Rug Pull事例を深く調査し、イーサリアムトークンエコシステムの混乱を暴露する

イントロダクション

Web3の世界では、新しいトークンが次々と登場しています。毎日、どれだけの新しいトークンが発行されているか考えたことがありますか？これらの新しいトークンは安全なのでしょうか？

これらの疑問の発生は無駄ではありません。過去数ヶ月間、あるセキュリティチームは大量のRug Pull取引のケースをキャッチしました。注目すべきは、これらのケースに関与しているトークンは例外なく新たにチェーンに追加されたばかりのトークンです。

その後、チームはこれらのRug Pull事例を詳細に調査し、背後に組織化された犯罪グループが存在することを発見し、これらの詐欺のパターン化された特徴をまとめました。これらのグループの手法を深く分析することで、彼らはRug Pullグループの可能な詐欺プロモーション経路を発見しました: Telegramグループ。これらのグループは、特定のグループ内の"New Token Tracer"機能を利用してユーザーを詐欺トークンの購入に引き寄せ、最終的にRug Pullによって利益を得ています。

チームは2023年11月から2024年8月初旬までの期間にこれらのTelegramグループのトークンプッシュ情報を統計し、合計93,930種類の新しいトークンがプッシュされたことを発見しました。その中でRug Pullに関与するトークンは46,526種類で、割合は49.53%に達しました。統計によると、これらのRug Pullトークンの背後にあるグループの累積投入コストは149,813.72 ETHであり、高い188.7%のリターン率で282,699.96 ETHの利益を上げ、約8億ドルに相当します。

Telegramグループからの新しいトークンのイーサリアムメインネットにおける占有率を評価するために、チームは同じ期間内にイーサリアムメインネットで発行された新しいトークンのデータを集計しました。データによると、この期間中に合計100,260種類の新しいトークンが発行され、そのうちTelegramグループからプッシュされたトークンはメインネットの89.99%を占めています。平均して、毎日約370種類の新しいトークンが誕生しており、合理的な予想を大きく上回っています。継続的な調査の結果、彼らが発見した真実は不安を引き起こすものでした------その中で少なくとも48,265種類のトークンがRug Pull詐欺に関与しており、割合は48.14%に達します。言い換えれば、イーサリアムメインネット上のほぼすべての2つの新しいトークンのうち1つは詐欺に関与しています。

また、彼らは他のブロックチェーンネットワークでも多くのRug Pullの事例を発見しました。これは、イーサリアムのメインネットだけでなく、Web3の新しいトークンエコシステム全体の安全状況が予想以上に厳しいことを意味します。したがって、チームはこの調査報告書を作成し、すべてのWeb3メンバーが防止意識を高め、次々に現れる詐欺に対して警戒を保ち、必要な予防措置を適時に講じて自分の資産の安全を守れるようにしたいと考えています。

! Rug Pull事件の詳細な調査、イーサリアムトークンエコシステムの混乱を明らかにする

ERC-20 トークン

正式にこのレポートを開始する前に、いくつかの基本的な概念を理解しましょう。

ERC-20トークンは現在のブロックチェーン上で最も一般的なトークン標準の一つであり、一連の規範を定義し、トークンが異なるスマートコントラクトや分散型アプリケーション（dApp）間で相互運用できるようにします。ERC-20標準は、トークンの基本機能を規定しており、例えば転送、残高の照会、第三者によるトークン管理の承認などがあります。この標準化されたプロトコルのおかげで、開発者はトークンの発行と管理をより容易に行うことができ、トークンの作成と使用が簡素化されます。実際、個人または組織はERC-20標準に基づいて独自のトークンを発行し、トークンのプレセールを通じてさまざまな金融プロジェクトの資金調達を行うことができます。ERC-20トークンの広範な利用により、それは多くのICOや分散型金融プロジェクトの基盤となっています。

私たちが馴染みのあるUSDT、PEPE、DOGEはERC-20トークンに属し、ユーザーは分散型取引所を通じてこれらのトークンを購入できます。しかし、特定の詐欺団体はコードのバックドアを持つ悪意のあるERC-20トークンを独自に発行し、それを分散型取引所に上場させ、ユーザーを購入に誘導する可能性もあります。

