Hiểu về cách lừa đảo Rugpull gây thiệt hại 15 triệu đô la Mỹ.

Đừng tái phạm sai lầm.

Tác giả: Ada

TenArmor và GoPlus sở hữu hệ thống phát hiện Rugpull mạnh mẽ. Gần đây, cả hai đã hợp tác chặt chẽ, đối với tình hình Rugpull nghiêm trọng gần đây, đã thực hiện phân tích rủi ro sâu và nghiên cứu trường hợp, tiết lộ các chiêu thức và xu hướng tấn công Rugpull mới nhất, đồng thời cung cấp cho người dùng các đề xuất bảo vệ an toàn hiệu quả.

Dữ liệu thống kê sự kiện Rugpull

Hệ thống phát hiện của TenArmor mỗi ngày đều phát hiện ra nhiều sự kiện Rugpull. Nhìn lại dữ liệu của tháng trước, sự kiện Rugpull có xu hướng tăng, đặc biệt là vào ngày 14 tháng 11, ngày đó có tới 31 sự kiện Rugpull. Chúng tôi cho rằng cần thiết phải tiết lộ hiện tượng này với cộng đồng.

Các sự kiện Rugpull này có mức tổn thất phần lớn nằm trong khoảng 0 - 100K, tổng cộng lỗ lên đến 15M.

Loại Rugpull điển hình nhất trong lĩnh vực Web3 là loại Phỉ Thúy. Công cụ kiểm tra an toàn Token của GoPlus có thể phát hiện token có phải là Phỉ Thúy hay không. Trong tháng qua, GoPlus đã phát hiện tổng cộng 5688 Phỉ Thúy. Các dữ liệu liên quan đến an toàn khác có thể truy cập vào bảng điều khiển dữ liệu của GoPlus tại DUNE.

TL;DR

Chúng tôi tổng hợp các điểm phòng ngừa dựa trên đặc điểm của các sự kiện Rugpull hiện tại như sau.

1. Đừng mù quáng theo đuổi, khi mua các đồng tiền hot, hãy xem địa chỉ của đồng tiền có phải là địa chỉ thực sự không. Ngăn ngừa việc mua phải đồng tiền giả, rơi vào bẫy lừa đảo.

2. Khi đặt hàng, hãy thực hiện thẩm định kỹ lưỡng, xem lưu lượng ban đầu có nguồn gốc từ địa chỉ liên quan của người triển khai hợp đồng không, nếu có thì có thể có một cái bẫy lừa đảo, hãy cố gắng tránh xa.

3. Kiểm tra mã nguồn của hợp đồng, đặc biệt chú ý đến việc thực hiện hàm transfer/transferFrom, xem có thể mua và bán bình thường hay không. Đối với mã nguồn bị làm khó, cần phải tránh.

4. Khi đầu tư, hãy xem xét tình hình phân bố của Holder, nếu có sự tập trung vốn rõ ràng, hãy cố gắng tránh xa.

5. Kiểm tra nguồn vốn của người phát hành hợp đồng, cố gắng theo dấu 10 bước, xem nguồn vốn của người phát hành hợp đồng có đến từ sàn giao dịch đáng ngờ không.

6. Theo dõi thông tin cảnh báo từ TenArmor để kịp thời cắt lỗ. TenArmor có khả năng phát hiện sớm đối với loại Scam Token này, hãy theo dõi tài khoản X của TenArmor để nhận thông tin cảnh báo kịp thời.

7. Hệ thống TenTrace hiện đã tích lũy được thông tin về địa chỉ Scam/Phishing/Exploit từ nhiều nền tảng, có thể hiệu quả nhận diện dòng tiền đi vào và ra từ các địa chỉ đen. TenArmor cam kết cải thiện môi trường an toàn cho cộng đồng, chào đón các đối tác có nhu cầu hợp tác.

Đặc điểm của sự kiện RugPull

Thông qua phân tích nhiều sự kiện Rugpull, chúng tôi nhận thấy những Rugpull gần đây có những đặc điểm sau.

