Khảo sát về các hiện tượng trong hệ sinh thái Web3 Token: Khám phá băng nhóm lừa đảo Rug Pull

Giới thiệu

Trong thế giới Web3, các loại Token mới xuất hiện liên tục, nhưng bạn có bao giờ nghĩ rằng mỗi ngày có bao nhiêu Token mới được phát hành? Những Token mới này có an toàn không?

Những nghi vấn này không phải là vô căn cứ. Trong vài tháng qua, một đội ngũ an ninh đã bắt giữ một lượng lớn các vụ Rug Pull liên quan đến các Token mới ra mắt. Điều tra sâu cho thấy, đằng sau những vụ việc này có một băng nhóm lừa đảo được tổ chức, và chúng có những đặc điểm mang tính quy chuẩn.

Phân tích cho thấy, những băng nhóm này có thể thu hút người dùng mua các đồng tiền giả mạo thông qua chức năng "Theo dõi Token mới" trong các nhóm Telegram. Thống kê cho thấy, từ tháng 11 năm 2023 đến đầu tháng 8 năm 2024, các nhóm này đã推送 tổng cộng 93,930 Token mới, trong đó có 46,526 Token liên quan đến Rug Pull, chiếm tỷ lệ cao tới 49.53%. Các băng nhóm Rug Pull này đã đầu tư khoảng 150,000 ETH, với tỷ suất lợi nhuận đạt gần 28.3 triệu ETH, tương đương khoảng 800 triệu USD.

Trong cùng thời gian, trên mạng chính của Ethereum đã phát hành tổng cộng 100,260 loại Token mới, trong đó 89.99% được gửi qua nhóm Telegram. Trung bình mỗi ngày có khoảng 370 loại Token mới ra đời, vượt xa dự kiến. Điều tra sâu hơn cho thấy, ít nhất 48,265 loại Token liên quan đến lừa đảo Rug Pull, chiếm tỷ lệ lên tới 48.14%. Nói cách khác, gần như mỗi hai Token mới trên mạng chính của Ethereum thì có một Token liên quan đến lừa đảo.

Ngoài ra, cũng đã phát hiện thêm nhiều trường hợp Rug Pull trong các mạng lưới blockchain khác. Điều này có nghĩa là tình hình an ninh của toàn bộ hệ sinh thái token mới phát hành trong Web3 nghiêm trọng hơn mong đợi. Báo cáo này nhằm nâng cao nhận thức phòng ngừa cho người dùng Web3, kêu gọi các bên cùng nhau bảo vệ an toàn cho hệ sinh thái blockchain.

Token ERC-20

ERC-20 là một trong những tiêu chuẩn Token phổ biến nhất trên blockchain, nó định nghĩa một tập hợp các quy tắc, cho phép Token có thể tương tác giữa các hợp đồng thông minh và ứng dụng phi tập trung khác nhau. Tiêu chuẩn ERC-20 quy định các chức năng cơ bản của Token, như chuyển khoản, kiểm tra số dư, ủy quyền cho bên thứ ba quản lý, v.v. Giao thức tiêu chuẩn hóa này đơn giản hóa việc tạo ra và sử dụng Token.

Bất kỳ cá nhân hoặc tổ chức nào cũng có thể phát hành Token dựa trên tiêu chuẩn ERC-20 và huy động vốn cho dự án thông qua việc bán trước. USDT, PEPE, DOGE và các Token khác thuộc loại ERC-20, người dùng có thể mua thông qua sàn giao dịch phi tập trung. Tuy nhiên, một số băng nhóm lừa đảo cũng có thể phát hành các Token ERC-20 độc hại có cài đặt cửa hậu, đưa chúng lên sàn giao dịch phi tập trung để dụ dỗ người dùng mua.

Rug Pull Token của các trường hợp lừa đảo điển hình

Rug Pull là hành vi gian lận khi bên dự án đột ngột rút tiền hoặc từ bỏ dự án, dẫn đến việc nhà đầu tư chịu tổn thất lớn. Token Rug Pull được phát hành đặc biệt để thực hiện loại lừa đảo này.

trường hợp

Kẻ tấn công sử dụng địa chỉ Deployer để triển khai Token TOMMI, sau đó dùng 1.5 ETH và 100 triệu TOMMI để tạo ra một bể thanh khoản, và thông qua các địa chỉ khác chủ động mua Token TOMMI để giả mạo khối lượng giao dịch nhằm thu hút người dùng. Khi có một lượng nhất định các robot đánh mới bị lừa, kẻ tấn công sử dụng địa chỉ Rug Puller để thực hiện Rug Pull, sử dụng 38,739,000 TOMMI để phá bể, đổi lấy khoảng 3.95 ETH. Nguồn Token của Rug Puller đến từ việc ủy quyền ác ý trong hợp đồng Token TOMMI, cho phép nó có thể trực tiếp rút TOMMI từ bể thanh khoản để thực hiện Rug Pull.