! ラグプル事件の詳細な調査、イーサリアムトークンエコシステムの混乱が明らかになりました

ラグプルトークンの典型的な詐欺事例

ここでは、Rug Pullトークンの詐欺ケースを借用して、悪意のあるトークン詐欺の運営モデルを深く理解します。まず最初に説明する必要があるのは、Rug Pullはプロジェクトチームが分散型金融プロジェクトで突然資金を引き抜いたり、プロジェクトを放棄したりすることで、投資家に大きな損失をもたらす詐欺行為を指します。そして、Rug Pullトークンはこのような詐欺行為を実行するために発行されたトークンです。

本文中提到のRug Pullトークンは、時々「ハニーポット（Honey Pot）トークン」や「出口詐欺（Exit Scam）トークン」とも呼ばれますが、以下では統一してRug Pullトークンと呼ぶことにします。

· ケース

攻撃者（Rug Pullグループ）はDeployerアドレス（0x4bAF）を使用してTOMMIトークンを展開し、その後1.5ETHと100,000,000のTOMMIを使って流動性プールを作成し、他のアドレスを通じてTOMMIトークンを積極的に購入して流動性プールの取引量を偽装し、ユーザーとチェーン上の新規購入ロボットをTOMMIトークンの購入に引き寄せます。一定数の新規購入ロボットが引っかかると、攻撃者はRug Pullerアドレス（0x43a9）を使用してRug Pullを実行し、Rug Pullerは38,739,354のTOMMIトークンで流動性プールを攻撃し、約3.95ETHを引き出します。Rug Pullerのトークンの出所はTOMMIトークン契約の悪意のあるApprove権限で、TOMMIトークン契約が展開される際にRug Pullerに流動性プールのapprove権限が与えられ、これによりRug Pullerは流動性プールから直接TOMMIトークンを引き出してRug Pullを行うことができます。

· 関連アドレス

• デプロイヤー:0x4bAFd8c32D9a8585af0bb6872482a76150F528b7
• TOMMIトークン:0xe52bDD1fc98cD6c0cd544c0187129c20D4545C7F *ラグプーラー:0x43A905f4BF396269e5C559a01C691dF5CbD25a2b
• ラグプラーに偽装されたユーザー（そのうちの1人）：0x4027F4daBFBB616A8dCb19bb225B3cF17879c9A8
• ラグプル資金の中継アドレス：0x1d3970677aa2324E4822b293e500220958d493d0 *ラグプル保持アドレス:0x28367D2656434b928a6799E0B091045e2ee84722

· 関連取引

• Deployerは、中央集権的な取引所からスタートアップ資本を取得します:0x428262fb31b1378ea872a59528d3277a292efe7528d9ffa2bd926f8bd4129457
• TOMMIトークンのデプロイ:0xf0389c0fa44f74bca24bc9d53710b21f1c4c8c5fba5b2ebf5a8adfa9b2d851f8 *流動性プールを作成する:0x59bb8b69ca3fe2b3bb52825c7a96bf5f92c4dc2a8b9af3a2f1dddda0a79ee78c *偽装されたユーザー(そのうちの1人)に資金を送るための資金リレーアドレス:0x972942e97e4952382d4604227ce7b849b9360ba5213f2de6edabb35ebbd20eff
• ユーザーがトークンを購入するふりをする（そのうちの1つ）：0x814247c4f4362dc15e75c0167efaec8e3a5001ddbda6bc4ace6bd7c451a0b231 *ラグプル:0xfc2a8e4f192397471ae0eae826dac580d03bcdfcb929c7423e174d1919e1ba9c
• ラグプルは得られた資金を中継アドレスに送信します：0xf1e789f32b19089ccf3d0b9f7f4779eb00e724bb779d691f19a4a19d6fd15523 *仲介アドレスは、資金保持アドレスに資金を送金します:0xb78cba313021ab060bd1c8b024198a2e5e1abc458ef9070c0d11688506b7e8d7

