Rug Pull vakalarını derinlemesine inceleme, Ethereum Token ekosistemindeki karmaşayı açığa çıkarma

Giriş

Web3 dünyasında yeni Token'lar sürekli ortaya çıkıyor. Her gün kaç yeni Token'ın piyasaya sürüldüğünü hiç düşündünüz mü? Bu yeni Token'lar güvenli mi?

Bu sorular boşuna değil. Yakın zamanda, güvenlik ekibi çok sayıda Rug Pull işlem örneği yakaladı. Dikkate değer olan, bu örneklerde yer alan Token'ların hiçbiri istisna olmaksızın yeni zincire eklenen Token'lardır.

Sonrasında, bu Rug Pull vakaları derinlemesine incelendi ve arkasında örgütlü bir suç çetesi bulundu ve bu dolandırıcılıkların kalıplaşmış özellikleri özetlendi. Bu çetelerin suç işleme yöntemlerini derinlemesine analiz ederek, Rug Pull çetelerinin olası bir dolandırıcılık tanıtım yolu keşfedildi: Telegram grupları. Bu çeteler, gruptaki "New Token Tracer" işlevini kullanarak kullanıcıları dolandırıcılık Token'larını satın almaya çekiyor ve nihayetinde Rug Pull ile kar elde ediyor.

İstatistikler, 2023 Kasım'dan 2024 Ağustos'un başına kadar bu Telegram gruplarının toplamda 93,930 yeni Token tanıttığını, bunların 46,526'sının Rug Pull ile ilgili olduğunu ve bu oranın %49.53'e kadar çıktığını göstermektedir. İstatistiklere göre, bu Rug Pull Token'larının arkasındaki çetelerin toplam yatırım maliyeti 149,813.72 Eter olup, %188.7'ye varan bir getiri oranıyla 282,699.96 Eter kazanç sağlamışlardır ki bu da yaklaşık 800 milyon dolar etmektedir.

Telegram grupları tarafından duyurulan yeni tokenlerin Ethereum ana ağındaki payını değerlendirmek için, aynı zaman diliminde Ethereum ana ağında ihraç edilen yeni token verileri istatistikleri toplandı. Veriler, bu süre zarfında toplam 100,260 yeni token ihraç edildiğini gösteriyor; bunlardan Telegram grupları aracılığıyla duyurulan tokenler ana ağın %89,99'unu oluşturuyor. Ortalama olarak her gün yaklaşık 370 yeni token doğuyor, bu da makul beklentilerin çok üzerinde. Sürekli derinlemesine araştırmaların ardından ortaya çıkan gerçek rahatsız edici - en az 48,265 token Rug Pull dolandırıcılığına karışmış durumda, bu oran %48,14'e kadar çıkıyor. Diğer bir deyişle, Ethereum ana ağında neredeyse her iki yeni token'dan biri dolandırıcılıkla ilişkili.

Ayrıca, diğer blockchain ağlarında daha fazla Rug Pull vakası tespit edilmiştir. Bu, yalnızca Ethereum ana ağı değil, tüm Web3 yeni çıkan token ekosisteminin güvenlik durumunun beklenenden çok daha ciddi olduğunu göstermektedir. Bu nedenle, bu rapor tüm Web3 üyelerinin önlem alma bilincini artırmayı, sürekli ortaya çıkan dolandırıcılıklara karşı dikkatli olmalarını sağlamak ve gerekli önlemleri zamanında alarak varlık güvenliklerini korumalarına yardımcı olmayı amaçlamaktadır.