Quy trình Rug Pull

1. Kẻ tấn công nạp 2.47 ETH vào Deployer thông qua sàn giao dịch như vốn khởi động.

2. Deployer tạo ra Token TOMMI, khai thác trước 100 triệu Token và phân phối cho bản thân.

3. Deployer sử dụng 1.5 ETH và tất cả các Token để tạo ra bể thanh khoản, nhận được khoảng 0.387 LP Token.

4. Deployer sẽ tiêu hủy LP Token, mất khả năng Rug Pull. Điều này nhằm thu hút robot đánh mới tham gia.

5. Kẻ tấn công sử dụng nhiều địa chỉ để chủ động mua TOMMI Token, đẩy cao khối lượng giao dịch trong bể.

6. Rug Puller chuyển 3,873.9万TOMMI Token từ hồ thanh khoản, sau đó dùng những Token này để phá hồ, rút ra khoảng 3.95 ETH.

7. Kẻ tấn công gửi số tiền thu được tới địa chỉ trung gian, sau đó chuyển tới địa chỉ giữ tiền.

Mã lừa đảo kéo ghế sau

Hợp đồng TOMMI Token khi tạo bể thanh khoản sẽ cho phép bể cấp quyền chuyển Token cho địa chỉ Rug Puller, khiến Rug Puller có thể trực tiếp rút Token từ bể.

phương thức phạm tội hóa

1. Deployer thông qua sàn giao dịch để lấy vốn.
2. Deployer tạo ra bể thanh khoản và hủy bỏ LP Token.
3. Rug Puller sử dụng một lượng lớn Token để đổi lấy ETH trong pool.
4. Rug Puller sẽ chuyển ETH đã nhận được đến địa chỉ giữ tiền.

Những đặc điểm này thường xuất hiện trong các vụ việc bị bắt giữ, cho thấy hành vi Rug Pull có đặc điểm mô hình rõ rệt. Quỹ thường được tập trung vào một địa chỉ giữ tiền, ngụ ý rằng có thể có một băng nhóm lừa đảo đứng sau những vụ việc này.

Băng nhóm thực hiện Rug Pull

Địa chỉ lưu giữ vốn

Phân tích phát hiện 7 địa chỉ lưu giữ vốn hoạt động cao, liên kết với 1,124 trường hợp Rug Pull. Những địa chỉ này sẽ phân tách vốn để sử dụng cho các trò lừa đảo Rug Pull mới, một phần nhỏ sẽ được rút tiền qua sàn giao dịch.

Thống kê cho thấy, những địa chỉ này đã đầu tư khoảng 150,000 ETH, thu lợi gần 283,000 ETH với tỷ suất lợi nhuận 188.7%, tương đương khoảng 800 triệu USD. Ba địa chỉ có tỷ lệ lợi nhuận cao nhất lần lượt là 0x1607, 0xDF1a và 0x2836.

Địa chỉ lưu giữ vốn liên kết

Bằng cách phân tích dòng tiền, có thể chia 7 địa chỉ lưu giữ tiền thành 3 tập hợp:

1. 0xDF1a và 0xDEd0
2. 0x1607 và 0x4856
3. 0x2836, 0x0573, 0xF653 và 0x7dd9

Trong các tập hợp có mối quan hệ chuyển tiền trực tiếp, nhưng giữa các tập hợp thì không có chuyển tiền trực tiếp. Tuy nhiên, cả 3 tập hợp này đều sử dụng cùng một hợp đồng cơ sở để tách ETH thực hiện hành động Rug Pull, điều này gợi ý rằng chúng có thể thuộc về cùng một băng nhóm.

Cơ sở hạ tầng chung

Hai địa chỉ cơ sở hạ tầng chính: 0x1d39 và 0x6348. 0x1d39 chủ yếu được sử dụng để phân tách chuyển khoản và mua Token Rug Pull, 0x6348 có chức năng tương tự.

Thống kê cho thấy, địa chỉ giữ vốn đã phân tách tổng cộng 3.616 lần số tiền thông qua các cơ sở hạ tầng này, tổng số tiền đạt 9.369,98 ETH. Hầu hết các địa chỉ giữ vốn chỉ thực hiện chuyển khoản phân tách thông qua cơ sở hạ tầng, và việc mua các Token Rug Pull được thực hiện bởi địa chỉ nhận số tiền phân tách.