Giả mạo đồng tiền nổi tiếng hiện tại

Từ ngày 1 tháng 11, hệ thống phát hiện của TenArmor đã phát hiện 5 sự kiện Rugpull giả mạo token PNUT. Theo phân tích trong tweet này, PNUT đã bắt đầu hoạt động vào ngày 1 tháng 11 và tăng giá 161 lần trong 7 ngày, thành công thu hút sự chú ý của các nhà đầu tư. Thời điểm PNUT hoạt động và tăng giá trùng khớp với thời điểm kẻ lừa đảo bắt đầu giả mạo PNUT. Kẻ lừa đảo lựa chọn giả mạo PNUT để thu hút thêm nhiều người không rõ thực hư.

Sự kiện Rugpull giả mạo PNUT đã lừa đảo tổng cộng 103.1K. TenArmor nhắc nhở người dùng, đừng mù quáng theo đuổi, khi mua các đồng tiền hot, hãy xem địa chỉ của đồng tiền có phải là địa chỉ thực sự không.

Đối với robot đặt hàng

Việc phát hành đồng coin mới hoặc dự án mới thường sẽ thu hút sự chú ý lớn từ thị trường. Khi đồng coin mới được phát hành lần đầu, giá cả sẽ biến động mạnh, thậm chí giá trong một giây trước và một giây sau có thể chênh lệch xa nhau, việc theo đuổi tốc độ giao dịch trở thành mục tiêu chính để kiếm lợi nhuận. Robot giao dịch có tốc độ và khả năng phản ứng vượt xa các nhà giao dịch thủ công, vì vậy robot đặt hàng hiện nay rất được ưa chuộng.

Tuy nhiên, kẻ lừa đảo cũng nhạy bén nhận ra sự tồn tại của nhiều robot đặt hàng, vì vậy đã giăng bẫy, chờ robot đặt hàng mắc câu. Ví dụ, địa chỉ 0xC757349c0787F087b4a2565Cd49318af2DE0d0d7 từ tháng 10 năm 2024 đã phát động hơn 200 sự kiện lừa đảo, mỗi sự kiện từ khi triển khai hợp đồng bẫy đến khi Rugpull đều kết thúc trong vòng vài giờ.

Lấy sự kiện lừa đảo gần đây từ địa chỉ này làm ví dụ, kẻ lừa đảo trước tiên đã sử dụng 0xCd93 để tạo token FLIGHT, sau đó tạo cặp giao dịch FLIGHT/ETH.

Sau khi cặp giao dịch được tạo ra, lập tức có một lượng lớn robot đặt hàng Banana Gun đổ vào để đổi token nhỏ. Phân tích cho thấy những robot này đều do kẻ lừa đảo điều khiển, mục đích là để tạo ra lưu lượng.

Khoảng 50 giao dịch nhỏ lẻ, sau khi tạo được lưu lượng, đã thu hút được các nhà đầu tư thực sự. Hầu hết những nhà đầu tư này cũng đã sử dụng robot đặt hàng Banana Gun để giao dịch.

Sau một thời gian giao dịch, kẻ lừa đảo đã triển khai hợp đồng dùng để Rugpull, có thể thấy nguồn vốn của hợp đồng này đến từ địa chỉ 0xC757. Sau khi triển khai hợp đồng, chỉ sau 1 giờ 42 phút đã thực hiện Rugpull, rút cạn thanh khoản, thu lợi 27 ETH.

Phân tích chiêu trò của kẻ lừa đảo không khó nhận ra, kẻ lừa đảo trước tiên tạo lưu lượng bằng cách đổi nhỏ, thu hút robot đặt hàng, sau đó triển khai hợp đồng Rug, khi lợi nhuận đạt kỳ vọng thì thực hiện Rug. TenArmor cho rằng, mặc dù robot đặt hàng có thể mua được coin mới một cách nhanh chóng và tiện lợi, nhưng cũng cần phải xem xét sự tồn tại của kẻ lừa đảo. Khi đặt hàng, cần thực hiện thẩm định kỹ lưỡng, xem lưu lượng ban đầu có nguồn gốc từ địa chỉ liên quan của người triển khai hợp đồng không, nếu có thì nên tránh.

