и привлекать стартовый капитал для различных финансовых проектов через предпродажу токенов. Именно благодаря широкому применению ERC-20 Токенов они стали основой для многих ICO и децентрализованных финансовых проектов.
USDT, PEPE и DOGE, с которыми мы знакомы, относятся к токенам ERC-20, и пользователи могут покупать эти токены через децентрализованные биржи. Однако некоторые мошеннические группы также могут самостоятельно выпускать вредоносные токены ERC-20 с кодовыми уязвимостями, размещая их на децентрализованных биржах и затем вводя пользователей в заблуждение, чтобы они их купили.
Типичные случаи мошенничества с Rug Pull Токенами
Здесь мы заимствуем случай мошенничества с токеном Rug Pull, чтобы глубже понять операционные модели злонамеренных токенов. Прежде всего, необходимо уточнить, что Rug Pull - это мошенническое действие, при котором команда проекта в децентрализованном финансовом проекте внезапно выводит средства или abandons проект, что приводит к значительным потерям для инвесторов. А токены Rug Pull - это токены, выпущенные специально для реализации такого мошенничества.
В данной статье упоминаются токены Rug Pull, которые иногда также называются "медовой банкой (Honey Pot) токены" или "схемой выхода (Exit Scam) токены", но в дальнейшем мы будем единообразно называть их токенами Rug Pull.
· Пример
Атакующие (группа Rug Pull) использовали адрес Deployer (0x4bAF) для развертывания токена TOMMI, затем создали ликвидный пул с 1,5 ETH и 100,000,000 токенов TOMMI и активно покупали токены TOMMI через другие адреса, чтобы подделать объем торгов ликвидного пула и привлечь пользователей и ботов для покупки токенов TOMMI. Когда определенное количество ботов попалось на удочку, атакующие использовали адрес Rug Puller (0x43a9) для выполнения Rug Pull, Rug Puller использовал 38,739,354 токена TOMMI, чтобы обрушить ликвидный пул, обменяв его на примерно 3,95 ETH. Токены Rug Puller происходят от злонамеренного разрешения на одобрение контракта токена TOMMI; при развертывании контракта токена TOMMI Rug Puller получает разрешение на ликвидный пул, что позволяет Rug Puller напрямую выводить токены TOMMI из ликвидного пула и затем проводить Rug Pull.
· связанные адреса
· Связанные сделки
· Процесс Раг Пулла
1. Подготовьте средства для атаки.
Атакующий через централизованную биржу пополнил Token Deployer (0x4bAF) на 2.47309009ETH в качестве стартового капитала для Rug Pull.
2. Развертывание токена Rug Pull с задней дверью.
Deployer создает токен TOMMI, предварительно добывает 100,000,000 токенов и распределяет их себе.
3. Создание первоначального пула ликвидности.
Deployer использовал 1,5 ETH и все предварительно добытые токены для создания ликвидного пула, получив около 0,387 LP токенов.
4. Уничтожить все запасы преддобытых Токенов.
Token Deployer отправляет все LP токены на адрес 0 для уничтожения. Поскольку в контракте TOMMI нет функции Mint, на данный момент Token Deployer теоретически уже лишился возможности Rug Pull. (Это также одно из необходимых условий для привлечения роботов для первичного размещения, некоторые роботы будут оценивать, существует ли риск Rug Pull для новых токенов в пуле, Deployer также устанавливает владельца контракта на адрес 0, чтобы обмануть антифрод-программы роботов для первичного размещения).
5. Подделка объемов сделок.
Злоумышленники активно покупают токены TOMMI из ликвидностного пула с помощью нескольких адресов, разгоняя объем торгов в пуле и привлекая тем самым роботов для участия в новых торгах (основываясь на том, что эти адреса являются маскировкой злоумышленников: средства на соответствующих адресах поступают из исторических адресов трансфера средств группы Rug Pull).
Злоумышленник инициировал Rug Pull через адрес Rug Puller (0x43A9), напрямую переведя 38,739,354 токенов из ликвидного пула через бэкдор токена, а затем использовал эти токены, чтобы обрушить пул и вывести около 3.95 Эфир.
Атакующий отправляет средства, полученные от Rug Pull, на промежуточный адрес 0xD921.
Промежуточный адрес 0xD921 отправляет средства на адрес удержания средств 0x2836. Из этого мы можем увидеть, что после завершения Rug Pull, Rug Puller отправляет средства на какой-то адрес удержания средств. Адрес удержания средств является местом аккумулирования средств из множества зафиксированных случаев Rug Pull, адрес удержания средств будет делить большую часть полученных средств для начала нового раунда Rug Pull, в то время как оставшаяся небольшая сумма средств будет выведена через централизованные биржи. Обнаружено несколько адресов удержания средств, 0x2836 является одним из них.
· Код бэкдора Rug Pull
Хотя злоумышленники попытались доказать внешнему миру, что они не могут совершить Rug Pull, уничтожив LP токены, на самом деле злоумышленники оставили в функции openTrading контракта токена TOMMI злонамеренный бэкдор approve. Этот бэкдор позволит при создании ликвидного пула разрешить перенаправление токенов на адрес Rug Puller, что позволит адресату Rug Puller напрямую выводить токены из ликвидного пула.
Основная функция реализации функции openTrading заключается в создании нового пула ликвидности, но злоумышленник вызвал в этой функции бэкдор-функцию onInit, что позволило uniswapV2Pair одобрить количеству type(uint256) токенов на адресе _chefAddress. При этом uniswapV2Pair является адресом пула ликвидности, а _chefAddress — адресом Rug Puller, который указывается при развертывании контракта.
· Моделирование преступления
Анализируя случай TOMMI, мы можем выделить следующие 4 характеристики:
Деплойер получает средства через централизованную биржу: злоумышленник сначала предоставляет источник финансирования для адреса деплойера (Deployer) через централизованную биржу.
Deployer создает ликвидностный пул и уничтожает LP токены: после создания токена Rug Pull, деплойер немедленно создает ликвидностный пул и уничтожает LP токены, чтобы увеличить доверие к проекту и привлечь больше инвесторов.
Rug Puller использует большое количество токенов для обмена на ETH в ликвидном пуле: адрес Rug Pull (Rug Puller) использует большое количество токенов (обычно число значительно превышает общее предложение токенов) для обмена на ETH в ликвидном пуле. В других случаях Rug Puller также получает ETH из пула, удаляя ликвидность.
Rug Puller переводит ETH, полученный от Rug Pull, на адрес хранения средств: Rug Puller переводит полученный ETH на адрес хранения средств, иногда через промежуточный адрес.
Указанные выше характеристики широко встречаются в захваченных случаях, что указывает на наличие четких паттернов поведения при Rug Pull. Кроме того, после завершения Rug Pull средства обычно будут