ERC-20 Token

ERC-20 Token, şu anda blok zincirinde en yaygın token standartlarından biridir ve tokenların farklı akıllı sözleşmeler ve merkeziyetsiz uygulamalar (dApp) arasında etkileşimli olabilmesi için bir dizi kural tanımlar. ERC-20 standardı, tokenların temel işlevlerini, örneğin transfer, bakiye sorgulama, üçüncü tarafların token yönetimi için yetkilendirilmesi gibi işlevleri belirler. Bu standartlaştırılmış protokol sayesinde, geliştiriciler tokenları daha kolay bir şekilde ihraç edebilir ve yönetebilir, böylelikle tokenların oluşturulması ve kullanımı basitleştirilmiştir. Gerçekten de, herhangi bir birey veya kuruluş, ERC-20 standardına dayanarak kendi tokenını ihraç edebilir ve çeşitli finansal projeler için başlangıç fonu toplamak amacıyla tokenları ön satış yoluyla satabilir. ERC-20 Token'ın yaygın kullanımı nedeniyle, birçok ICO ve merkeziyetsiz finans projesinin temeli haline gelmiştir.

Bizim aşina olduğumuz USDT, PEPE, DOGE, ERC-20 Token'larındandır. Kullanıcılar bu Token'ları merkeziyetsiz borsa üzerinden satın alabilirler. Ancak, bazı dolandırıcılık çeteleri, kod arka kapısına sahip kötü niyetli ERC-20 Token'ları da kendileri çıkarabilir, bunları merkeziyetsiz borsa üzerinde listeleyebilir ve ardından kullanıcıları satın almaya ikna edebilirler.

Rug Pull Token'ların Tipik Dolandırıcılık Vakaları

Burada, bir Rug Pull Token dolandırıcılık örneğini kullanarak kötü niyetli token dolandırıcılığının işletim modelini derinlemesine inceleyeceğiz. Öncelikle, Rug Pull'un, projenin merkeziyetsiz finans projesinde aniden fonları çekmesi veya projeden vazgeçmesi sonucu yatırımcıların büyük kayıplar yaşadığı dolandırıcılık eylemi olduğunu belirtmek gerekir. Rug Pull token'ları ise bu dolandırıcılık eylemini gerçekleştirmek için özel olarak çıkarılan token'lardır.

Bu yazıda bahsedilen Rug Pull Token'ları, bazen "tuzağa düşüren token" veya "çıkış dolandırıcılığı token" olarak da adlandırılır, ancak aşağıda bunları tek bir terim olarak Rug Pull Token olarak adlandıracağız.

örneği

Saldırganlar (Rug Pull çetesi) Deployer adresi ile TOMMI Token'ını dağıttı, ardından 1.5 ETH ve 100.000.000 TOMMI ile bir likidite havuzu oluşturdu ve diğer adresler aracılığıyla TOMMI Token'ını aktif olarak satın alarak likidite havuzu işlem hacmini sahte bir şekilde artırdı, bu da kullanıcıları ve zincir üzerindeki yeni yatırım botlarını TOMMI Token'ı satın almaya çekti. Belirli sayıda yeni yatırım botu tuzağa düştüğünde, saldırgan Rug Puller adresini kullanarak Rug Pull'u gerçekleştirdi, Rug Puller 38.739.354 TOMMI Token'ı likidite havuzuna boşaltarak yaklaşık 3.95 ETH aldı. Rug Puller'ın Token'ları TOMMI Token sözleşmesinin kötü niyetli Onaylama yetkisi ile geldi, TOMMI Token sözleşmesi dağıtılırken Rug Puller'a likidite havuzunun onay yetkisi verilir, bu da Rug Puller'ın doğrudan likidite havuzundan TOMMI Token'ı transfer etmesine ve ardından Rug Pull yapmasına olanak tanır.

Rug Pull süreci

1. Saldırı fonlarını hazırlayın.

Saldırgan, bir borsa aracılığıyla, Rug Pull'un başlangıç sermayesi olarak Token Deployer'a 2.47309009ETH yükledi.

2. Arka kapı içeren Rug Pull Token'ı dağıtmak.

Deployer, 100.000.000 TOMMI Token'ını ön madencilik yaparak kendisine dağıttı.

3. İlk likidite havuzunu oluşturun.

Deployer, 1.5 Eter ve ön madencilikle elde edilen tüm Token'ları kullanarak bir likidite havuzu oluşturdu ve yaklaşık 0.387 LP Token'ı kazandı.

