Дослідження хаосу в екосистемі Web3 Токенів: розкриття шахрайських угруповань Rug Pull

Вступ

У світі Web3 нові токени з'являються один за одним, але чи задумувались ви, скільки нових токенів випускається щодня? Чи є ці нові токени безпечними?

Ці питання не виникають безпідставно. За останні кілька місяців команди безпеки зафіксували велику кількість випадків Rug Pull, пов'язаних з новими токенами. Глибоке розслідування виявило, що за цими випадками стоять організовані шахрайські групи, які мають характерні ознаки.

Аналіз показує, що ці банди можуть залучати користувачів до покупки шахрайських токенів через функцію "Новий трекер токенів" в групах Telegram. Статистика виявила, що з листопада 2023 року до початку серпня 2024 року ці групи загалом просували 93,930 нових токенів, з яких 46,526 пов'язані з Rug Pull, що становить 49,53%. Ці банди Rug Pull вклали близько 150,000 ETH, отримавши прибуток майже 283,000 ETH з рентабельністю 188,7%, що еквівалентно приблизно 800 мільйонам доларів.

Протягом цього періоду на основній мережі Ethereum було випущено 100 260 нових токенів, з яких 89,99% було надіслано через групи Telegram. Середньо щодня з'являється близько 370 нових токенів, що значно перевищує очікування. Глибоке розслідування показало, що принаймні 48 265 токенів пов'язані з шахрайством Rug Pull, що становить 48,14%. Іншими словами, практично кожен другий новий токен на основній мережі Ethereum пов'язаний зі шахрайством.

Крім того, у інших блокчейн-мережах також виявлено більше випадків Rug Pull. Це означає, що безпекова ситуація в новій екосистемі токенів Web3 є більш серйозною, ніж очікувалося. Цей звіт має на меті підвищити обізнаність користувачів Web3 щодо запобігання ризикам і закликати всі сторони спільно підтримувати безпеку блокчейн-екосистеми.

ERC-20 Токен

ERC-20 є одним із найпоширеніших стандартів токенів на блокчейні, який визначає набір норм, що дозволяє токенам взаємодіяти між різними смарт-контрактами та децентралізованими додатками. Стандарт ERC-20 встановлює основні функції токена, такі як переказ, перевірка балансу, уповноваження третіх осіб на управління тощо. Цей стандартизований протокол спрощує створення та використання токенів.

Будь-яка особа чи організація може випускати токени на основі стандарту ERC-20 та залучати кошти для проекту через пре-продаж. USDT, PEPE, DOGE та інші є токенами ERC-20, які користувачі можуть купувати на децентралізованих біржах. Проте деякі шахрайські групи також можуть випускати шкідливі токени ERC-20 з бекдорами, розміщуючи їх на децентралізованих біржах, щоб спонукати користувачів до покупки.

Типові випадки шахрайства з Rug Pull Токенами

Rug Pull - це шахрайство, коли команда проекту раптово забирає кошти або відмовляється від проекту, що призводить до великих втрат для інвесторів. Rug Pull Токен випускається спеціально для здійснення такого шахрайства.

випадок

Зловмисник використав адресу Deployer для розгортання токена TOMMI, а потім створив ліквідний пул з 1,5 ETH та 100 мільйонами токенів TOMMI, активно купуючи токени TOMMI через інші адреси, щоб підробити обсяги торгівлі та залучити користувачів. Коли певна кількість ботів для нових пропозицій попалася на гачок, зловмисник виконав Rug Pull за адресою Rug Puller, використавши 38,739,000 токенів TOMMI для знищення пулу, обмінявши близько 3,95 ETH. Токени Rug Puller походять з зловмисного авторизації контракту токена TOMMI, що дозволяє йому безпосередньо виводити токени TOMMI з ліквідного пулу для виконання Rug Pull.

Процес Rug Pull

1. Зловмисник через біржу поповнює рахунок Deployer на 2.47 ETH як стартовий капітал.

2. Deployer створює токен TOMMI, попередньо видобуває 100 мільйонів токенів і розподіляє їх собі.

3. Deployer використовує 1.5 ETH та всі Токени для створення ліквідності, отримуючи приблизно 0.387 LP токенів.

4. Deployer знищує LP Токен, втрачаючи можливість Rug Pull. Це зроблено для залучення роботів на нові запуски.

5. Зловмисники активно купують токени TOMMI з кількох адрес, штучно підвищуючи обсяг торгів у пулі.

6. Rug Puller вивів з ліквідного пулу 38,739,000 TOMMI Токенів, а потім використав ці токени, щоб вивести близько 3.95 ETH.

7. Зловмисник відправляє отримані кошти на проміжну адресу, а потім на адресу зберігання коштів.

Код для Rug Pull з бекдором

Контракт TOMMI Токену при створенні ліквіднісного пулу надає пулу дозвіл на передачу токенів адресі Rug Puller, що дозволяє Rug Puller безпосередньо виводити токени з пулу.

Моделізація злочинної діяльності

1. Deployer отримує кошти через біржу.
2. Deployer створює ліквідний пул і знищує LP Токен.
3. Rug Puller використовує велику кількість токенів для обміну на ETH у пулі.
4. Rug Puller переведе отримані ETH на адресу зберігання коштів.

Ці характеристики загалом присутні в захоплених випадках, що свідчить про явні патернізації поведінки Rug Pull. Кошти зазвичай збираються на одному адресі зберігання коштів, що натякає на можливу причетність до цих випадків одного й того ж шахрайського угруповання.

