Scammers use memecoin ‘trending’ list to lure victims — Researcher

Cointelegraph · 2024-09-30T14:37:13.000Z

Scammers are using a “trending” list on memecoin analytics site GMGN to lure in unsuspecting victims and steal their crypto, according to a Sept. 25 X post from security researcher Roffett.eth. The attackers create coins that allow the developer to transfer any user’s tokens to themselves. They then pass the token back and forth between multiple accounts, artificially inflating its volume and placing it on the GMGN “trending list.” Once the coin makes it onto the trending list, unsuspecting users buy it up, thinking it is a popular coin. But within minutes, their coins are swiped from their wallets, never to be seen again. The developer then redeposits the coin into its liquidity pool and resells it to another victim. Roffet listed Robotaxi, DFC, and Billy’s Dog (NICK) as three examples of malicious coins found on the list. GMGN is an analytics web app that caters to memecoin traders on Base, Solana, Tron, Blast, and Ethereum. Its interface contains several different tabs, including “new pair,” “trending,” and “discover,” each of which lists coins based on different criteria. Roffett claims to have discovered the scam technique when friends purchased coins on the list and found that they had mysteriously disappeared. One friend believed that his wallet had been hacked, but when he created a new wallet and purchased the coins again, they were again drained from his wallet. Magazine: Bankroll Network DeFi hacked, $50M phisher moves crypto on CoW: Crypto-Sec Intrigued by the mystery, Roffett investigated the attacks using a block explorer and found that they appeared to be run-of-the-mill phishing attacks. The attacker called a “permit” function and appeared to have provided the user’s signature, which shouldn’t have been possible unless the user was tricked by a phishing site. However, the friend denied that he had interacted with suspicious websites before either of the two attacks. One of the stolen coins was NICK. So Roffet investigated NICK’s contract code and found that it was “somewhat strange.” Instead of containing the usual stock code found in most token contracts, it had “some very odd and obfuscated methods.” As evidence of these odd methods, Roffet posted an image of NICK’s “performance” and “novel” functions, which have unclear text with no obvious purpose. NICK performance and novel functions. Source: Roffett.eth Eventually, Roffett discovered that the contract had malicious code inside of one of its libraries. This code allowed the “recoverer” (developer) to call the “permit” function without providing the tokenholder’s signature. Roffett stated: “If the caller's address equals the recoverer, then by constructing a specific signature manually, one can obtain the permit permission of any token holder and then transfer the tokens.” However, the recoverer’s address was also obscured. It was listed as a 256-bit, positive, non-zero number. Just below this number was a function that the contract used to derive the address from this number. Roffett used this function to determine that the malicious “recoverer” was a contract whose address ended in f261. Blockchain data shows that this “recoverer” contract has performed over 100 transactions transferring NICK tokens from the token’s holders to other accounts. Malicious account draining NICK from a user. Source: Basescan. Having discovered how this scam worked, Roffett investigated the “trending” list and found at least two other tokens that contained similar code: Robotaxi and DFC. Roffett concluded that scammers have probably been using this technique for some time. He warned users to stay away from this list, as using it may result in them losing funds. He stated: “Malicious developers first use multiple addresses to simulate trading and holding, pushing the token onto the trending list. This attracts small retail investors to buy, and eventually, the ERC20 tokens are stolen, completing the scam. The existence of these trending lists is extremely harmful to novice retail investors. I hope everyone becomes aware of this and doesn't fall for it.” Scam tokens or “honeypots” continue to pose risks to crypto users. In April, a scam token developer drained $1.62 million from victims by selling them a BONKKILLER token that did not allow users to sell it. In 2022, blockchain risk management firm Solidus released a report warning that over 350 scam coins had been created over the course of the year.