· ラグプルプロセス

**1. 資金を攻撃する準備をしてください。 **

攻撃者は、Rug Pullの開始資金として、中央集権的な取引所を通じてToken Deployer(0x4bAF)に2.47309009ETHを入金しました。

2. バックドア付きのRug Pullトークンを展開する。

DeployerがTOMMIトークンを作成し、100,000,000個のトークンをプレマイニングして自身に配分します。

3. 初期流動性プールを作成します。

Deployerは1.5個のETHと事前に採掘されたすべてのトークンを使用して流動性プールを作成し、約0.387個のLPトークンを獲得しました。

4. すべてのプレマイニングされたトークン供給量を焼却します。

Token DeployerはすべてのLPトークンを0アドレスに送信して破棄します。TOMMIコントラクトにはMint機能がないため、この時点でToken Deployerは理論的にRug Pull能力を失っています。（これも新規ロボットが参入するための必要条件の一つであり、一部の新規ロボットは新しいプールに入るトークンにRug Pullリスクがあるかどうかを評価します。Deployerはコントラクトのオーナーを0アドレスに設定しており、これは新規ロボットの詐欺対策プログラムを欺くためです。）

**5. 取引量を偽造した。 **

攻撃者は、複数のアドレスを使用して流動性プールからTOMMIトークンを積極的に購入し、プールの取引量を炒め、新たなロボットの参入をさらに引き寄せます（これらのアドレスが攻撃者の偽装であるという判断基準：関連アドレスの資金はRug Pullグループの過去の資金転送アドレスから来ています）。

6. 攻撃者はRug Pullerアドレス（0x43A9）を介してRug Pullを開始し、トークンのバックドアを通じて流動性プールから38,739,354個のトークンを直接引き出し、その後これらのトークンを使用してプールを押しつぶし、約3.95 ETHを引き出しました。

7. 攻撃者はRug Pullで得た資金を中継アドレス0xD921に送信します。

8. 中継アドレス0xD921は資金を資金留保アドレス0x2836に送信します。ここから、Rug Pullが完了した後、Rug Pullerが資金をどこかの資金留保アドレスに送信することが分かります。資金留保アドレスは、私たちが監視している多数のRug Pull事例の資金集約地点であり、資金留保アドレスは受け取ったほとんどの資金を分割して新しいRug Pullを開始し、残りの少量の資金は中央集権型取引所を通じて引き出されます。私たちはいくつかの資金留保アドレスを特定しましたが、0x2836はそのうちの一つです。

! ラグプル事件の詳細な調査、イーサリアムトークンエコシステムの混乱が明らかになりました

· ラグプルコードのバックドア

攻撃者はLPトークンを破壊することで外部にRug Pullができないことを証明しようとしていますが、実際には攻撃者はTOMMIトークン契約のopenTrading関数に悪意のあるapproveのバックドアを残しています。このバックドアは流動性プールを作成する際に流動性プールがRug Pullerアドレスにトークンの移転権限をapproveすることを可能にし、Rug Pullerアドレスは流動性プールから直接トークンを転送することができます。

openTrading関数の実装は図9に示されています。主な機能は新しい流動性プールを作成することですが、攻撃者はこの関数内でバックドア関数onInit（図10に示されています）を呼び出し、uniswapV2Pairが_chefAddressアドレスに対して数量がtype(uint256)のトークン転送権限をapproveするようにしました。ここでuniswapV2Pairは流動性プールのアドレスであり、_chefAddressはRug Pullerのアドレスであり、_chefAddressはコントラクトのデプロイ時に指定されます（図11に示されています）。

! ラグプル事件の詳細な調査、イーサリアムトークンの生態学的混乱を明らかにする

! ラグプル事件の詳細な調査、イーサリアムトークンの生態学的混乱を明らかにする

! ラグプル事件の詳細な調査、イーサリアムトークンの生態学的混乱を明らかにする

· 実行パターン化

TOMMIケースの分析を通じて、以下の4つの特徴をまとめることができます：

1. Deployerは中央集権型取引所を通じて資金を調達します：攻撃者はまず中央集権型取引所を通じてデプロイヤーアドレス（Deployer）に資金源を提供します。

2. Deployerは流動性プールを作成し、LPトークンを破棄します：デプロイヤーはRug Pullトークンを作成した後すぐに流動性プールを作成し、LPトークンを破棄してプロジェクトの信頼性を高め、より多くの投資家を引き付けます。

3. Rug Pullerは、流動性プールで大量のトークンをETHに交換します:Rug Pull(ラグプル)