Nguồn tiền gây án

Phân tích cho thấy, trong 1.124 trường hợp Rug Pull, 95,11% số tiền đến từ ví nóng của sàn giao dịch tập trung. Các băng nhóm Rug Pull thường lấy tiền từ nhiều sàn giao dịch cùng lúc để tăng độ khó trong việc truy tìm.

Kênh quảng bá Token Rug Pull

Chủ yếu quảng bá qua Twitter và nhóm Telegram. Những nhóm này được các tổ chức bên thứ ba duy trì, chuyên gửi thông tin về các Token mới ra mắt đến những người tham gia.

Quảng cáo Twitter

Băng nhóm Rug Pull sử dụng tài khoản Twitter của bên thứ ba để quảng cáo, thu hút nạn nhân.

Quảng cáo nhóm Telegram

Nhóm Telegram do đội ngũ robot săn lùng trên chuỗi duy trì sẽ gửi thông tin về các代币 mới và cung cấp lối vào mua sắm thuận tiện. Kiểm tra ngẫu nhiên cho thấy tỷ lệ lớn các代币 được gửi là代币 Rug Pull.

Phân tích hệ sinh thái Token Ethereum

Phân tích Token được gửi trong nhóm Telegram

Trong khoảng thời gian từ tháng 10 năm 2023 đến tháng 8 năm 2024, nhóm Telegram đã gửi tổng cộng 93,930 Token. Theo quy tắc phát hiện Rug Pull, đã phát hiện 46,526 Token Rug Pull, chiếm tỷ lệ 49.53%.

89.84% các Token Rug Pull có thời gian hoạt động dưới 72 giờ, 55.07% dưới 3 giờ. Điều này cho thấy băng nhóm Rug Pull hoạt động rất hiệu quả, phong cách "ngắn gọn và nhanh chóng".

Phân tích Token mạng chính Ethereum

Trong cùng thời gian, mạng chính Ethereum đã phát hành 100,260 Token mới, trong đó 48,265 Token là Token Rug Pull, chiếm 48.14%.

Các Token được đ推送 từ nhóm Telegram chiếm 89,99% tổng số Token trên mạng chính, và kết quả kiểm tra Rug Pull rất nhất quán. Điều này có nghĩa là phân tích các Token được đ推送 từ nhóm Telegram phản ánh khá chính xác tình trạng hệ sinh thái Token trên mạng chính Ethereum.

77.82% các đồng tiền chính trên mạng có vòng đời dưới 72 giờ, cho thấy số lượng Token Rug Pull thực tế có thể nhiều hơn, hoặc có các hình thức lừa đảo khác.

Suy nghĩ

Trong số các Token mới phát hành trên mạng chính Ethereum, tỷ lệ Token Rug Pull lên tới 48,14%, phản ánh sự hỗn loạn trong hệ sinh thái. Tình hình trên các mạng blockchain khác có thể còn tồi tệ hơn. Ngay cả khi loại trừ các Token Rug Pull, Ethereum vẫn có khoảng 140 Token mới được ra mắt mỗi ngày, vượt xa mức hợp lý.

Các vấn đề quan trọng bao gồm:

1. Làm thế nào để nhanh chóng xác định số lượng băng nhóm Rug Pull và liên lạc?
2. Làm thế nào để phân biệt chính xác giữa địa chỉ nạn nhân và kẻ tấn công?
3. Làm thế nào để chuyển việc phát hiện Rug Pull lên trước hoặc trong quá trình?
4. Chiến lược kiếm lời cụ thể của băng nhóm Rug Pull là gì?
5. Ngoài Twitter và Telegram, còn những kênh quảng bá nào khác?

Gợi ý

Đối với các nhà đầu tư muốn tham gia đấu thầu mới, khuyến nghị:

1. Cố gắng mua các Token mới thông qua các sàn giao dịch tập trung nổi tiếng.
2. Khi mua qua sàn giao dịch phi tập trung, hãy chắc chắn kiểm tra trang web chính thức và địa chỉ trên chuỗi.
3. Kiểm tra xem dự án có website chính thức và cộng đồng hoạt động trước khi mua.
4. Tránh mua các Token có thời gian tạo dưới 3 ngày.
5. Sử dụng dịch vụ quét Token của các tổ chức an ninh bên thứ ba.

Kêu gọi

1. Kêu gọi các sàn giao dịch lớn có các biện pháp quản lý nghiêm ngặt hơn đối với dòng tiền độc hại.
2. Kêu gọi các nhà cung cấp dịch vụ bên thứ ba tăng cường kiểm tra an toàn sản phẩm.
3. Kêu gọi các nạn nhân tích cực