Понимание схемы Rugpull, стоящей за потерей 15 миллионов долларов

Автор: Ада

TenArmor и GoPlus обладают мощной системой обнаружения Rugpull. Недавно оба партнера объединили усилия, чтобы провести глубокий анализ рисков и исследование случаев в связи с серьезной ситуацией Rugpull, выявив последние приемы и тенденции атак Rugpull и предоставив пользователям эффективные рекомендации по безопасности.

Статистика событий Rugpull

Система обнаружения TenArmor ежедневно фиксирует множество событий Rugpull. Взглянув на данные за последний месяц, можно увидеть, что события Rugpull имеют восходящую тенденцию, особенно 14 ноября, когда количество случаев Rugpull достигло 31. Мы считаем необходимым сообщить об этом явлении сообществу.

Большинство убытков от этих Rugpull событий находятся в диапазоне 0 - 100K, общие убытки составили 15M.

Самым типичным типом Rugpull в области Web3 является пантера. Инструмент проверки безопасности токенов GoPlus может обнаружить, является ли токен пантерой. За последний месяц GoPlus обнаружил 5688 пантер. Больше данных, связанных с безопасностью, можно найти на информационной панели данных GoPlus в DUNE.

TL;DR

Мы обобщили основные моменты предостережения на основе текущих характеристик событий Rugpull.

1. Не следуйте слепо моде, при покупке популярных токенов проверьте, является ли адрес токена настоящим. Избегайте покупки поддельных токенов и попадания в ловушку мошенников.

2. При новых инвестициях проводите должную проверку, проверьте, поступает ли начальный трафик из связанных адресов создателя контракта, если это так, это может означать, что это может быть мошенническая ловушка, постарайтесь избежать.

3. Проверьте исходный код контракта, особенно обратите внимание на реализацию функций transfer/transferFrom, чтобы увидеть, можно ли нормально купить и продать. Избегайте неразборчивого исходного кода.

4. При инвестициях проверьте распределение держателей, если средства явно сосредоточены, постарайтесь избегать.

5. Проверьте источник средств создателя контракта, постарайтесь отмотать назад на 10 переходов, чтобы проверить, не поступают ли средства создателя контракта из подозрительных бирж.

6. Следите за предупреждениями, опубликованными TenArmor, чтобы своевременно ограничить убытки. TenArmor обладает способностью заранее обнаруживать такие Scam Token, следите за аккаунтом X TenArmor для получения своевременных предупреждений.

7. Система TenTrace уже накопила информацию о адресах мошенничества/фишинга/эксплойтов нескольких платформ, что позволяет эффективно идентифицировать приток и отток средств черных адресов. TenArmor стремится улучшить безопасность сообщества и пригласить заинтересованных партнеров к сотрудничеству.

Характеристики событий RugPull

Анализируя множество событий Rugpull, мы обнаружили, что недавние Rugpull имеют следующие характеристики.

Выдача себя за известные токены

С 1 ноября TenArmor обнаружила 5 случаев Rugpull, выдающих себя за токен PNUT. Согласно этому твиту, PNUT начала свою деятельность 1 ноября и за 7 дней выросла в 161 раз, успешно привлекая внимание инвесторов. Время начала работы PNUT и время, когда мошенники начали выдавать себя за PNUT, совпадают. Мошенники выбрали PNUT, чтобы привлечь больше людей, не осведомленных о правде.

Сумма мошенничества в Rugpull, выдающем себя за PNUT, составила 103.1K. TenArmor напоминает пользователям, не следовать слепо моде, при покупке популярных токенов проверьте, является ли адрес токена настоящим.

Против роботов для новых инвестиций

Выпуск новых токенов или проектов обычно вызывает большой интерес на рынке. При первом выпуске токена цена колеблется значительно, даже за одну секунду цена может сильно измениться, что делает скорость торговли ключевым фактором для получения прибыли. Торговые роботы значительно превосходят обычных трейдеров как по скорости, так и по способности реагировать, поэтому роботы для новых инвестиций в настоящее время очень востребованы.