Mã nguồn ẩn chứa bí ẩn

Thuế giao dịch

Hình dưới đây là mã cài đặt hàm chuyển nhượng của FLIGHT. Có thể thấy rõ rằng việc thực hiện chuyển nhượng này và thực hiện tiêu chuẩn có sự khác biệt lớn. Mỗi lần chuyển nhượng phải theo điều kiện hiện tại để quyết định có thu thuế hay không. Thuế giao dịch này khiến việc mua và bán đều bị hạn chế, điều này có khả năng cao là đồng tiền lừa đảo.

Trong tình huống này, người dùng chỉ cần kiểm tra mã nguồn của token là có thể phát hiện ra nghi ngờ, tránh rơi vào bẫy.

Mã nguồn bị làm khó

Trong bài viết gần đây về sự kiện Rug Pull lớn và mới nhất của TenArmor: nhà đầu tư và người dùng nên ứng phó như thế nào, có đề cập rằng một số kẻ lừa đảo cố tình làm khó mã nguồn để người dùng không hiểu được ý định của chúng. Khi gặp tình huống này, hãy ngay lập tức tránh xa.

Rugpull trắng trợn

Trong số nhiều sự kiện Rugpull mà TenArmor phát hiện, không thiếu những kẻ lừa đảo trắng trợn. Chẳng hạn, giao dịch này đã chỉ rõ ý định.

Từ khi kẻ lừa đảo triển khai hợp đồng dùng để Rugpull đến khi thực sự Rugpull thường có một khoảng thời gian. Ví dụ, trong trường hợp này, khoảng thời gian gần 3 giờ. Đối với loại hình lừa đảo này, có thể theo dõi tài khoản X của TenArmor, chúng tôi sẽ kịp thời gửi thông báo về các hợp đồng rủi ro này, nhắc nhở người dùng rút vốn kịp thời.

Ngoài ra, rescueEth/recoverStuckETH cũng là giao diện Rugpull thường được sử dụng. Tất nhiên, có giao diện này không có nghĩa là thực sự là Rugpull, còn cần phải kết hợp với các đặc điểm khác để nhận diện.

Tập trung Holder

Trong các sự kiện Rugpull gần đây mà TenArmor đã phát hiện, tình hình phân bố của Holder cũng rất đặc trưng. Chúng tôi đã chọn ngẫu nhiên 3 token có liên quan đến sự kiện Rugpull để phân tích tình hình phân bố của Holder. Tình hình như sau.

0x5b226bdc6b625910961bdaa72befa059be829dbf5d4470adabd7e3108a32cc1a

0x9841cba0af59a9622df4c0e95f68a369f32fbdf6cabc73757e7e1d2762e37115

0x8339e5ff85402f24f35ccf3b7b32221c408680421f34e1be1007c0de31b95f23

Trong 3 trường hợp này, không khó để nhận ra rằng cặp Uniswap V2 là Holder lớn nhất, chiếm ưu thế tuyệt đối về số lượng nắm giữ. TenArmor nhắc nhở người dùng, nếu phát hiện một đồng tiền có Holder tập trung vào một địa chỉ nào đó, chẳng hạn như trong cặp Uniswap V2, thì đồng tiền đó cần được giao dịch cẩn thận.

Nguồn vốn

Chúng tôi đã ngẫu nhiên chọn 3 sự kiện Rugpull mà TenArmor phát hiện để phân tích nguồn vốn.

Trường hợp 1

tx: 0x0f4b9eea1dd24f1230f9d388422cfccf65f45cf79807805504417c11cf12a291

Theo dấu 6 bước để phát hiện dòng tiền vào FixedFloat.

FixedFloat là một sàn giao dịch tiền điện tử tự động hóa không yêu cầu người dùng đăng ký hoặc xác minh KYC. Kẻ lừa đảo chọn đưa vốn từ FixedFloat có thể ẩn danh.