Escrocii folosesc o listă „în tendințe” pe site-ul de analiză memecoin GMGN pentru a atrage victimele nebănuitoare și pentru a le fura cripto, conform unei postări X din 25 septembrie a cercetătorului de securitate Roffett.eth.
Atacatorii creează monede care permit dezvoltatorului să transfere jetoanele oricărui utilizator către ei înșiși. Apoi trec simbolul înainte și înapoi între mai multe conturi, umflandu-i în mod artificial volumul și plasându-l pe „lista de tendințe” GMGN.
Odată ce moneda ajunge pe lista de tendințe, utilizatorii nebănuiți o cumpără, crezând că este o monedă populară. Dar în câteva minute, monedele lor sunt scoase din portofel, pentru a nu mai fi văzute niciodată. Apoi, dezvoltatorul redepune moneda în fondul său de lichiditate și o revinde unei alte victime.
Roffet a enumerat Robotaxi, DFC și Billy’s Dog (NICK) drept trei exemple de monede rău intenționate găsite pe listă.
GMGN este o aplicație web de analiză care se adresează comercianților de memecoin pe Base, Solana, Tron, Blast și Ethereum. Interfața sa conține mai multe file diferite, inclusiv „pereche nouă”, „în tendințe” și „descoperire”, fiecare dintre acestea listând monede pe baza unor criterii diferite.
Roffett susține că a descoperit tehnica înșelătoriei atunci când prietenii au cumpărat monede de pe listă și au descoperit că acestea au dispărut în mod misterios. Un prieten a crezut că portofelul i-a fost spart, dar când a creat un nou portofel și a cumpărat din nou monedele, acestea au fost din nou scurse din portofel.
Revista: ​​Rețeaua Bankroll DeFi piratată, phisher de 50 de milioane de dolari mută cripto pe CoW: Crypto-Sec
Intrigat de mister, Roffett a investigat atacurile folosind un explorator de blocuri și a descoperit că acestea păreau a fi atacuri de phishing obișnuite. Atacatorul a apelat la o funcție „permis” și părea să fi furnizat semnătura utilizatorului, ceea ce nu ar fi trebuit să fie posibil decât dacă utilizatorul a fost păcălit de un site de phishing. Cu toate acestea, prietenul a negat că ar fi interacționat cu site-uri web suspecte înainte de oricare dintre cele două atacuri.
Una dintre monedele furate a fost NICK. Așa că Roffet a investigat codul de contract al lui NICK și a descoperit că era „oarecum ciudat”. În loc să conțină codul de stoc obișnuit care se găsește în majoritatea contractelor cu simboluri, avea „unele metode foarte ciudate și obscucate”.
Ca dovadă a acestor metode ciudate, Roffet a postat o imagine a funcțiilor „performanțe” și „romane” ale NICK, care au text neclar, fără un scop evident.
Performanță NICK și funcții noi. Sursa: Roffett.eth
În cele din urmă, Roffett a descoperit că contractul avea cod rău intenționat în interiorul uneia dintre bibliotecile sale. Acest cod a permis „recupertorului” (dezvoltatorului) să apeleze funcția „permis” fără a furniza semnătura deținătorului de token. Roffett a declarat:
„Dacă adresa apelantului este egală cu recuperatorul, atunci prin construirea manuală a unei semnături specifice, se poate obține permisiunea oricărui deținător de token și apoi se poate transfera jetoanele.”
Cu toate acestea, adresa recuperatorului a fost, de asemenea, ascunsă. A fost listat ca un număr de 256 de biți, pozitiv, diferit de zero. Chiar sub acest număr era o funcție pe care contractul a folosit-o pentru a deriva adresa din acest număr. Roffett a folosit această funcție pentru a determina că „recuperătorul” rău intenționat era un contract a cărui adresă se termina în f261. 
Datele blockchain arată că acest contract de „recuperare” a efectuat peste 100 de tranzacții transferând jetoane NICK de la deținătorii token-ului în alte conturi.
Cont rău intenționat care drenează NICK de la un utilizator. Sursa: Basescan.
După ce a descoperit cum a funcționat această înșelătorie, Roffett a investigat lista „în tendințe” și a găsit cel puțin alte două jetoane care conțineau cod similar: Robotaxi și DFC.
Roffett a concluzionat că escrocii probabil folosesc această tehnică de ceva timp. El i-a avertizat pe utilizatori să stea departe de această listă, deoarece utilizarea acesteia poate duce la pierderea fondurilor. El a declarat:
„Dezvoltatorii rău intenționați folosesc mai întâi mai multe adrese pentru a simula tranzacționarea și deținerea, împingând jetonul pe lista de tendințe. Acest lucru atrage micii investitori cu amănuntul să cumpere și, în cele din urmă, jetoanele ERC20 sunt furate, completând înșelătoria. Existența acestor liste de tendințe este extrem de dăunătoare pentru investitorii de retail începători. Sper ca toată lumea să devină conștientă de acest lucru și să nu se îndrăgească de asta.”
Jetoanele de înșelătorie sau „honeypots” continuă să prezinte riscuri pentru utilizatorii cripto. În aprilie, un dezvoltator de token-uri înșelătorie a scurs 1,62 milioane de dolari de la victime vânzându-le un token BONKKILLER care nu le permitea utilizatorilor să-l vândă. În 2022, firma de management al riscului blockchain Solidus a lansat un raport în care avertizează că peste 350 de monede înșelătorie au fost create pe parcursul anului.

Explorați mai multe de la acest creator

Ultimele știri