Тем не менее, мошенники также остро ощущают наличие большого числа роботов для новых инвестиций, и расставляют ловушки, дожидаясь, когда роботы для новых инвестиций попадутся на крючок. Например, адрес 0xC757349c0787F087b4a2565Cd49318af2DE0d0d7 с октября 2024 года инициировал более 200 мошеннических случаев, каждый случай от развертывания ловушки контракта до Rugpull заканчивается за несколько часов.

Например, в качестве примера недавнего мошеннического случая, инициированного с этого адреса, мошенник сначала использовал 0xCd93 для создания токена FLIGHT, а затем создал торговую пару FLIGHT/ETH.

После создания торговой пары, сразу же большое количество роботов для новых инвестиций Banana Gun начали мелкие обмены токенов. Анализ показывает, что эти роботы для новых инвестиций контролируются мошенниками с целью создания трафика.

Около 50 небольших сделок создали трафик и привлекли реальных инвесторов. Большинство из этих инвесторов также использовали робота для новых инвестиций Banana Gun для торговли.

После некоторого времени торговли мошенники развернули контракт для Rugpull, видно, что средства этого контракта поступают с адреса 0xC757. Всего через 1 час 42 минуты после развертывания контракта произошло Rugpull, ликвидность была полностью выведена, прибыль составила 27 ETH.

Анализируя методы мошенника, не трудно заметить, что мошенник сначала создает трафик за счет мелких обменов, привлекая роботов для новых инвестиций, а затем разворачивает контракт Rug, дожидаясь достижения ожидаемой прибыли, прежде чем совершить Rug. TenArmor считает, что несмотря на то, что роботы для новых инвестиций могут быстро и удобно покупать новые токены, захватывая первую возможность, необходимо также учитывать присутствие мошенников. При новых инвестициях проводите должную проверку, проверьте, поступает ли начальный трафик из связанных адресов создателя контракта, если это так, избегайте.

Исходный код скрывает тайны

Налогообложение сделок

На изображении ниже представлена реализация функции перевода FLIGHT. Явно видно, что эта реализация перевода значительно отличается от стандартной. Каждый раз при переводе нужно решать, нужно ли взимать налог в зависимости от текущих условий. Этот налог на сделки ограничивает как покупку, так и продажу, что с большой вероятностью указывает на мошеннический токен.

В таких ситуациях пользователю нужно просто проверить исходный код токена, чтобы заметить подозрительные моменты и избежать попадания в ловушку.

Смешение кода

В последнем и значительном обзоре событий Rug Pull от TenArmor: как инвесторы и пользователи должны реагировать. В статье упоминается, что некоторые мошенники, чтобы скрыть свои намерения, намеренно смешивают исходный код, ухудшая его читаемость. Встретив такую ситуацию, немедленно избегайте.

Открытое rugApproved

В множестве событий Rugpull, обнаруженных TenArmor, встречаются и те, кто действуют открыто. Например, эта сделка прямо указывает на намерения.

От развертывания мошенником контракта для Rugpull до фактического Rugpull обычно проходит окно времени. Например, в этом случае окно времени составляет около 3 часов. Для предотвращения такого типа мошенничества следите за аккаунтом X TenArmor, мы будем своевременно отправлять сообщения о развертывании таких рискованных контрактов, чтобы предупредить пользователей о необходимости вывести средства.

Кроме того, rescueEth/recoverStuckETH также является часто используемым интерфейсом Rugpull. Конечно, наличие этого интерфейса не означает, что это действительно Rugpull, его необходимо сочетать с другими характеристиками для идентификации.

Сосредоточение держателей

Недавно TenArmor обнаружила Rugpull события, в которых распределение держателей также было очень характерным. Мы случайным образом выбрали 3 токена, связанных с Rugpull событиями, и распределение их держателей представлено ниже.