Trường hợp 2

tx: 0x52b6ddf2f57f2c4f0bd4cc7d3d3b4196d316d5e0a4fb749ed29e53e874e36725

Theo dấu 5 bước để phát hiện dòng tiền vào MEXC 1.

Ngày 15 tháng 3 năm 2024, Ủy ban Chứng khoán Hồng Kông đã phát hành cảnh báo về nền tảng MEXC, bài viết đề cập rằng MEXC đã tích cực quảng bá dịch vụ của mình cho các nhà đầu tư Hồng Kông, nhưng họ chưa có giấy phép từ Ủy ban Chứng khoán hoặc đã xin giấy phép. Ủy ban Chứng khoán đã đưa MEXC và trang web của họ vào danh sách cảnh báo các nền tảng giao dịch tài sản ảo đáng ngờ vào ngày 15 tháng 3 năm 2024.

Trường hợp 3

tx: 0x8339e5ff85402f24f35ccf3b7b32221c408680421f34e1be1007c0de31b95f23

Theo dấu 5 bước để phát hiện dòng tiền vào Disperse.app.

Disperse.app được sử dụng để phân phối ETH cho các địa chỉ hợp đồng khác nhau (phân phối ether hoặc token cho nhiều địa chỉ).

Phân tích giao dịch cho thấy người gọi Disperse.app này là 0x511E04C8f3F88541d0D7DFB662d71790A419a039, theo dấu 2 bước lại phát hiện dòng tiền vào Disperse.app.

Phân tích giao dịch cho thấy người gọi Disperse.app này là 0x97e8B942e91275E0f9a841962865cE0B889F83ac, theo dấu 2 bước lại phát hiện dòng tiền vào MEXC 1.

Phân tích 3 trường hợp trên, kẻ lừa đảo đã chọn các sàn giao dịch không KYC và không có giấy phép để gửi tiền. TenArmor nhắc nhở người dùng, khi đầu tư vào đồng coin mới, hãy kiểm tra xem nguồn vốn của người triển khai hợp đồng có đến từ sàn giao dịch đáng ngờ không.

Biện pháp phòng ngừa

Dựa trên tập hợp dữ liệu của TenArmor và GoPlus, bài viết này đã tổng hợp các đặc điểm kỹ thuật của Rugpull và trình bày các trường hợp tiêu biểu. Dựa trên những đặc điểm Rugpull trên, chúng tôi đã tổng hợp các biện pháp phòng ngừa tương ứng như sau.

1. Đừng mù quáng theo đuổi, khi mua các đồng tiền hot, hãy xem địa chỉ của đồng tiền có phải là địa chỉ thực sự không. Ngăn ngừa việc mua phải đồng tiền giả, rơi vào bẫy lừa đảo.

2. Khi đặt hàng, hãy thực hiện thẩm định kỹ lưỡng, xem lưu lượng ban đầu có nguồn gốc từ địa chỉ liên quan của người triển khai hợp đồng không, nếu có thì có thể có một cái bẫy lừa đảo, hãy cố gắng tránh xa.

3. Kiểm tra mã nguồn của hợp đồng, đặc biệt chú ý đến việc thực hiện hàm transfer/transferFrom, xem có thể mua và bán bình thường hay không. Đối với mã nguồn bị làm khó, cần phải tránh.

4. Khi đầu tư, hãy xem xét tình hình phân bố của Holder, nếu có sự tập trung vốn rõ ràng, hãy cố gắng tránh chọn đồng tiền đó.

5. Kiểm tra nguồn vốn của người phát hành hợp đồng, cố gắng theo dấu 10 bước, xem nguồn vốn của người phát hành hợp đồng có đến từ sàn giao dịch đáng ngờ không.

6. Theo dõi thông tin cảnh báo từ TenArmor để kịp thời cắt lỗ. TenArmor có khả năng phát hiện sớm đối với loại Scam Token này, hãy theo dõi tài khoản X của TenArmor để nhận thông tin cảnh báo kịp thời.