4. Tüm ön madencilik Token arzını yok et.

Token Deployer, tüm LP Token'lerini 0 adrese göndererek yok eder. TOMMI sözleşmesinde Mint işlevi olmadığı için, bu noktada Token Deployer teorik olarak Rug Pull yeteneğini kaybetmiştir. (Bu, yeni yatırım robotlarının katılması için gerekli koşullardan biridir; bazı yeni yatırım robotları, yeni havuza eklenen token'lerin Rug Pull riski taşıyıp taşımadığını değerlendirir. Deployer ayrıca sözleşmenin Sahibini 0 adresi olarak ayarlamıştır; bu da yeni yatırım robotlarının dolandırıcılık karşıtı programlarını atlatmak içindir.)

5. Sahte işlem hacmi.

Saldırganlar, likidite havuzundan TOMMI Token satın almak için birden fazla adres kullanarak havuzun ticaret hacmini artırıyor, böylece yeni token alım robotlarının devreye girmesini daha da çekiyor (bu adreslerin saldırganların kılığına girdiğini belirlemenin gerekçesi: ilgili adreslerin fonları, Rug Pull çetelerinin geçmiş fon transfer adreslerinden gelmektedir).

6. Saldırgan, Rug Puller adresi aracılığıyla Rug Pull başlatarak, token'ın arka kapısından doğrudan likidite havuzundan 38,739,354 adet Token transfer etti ve ardından bu Token'ları havuzu patlatmak için kullanarak yaklaşık 3.95 Eter çıkardı.

7. Saldırgan, Rug Pull'dan elde edilen fonları aracılık adresine gönderir.

8. Aktarma adresi fonları fon saklama adresine gönderir. Buradan, Rug Pull tamamlandığında, Rug Puller'ın fonları bir fon saklama adresine göndereceğini görebiliriz. Fon saklama adresi, izlenen birçok Rug Pull olayı için fonların toplandığı yerdir, fon saklama adresi, aldığı fonların çoğunu yeni bir Rug Pull'a başlamak için bölecek ve geri kalan az miktardaki fonlar belirli bir borsa aracılığıyla çekilecektir.

Rug Pull kod arka kapısı

Saldırganlar, LP token'larını yok ederek dışarıya Rug Pull yapamayacaklarını kanıtlamaya çalışsalar da, aslında TOMMI token sözleşmesinin openTrading fonksiyonunda kötü niyetli bir approve arka kapısı bırakmışlardır. Bu arka kapı, likidite havuzu oluşturulurken likidite havuzunun Rug Puller adresine token transfer yetkisi onaylamasına neden olur, böylece Rug Puller adresi doğrudan likidite havuzundan token çekebilir.

suç işleme modeli

TOMMI vakasını analiz ederek aşağıdaki 4 özelliği özetleyebiliriz:

1. Deployer bir borsa aracılığıyla fon alır: Saldırgan, önce Deployer adresine (Deployer) bir borsa aracılığıyla fon kaynağı sağlar.

2. Deployer likidite havuzu oluşturur ve LP Token'larını yok eder: Dağıtıcı, Rug Pull token'ını oluşturduktan sonra hemen onun için bir likidite havuzu oluşturur ve LP Token'larını yok eder, bu da projenin güvenilirliğini artırır ve daha fazla yatırımcıyı çekmeye yardımcı olur.

3. Rug Puller, likidite havuzundaki ETH'yi büyük miktarda Token ile takas eder: Rug Pull adresi (Rug Puller), likidite havuzundaki ETH'yi takas etmek için büyük miktarda Token (genellikle Token toplam arzını çok aşan bir miktar) kullanır. Diğer durumlarda, Rug Puller likiditeyi kaldırarak havuzdaki ETH'yi elde etme durumları da vardır.

4. Rug Puller, Rug Pull ile elde edilen ETH'yi fon saklama adresine aktarır: Rug Puller, elde edilen ETH'yi fon saklama adresine aktarır, bazen geçiş için ara bir adres kullanarak.