0x5b226bdc6b625910961bdaa72befa059be829dbf5d4470adabd7e3108a32cc1a

0x9841cba0af59a9622df4c0e95f68a369f32fbdf6cabc73757e7e1d2762e37115

0x8339e5ff85402f24f35ccf3b7b32221c408680421f34e1be1007c0de31b95f23

На трех этих примерах не трудно заметить, что пара Uniswap V2 является крупнейшим держателем, обладая абсолютным преимуществом по количеству токенов. TenArmor предупреждает пользователей, если они обнаруживают, что держатели токена сосредоточены на одном адресе, например, в паре Uniswap V2, то с этой криптовалютой следует быть осторожными в сделках.

Источник средств

Мы случайным образом выбрали 3 Rugpull события, обнаруженные TenArmor, для анализа источников средств.

Случай 1

tx: 0x0f4b9eea1dd24f1230f9d388422cfccf65f45cf79807805504417c11cf12a291

Отмотав назад на 6 переходов, обнаружили приток средств в FixedFloat.

FixedFloat — это автоматизированная криптовалютная биржа, не требующая от пользователей регистрации или KYC-проверки. Мошенники выбирают привлечение средств из FixedFloat, чтобы скрыть свою личность.

Случай 2

tx: 0x52b6ddf2f57f2c4f0bd4cc7d3d3b4196d316d5e0a4fb749ed29e53e874e36725

Отмотав назад на 5 переходов, обнаружили приток средств в MEXC 1.

15 марта 2024 года Комиссия по ценным бумагам Гонконга выпустила предупреждение о платформе MEXC, в статье упоминается, что MEXC активно продвигает свои услуги среди гонконгских инвесторов, но не получила лицензии от Комиссии по ценным бумагам или не подала заявку на получение лицензии. Комиссия по ценным бумагам внесла MEXC и его веб-сайт в список подозрительных платформ для торговли виртуальными активами.

Случай 3

tx: 0x8339e5ff85402f24f35ccf3b7b32221c408680421f34e1be1007c0de31b95f23

Отмотав на 5 переходов, обнаружили приток средств в Disperse.app.

Disperse.app используется для распределения ETH среди различных адресов контрактов (распределение эфира или токенов на несколько адресов).

Анализируя сделки, мы обнаружили, что вызывающий Disperse.app является 0x511E04C8f3F88541d0D7DFB662d71790A419a039, и, отмотав на 2 перехода, также обнаружили приток средств в Disperse.app.

Анализируя сделки, мы обнаружили, что вызывающий Disperse.app является 0x97e8B942e91275E0f9a841962865cE0B889F83ac, и, отмотав на 2 перехода, обнаружили приток средств в MEXC 1.

Анализируя вышеупомянутые 3 случая, мошенники выбрали биржи без KYC и лицензий для ввода средств. TenArmor напоминает пользователям, что при инвестициях в новые токены следует проверить, не поступают ли средства создателя контракта из подозрительных бирж.

Меры предосторожности

На основе данных TenArmor и GoPlus, эта статья комплексно рассматривает технические характеристики Rugpull и демонстрирует представительные примеры. В ответ на вышеупомянутые характеристики Rugpull, мы обобщили соответствующие меры предостережения.

1. Не следуйте слепо моде, при покупке популярных токенов проверьте, является ли адрес токена настоящим. Избегайте покупки поддельных токенов и попадания в ловушку мошенников.

2. При новых инвестициях проводите должную проверку, проверьте, поступает ли начальный трафик из связанных адресов создателя контракта, если это так, это может означать, что это может быть мошенническая ловушка, постарайтесь избежать.

3. Проверьте исходный код контракта, особенно обратите внимание на реализацию функций transfer/transferFrom, чтобы увидеть, можно ли нормально купить и продать. Избегайте неразборчивого исходного кода.