Các địa chỉ độc hại liên quan đến các sự kiện Rugpull này sẽ được đưa vào hệ thống TenTrace theo thời gian thực. Hệ thống TenTrace là hệ thống chống rửa tiền (AML) do TenArmor tự phát triển, áp dụng cho chống rửa tiền, chống lừa đảo, theo dõi danh tính kẻ tấn công và nhiều tình huống khác. Hệ thống TenTrace hiện đã tích lũy được thông tin về địa chỉ Scam/Phishing/Exploit từ nhiều nền tảng, có thể hiệu quả nhận diện dòng tiền vào từ các địa chỉ đen, và có thể theo dõi chính xác dòng tiền ra từ các địa chỉ đen. TenArmor cam kết cải thiện môi trường an toàn cho cộng đồng, chào đón các đối tác có nhu cầu hợp tác.

Về TenArmor

TenArmor là hàng rào đầu tiên của bạn trong thế giới Web3. Chúng tôi cung cấp các giải pháp an toàn tiên tiến, tập trung vào việc giải quyết những thách thức độc đáo mà công nghệ blockchain mang lại. Thông qua các sản phẩm đổi mới của chúng tôi như ArgusAlert và VulcanShield, chúng tôi đảm bảo bảo vệ kịp thời và phản ứng nhanh chóng trước các mối đe dọa tiềm tàng. Đội ngũ chuyên gia của chúng tôi thành thạo từ kiểm toán hợp đồng thông minh đến theo dõi tiền điện tử, trở thành đối tác ưa thích của bất kỳ tổ chức nào muốn bảo vệ tài sản kỹ thuật số của mình trong lĩnh vực phi tập trung.

Theo dõi chúng tôi @TenArmorAlert, để kịp thời nhận được các cảnh báo an toàn Web3 mới nhất từ chúng tôi.

Chào mừng bạn liên hệ với chúng tôi:

X: @TenArmor

Mail: team@tenarmor.com

Telegram: TenArmorTeam

Medium: TenArmor

Về GoPlus

GoPlus là mạng lưới bảo vệ an toàn trên chuỗi đầu tiên, nhằm cung cấp cho mỗi người dùng sự bảo đảm an toàn trên chuỗi dễ sử dụng và toàn diện nhất, để đảm bảo mỗi giao dịch và tài sản của người dùng được an toàn.

Cấu trúc dịch vụ an toàn chủ yếu chia thành GoPlus APP trực tiếp hướng đến người dùng C (sản phẩm trên web và plugin trình duyệt) và GoPlus Intelligence gián tiếp phục vụ người dùng C (thông qua tích hợp hoặc kết nối B), đã bao phủ nhóm người dùng Web3 rộng rãi nhất và các tình huống giao dịch khác nhau, nhằm xây dựng một mạng lưới bảo vệ an toàn trên chuỗi mở, do người dùng dẫn dắt:

Một mặt, bất kỳ dự án nào cũng có thể tự kết nối với GoPlus để cung cấp bảo vệ an toàn trên chuỗi cho người dùng, mặt khác, GoPlus cũng cho phép các nhà phát triển tận dụng lợi thế của mình để triển khai các sản phẩm an toàn đổi mới vào thị trường an toàn của GoPlus, người dùng có thể tự chọn và cấu hình dịch vụ an toàn tiện lợi, cá nhân hóa, từ đó xây dựng một hệ sinh thái an toàn phi tập trung mở giữa các nhà phát triển và người dùng.

Hiện tại, GoPlus đã trở thành đối tác an toàn được các Builder Web3 lựa chọn, dịch vụ an toàn trên chuỗi của họ đã được Trust Wallet, CoinMarketCap, OKX, Bybit, DexScreener, SushiSwap và nhiều đơn vị khác áp dụng và tích hợp rộng rãi, trung bình mỗi ngày gọi hơn 34 triệu lần, tổng số lần gọi đã vượt 40 tỷ lần, phủ sóng trên 90% giao dịch trên chuỗi của người dùng, nền tảng ứng dụng an toàn mở của họ cũng đã phục vụ hơn 12 triệu người dùng trên chuỗi.

Cộng đồng của chúng tôi:

X: @GoPlusSecurity

Discord: GoPlusSecurity

Medium: GoPlusSecurity