Yukarıda belirtilen özellikler, ele geçirilen vakalarda yaygın olarak bulunmaktadır ve bu, Rug Pull davranışının belirgin bir modelleme özelliğine sahip olduğunu göstermektedir. Ayrıca, Rug Pull tamamlandıktan sonra, fonların genellikle bir fon saklama adresine toplandığı görülür; bu, bu görünüşte bağımsız Rug Pull vakalarının arkasında aynı grup veya hatta aynı dolandırıcılık çetesi ile ilgili olabileceğini düşündürmektedir.

Bu özelliklere dayanarak, bir Rug Pull davranış modeli çıkarılmıştır ve bu model, tespit edilen vakaları taramak için kullanılmıştır; böylece olası dolandırıcılık çeteleri profilleri oluşturulması amaçlanmıştır.

Rug Pull Suç Çetesi

madencilik fonu saklama adresi

Yukarıda belirtildiği gibi, Rug Pull vakaları genellikle sonunda fonları bir fon saklama adresine toplar. Bu modele dayanarak, belirgin bir şekilde ilgili vakaların suçlama yöntemlerine sahip olan birkaç yüksek aktif fon saklama adresi seçilerek derinlemesine analiz yapılmıştır.

Görünümde toplam 7 adet fon tutma adresi var, bu adreslere bağlı Rug Pull vakaları toplam 1.124 tanedir ve bunlar zincir üzerindeki saldırı izleme sistemi tarafından başarılı bir şekilde tespit edilmiştir. Rug Pull çeteleri dolandırıcılığı başarıyla gerçekleştirdikten sonra, yasa dışı kazançlarını bu fon tutma adreslerinde toplar. Bu fon tutma adresleri, birikmiş fonları bölerek gelecekteki yeni Rug Pull dolandırıcılıkları için yeni token oluşturmak, likidite havuzlarını manipüle etmek gibi faaliyetlerde kullanır. Ayrıca, bir miktar birikmiş fon, belirli bir borsa veya anlık takas platformu aracılığıyla nakde dönüştürülmektedir.

Her bir fon saklama adresindeki tüm Rug Pull dolandırıcılığının maliyet ve gelirini istatistiksel olarak inceleyerek ilgili verilere ulaşıldı.

Tam bir Rug Pull dolandırıcılığında, Rug Pull çetesi genellikle Rug Pull Token'ının dağıtımcısı (Deployer) olarak bir adres kullanır ve bir borsa üzerinden para çekerek başlangıç fonu elde ederler. Yeterli sayıda kullanıcının veya yeni token alım robotlarının ETH kullanarak Rug Pull Token'ı satın alması sağlandığında, Rug Pull çetesi başka bir adresi Rug Pull uygulayıcısı (Rug Puller) olarak kullanarak hareket eder ve elde edilen fonları birikim adresine transfer eder.

Yukarıdaki süreçte, Deployer'ın borsa aracılığıyla elde ettiği ETH veya Deployer'ın likidite havuzu oluştururken yatırdığı ETH, Rug Pull'un maliyeti olarak kabul edilir (bu maliyetin nasıl hesaplanacağı Deployer'ın davranışına bağlıdır). Rug Puller, Rug Pull'u tamamladıktan sonra fonların saklandığı adrese (veya başka bir ara adrese) transfer edilen ETH ise o Rug Pull'un geliri olarak kabul edilir.

Şunu belirtmek gerekir ki, Rug Pull çeteleri dolandırıcılıklarını gerçekleştirirken, normal likidite havuzu faaliyetlerini simüle etmek için, kendi oluşturdukları Rug Pull Token'larını satın almak amacıyla ETH kullanma yoluna da gidebilirler. Ancak bu maliyet hesaplamalara dahil edilmemiştir, bu nedenle veriler Rug Pull çetelerinin gerçek kârını abartmaktadır; gerçek kâr nispeten daha düşük olacaktır.

Kar payı bakımından en yüksek üç adres sırasıyla 0x1607, 0xDF1a ve 0x2836'dır. 0x1607 adresi en yüksek karı elde etmiştir, yaklaşık 2,668.17 Eter, tüm adreslerin karının.