4. При инвестициях проверьте распределение держателей, если средства явно сосредоточены, постарайтесь избежать выбора этой криптовалюты.

5. Проверьте источник средств создателя контракта, постарайтесь отмотать назад на 10 переходов, чтобы проверить, не поступают ли средства создателя контракта из подозрительных бирж.

6. Следите за предупреждениями, опубликованными TenArmor, чтобы своевременно ограничить убытки. TenArmor обладает способностью заранее обнаруживать такие Scam Token, следите за аккаунтом X TenArmor, чтобы получать своевременные предупреждения.

Все злонамеренные адреса, связанные с этими Rugpull событиями, будут немедленно внесены в систему TenTrace. Система TenTrace — это собственная разработка TenArmor для борьбы с отмыванием денег (AML), которая применима в множестве сценариев, включая борьбу с отмыванием денег, мошенничеством, отслеживание личностей злоумышленников и т.д. Система TenTrace уже накопила информацию о адресах мошенничества/фишинга/эксплойтов нескольких платформ, что позволяет эффективно идентифицировать приток средств черных адресов и точно отслеживать отток средств с черных адресов. TenArmor стремится улучшить безопасность сообщества и пригласить заинтересованных партнеров к сотрудничеству.

О TenArmor

TenArmor — это ваша первая линия защиты в мире Web3. Мы предоставляем передовые решения по безопасности, сосредоточенные на решении уникальных проблем, связанных с блокчейн-технологиями. С помощью наших инновационных продуктов ArgusAlert и VulcanShield мы обеспечиваем защиту от потенциальных угроз в реальном времени и быструю реакцию. Наша команда экспертов хорошо разбирается во всем, от аудита смарт-контрактов до отслеживания криптовалют, что делает нас предпочтительным партнером для любой организации, стремящейся защитить свои цифровые активы в децентрализованной сфере.

Следите за нами @TenArmorAlert, чтобы своевременно получать наши последние предупреждения по безопасности Web3.

Свяжитесь с нами:

X: @TenArmor

Почта: team@tenarmor.com

Телеграм: TenArmorTeam

Medium: TenArmor

О GoPlus

GoPlus, как первая сеть защиты на блокчейне, направлена на предоставление каждому пользователю наиболее простых в использовании и всесторонних мер безопасности на блокчейне, чтобы обеспечить безопасность каждой сделки и активов пользователей.

Архитектура безопасности в основном разделена на GoPlus APP, непосредственно ориентированное на конечных пользователей (веб-версия и браузерные расширения), и GoPlus Intelligence, косвенно обслуживающее конечных пользователей (через интеграцию или подключение B-сегмента), охватывающее наиболее обширную аудиторию пользователей Web3 и различные торговые сценарии, стремясь создать открытую, ориентированную на пользователя сеть защиты на блокчейне:

С одной стороны, любой проект может самостоятельно подключить GoPlus, чтобы предоставить пользователям защиту на блокчейне, с другой стороны, GoPlus также позволяет разработчикам использовать свои преимущества, развертывая инновационные безопасные продукты на рынке безопасности GoPlus, пользователи могут самостоятельно выбирать и настраивать удобные, персонализированные услуги безопасности, создавая открытую децентрализованную экосистему безопасности, в которой разработчики и пользователи сотрудничают.

На данный момент GoPlus стал предпочтительным партнером по безопасности для строителей Web3, его услуги безопасности на блокчейне широко используются и интегрируются такими компаниями, как Trust Wallet, CoinMarketCap, OKX, Bybit, DexScreener, SushiSwap и т.д., среднее количество вызовов в день превышает 34 миллиона, общее количество вызовов превысило 4 миллиарда, покрывая более 90% пользователей в сделках на блокчейне, а его открытая платформа безопасных приложений уже обслужила более 12 миллионов пользователей на блокчейне.

Наше сообщество:

X: @GoPlusSecurity

Дискорд: GoPlusSecurity

Medium: GoPlusSecurity