Група злочинців Rug Pull

Адреса зберігання коштів

Аналіз виявив 7 високоефективних адрес зберігання коштів, пов'язаних з 1,124 випадками Rug Pull. Ці адреси використовують накопичені кошти для розподілу на нові схеми Rug Pull, а невелика частина через біржі виводиться в готівку.

Статистика показує, що ці адреси інвестували близько 150000 ETH, отримавши прибуток близько 283000 ETH з прибутковістю 188,7%, що становить приблизно 800 мільйонів доларів. Найбільшу частку прибутку отримали три адреси: 0x1607, 0xDF1a та 0x2836.

Зв'язок між адресами зберігання коштів

За допомогою аналізу грошових потоків можна розділити 7 адрес для зберігання коштів на 3 групи:

1. 0xDF1a і 0xDEd0
2. 0x1607 та 0x4856
3. 0x2836, 0x0573, 0xF653 та 0x7dd9

У межах колекції існує пряма передача, але між колекціями немає прямої передачі. Однак ці 3 колекції використовують однаковий контракт інфраструктури для розподілу ETH для операції Rug Pull, що натякає на те, що вони можуть належати до однієї банди.

Спільна інфраструктура

Два основних адреси інфраструктури: 0x1d39 та 0x6348. 0x1d39 в основному використовується для розділення переказів та покупки монет Rug Pull, 0x6348 має подібну функцію.

Статистика показує, що адреси зберігання коштів здійснили загалом 3,616 розподілів коштів через ці інфраструктури, сума склала 9,369.98 ETH. Більшість адрес зберігання коштів виконали розподіл переказів лише через інфраструктури, а операції з купівлі токенів Rug Pull виконувалися адресами, що отримували розподілені кошти.

Джерело фінансування злочину

Аналіз показує, що в 1,124 випадках Rug Pull, 95,11% коштів надходило з гарячих гаманців централізованих бірж. Групи Rug Pull зазвичай отримують фінансування для своїх злочинів одночасно з кількох бірж, щоб ускладнити відстеження.

Канали просування Rug Pull Токенів

Основний спосіб просування - через Twitter та групи в Telegram. Ці групи обслуговуються третім сторонами і спеціально націлені на новачків, які отримують інформацію про нові токени.

Реклама в Twitter

Група Rug Pull використовує Twitter-акаунти третіх осіб для рекламування, залучаючи жертв.

Реклама групи Telegram

Група Telegram, яку підтримує команда ботів для полювання на ланцюзі, публікує нову інформацію про токени та надає зручний вхід для їх покупки. Ручна перевірка виявила, що значна частина публікованих токенів є токенами Rug Pull.

Аналіз екосистеми токенів Ethereum

Пуш-аналіз Токенів у Telegram групі

У період з жовтня 2023 по серпень 2024 року група Telegram надіслала в загальному 93 930 токенів. Згідно з правилами виявлення Rug Pull, було виявлено 46 526 токенів Rug Pull, що становить 49,53%.

89.84% активних Токенів Rug Pull мають час активності менше 72 годин, 55.07% менше 3 годин. Це вказує на високу ефективність дій банд Rug Pull, стиль "коротко і швидко".

Аналіз токенів основної мережі Ethereum

В той же час на основній мережі Ethereum було випущено 100,260 нових Токенів, з яких 48,265 є токенами Rug Pull, що становить 48.14%.

Telegram-групи, що надсилають повідомлення про Токени, складають 89.99% від основної монети, і результати перевірки на Rug Pull є високодостовірними. Це означає, що аналіз Токенів, що надсилаються Telegram-групами, в цілому відображає екологічний стан Токенів на основній мережі Ethereum.

77.82% життєвого циклу основної мережі токенів менше 72 годин, що вказує на те, що фактична кількість токенів Rug Pull може бути більшою, або існують інші форми шахрайства.

Роздуми

На нових токенах, випущених в основній мережі Ethereum, частка токенів Rug Pull становить 48,14%, що відображає хаос в екосистемі. Ситуація на інших блокчейн-мережах може бути ще гіршою. Навіть якщо виключити токени Rug Pull, в Ethereum щодня з'являється близько 140 нових токенів, що значно перевищує обґрунтовану межу.

Ключові питання включають:

1. Як швидко визначити кількість банд Rug Pull та зв'язок з ними?
2. Як точно розрізнити адреси жертви та нападника?
3. Як перенести виявлення Rug Pull на етапи під час або до події?
4. Яка конкретна стратегія отримання прибутку у групи Rug Pull?
5. Які ще канали просування, окрім Twitter та Telegram?

Рекомендації

Для інвесторів, які бажають взяти участь у первинних розміщеннях, рекомендується:

1. Намагайтеся купувати нові Токени через відомі централізовані біржі.
2. Купуючи через децентралізовану біржу, переконайтеся в офіційному вебсайті та адресі в ланцюгу.
3. Перед покупкою перевірте, чи є у проєкту офіційний сайт та активна спільнота.
4. Уникайте покупки токенів, які були створені менше ніж 3 дні тому.
5. Використовуйте токен-сканувальну службу третьої сторони.

Заклик

1. Закликати всі великі біржі до більш суворого регулювання щодо зловмисних грошових потоків.
2. Заклик до сторонніх постачальників послуг посилити перевірку безпеки продуктів.
3. Заклик до жертв бути активними