# イーサリアムトークンエコシステムの混乱を暴く: Rug Pull事例の深掘り調査## イントロダクションWeb3の世界では、新しいトークンが次々と登場しています。毎日、実際にどれだけの新しいトークンが発行されているのか考えたことはありますか？これらの新しいトークンは安全ですか？これらの疑問が生じたのは無意味ではありません。過去数ヶ月の間に、あるセキュリティチームは大量のRug Pull取引の事例を捉えました。注目すべきは、これらの事例に関与しているトークンは例外なく、ちょうどブロックチェーンに上がったばかりの新しいトークンであるということです。その後、チームはこれらのRug Pullのケースを詳細に調査し、背後に組織化された犯罪グループが存在することを発見し、これらの詐欺のパターン化された特徴をまとめました。これらのグループの手口を深く分析することで、Rug Pullグループの可能な詐欺的なプロモーション手段の一つを発見しました: Telegramグループです。これらのグループは、特定のグループ内の"New Token Tracer"機能を利用して、ユーザーを詐欺トークンの購入に誘導し、最終的にRug Pullで利益を得るのです。このチームは、2023年11月から2024年8月初旬までの期間にこれらのTelegramグループのトークンプッシュ情報を統計し、合計93,930種類の新しいトークンがプッシュされたことを発見しました。その中で、Rug Pullに関与するトークンは46,526種類で、割合は49.53%に達します。統計によると、これらのRug Pullトークンの背後にいるグループの累積投入コストは149,813.72 ETHであり、高い188.7%のリターンで282,699.96 ETHを利益として得ており、約8億ドルに相当します。! [Rug Pull事件の詳細な調査、イーサリアムトークンエコシステムの混乱を明らかにする](https://img-cdn.gateio.im/social/moments-a0a59cfa0d101a0dfe9e28654eca11c4)Telegramグループからの新しいトークンがイーサリアムメインネットで占める割合を評価するために、チームは同じ期間中にイーサリアムメインネットで発行された新しいトークンのデータを集計しました。データによると、この期間中に合計100,260種類の新しいトークンが発行され、その中でTelegramグループからのトークンはメインネットの89.99%を占めています。平均して毎日約370種類の新しいトークンが誕生しており、合理的な予想を大きく上回っています。継続的な調査の結果、発見された真実は不安を感じさせるものでした------その中で少なくとも48,265種類のトークンがRug Pull詐欺に関与しており、その割合は48.14%に達しています。言い換えれば、イーサリアムメインネット上の新しいトークンのほぼ2つに1つが詐欺に関与しているということです。さらに、チームは他のブロックチェーンネットワークでも多くのRug Pull事例を発見しました。これは、イーサリアムメインネットだけでなく、全体のWeb3新発トークンエコシステムのセキュリティ状況が予想以上に厳しいことを意味します。したがって、チームはこの調査報告書を作成し、すべてのWeb3メンバーが防止意識を高め、次々と現れる詐欺に直面した際に警戒を怠らず、適時に必要な予防措置を講じて自分の資産の安全を守ることができるように願っています。## ERC-20トークン(Token)正式にこの報告を始める前に、まずはいくつかの基本概念を理解しましょう。ERC-20トークンは現在ブロックチェーン上で最も一般的なトークン標準の一つであり、一連の規範を定義し、トークンが異なるスマートコントラクトや分散型アプリケーション(dApp)間で相互運用できるようにします。ERC-20標準は、トークンの基本機能、例えば送金、残高照会、第三者によるトークン管理の承認などを規定しています。この標準化されたプロトコルにより、開発者はトークンの発行と管理をより容易に行うことができるため、トークンの作成と使用が簡素化されます。実際、個人や組織はERC-20標準に基づいて独自のトークンを発行し、プレセールトークンを通じて様々な金融プロジェクトの資金を調達することができます。ERC-20トークンの広範な利用により、それは多くのICOや分散型金融プロジェクトの基盤となっています。私たちがよく知っているUSDT、PEPE、DOGEはすべてERC-20トークンに属し、ユーザーは分散型取引所を通じてこれらのトークンを購入できます。しかし、特定の詐欺団体はコードのバックドアを持つ悪意のあるERC-20トークンを独自に発行し、それを分散型取引所に上場させ、ユーザーを購入するように誘導する可能性もあります。! [ラグプル事件の詳細な調査、イーサリアムトークンエコシステムの混乱が明らかになりました](https://img-cdn.gateio.im/social/moments-28cc464cbdea7aa32a0d954c27b1f894)## ラグプルトークンの典型的な詐欺ケースここでは、Rug Pullトークンの詐欺のケースを借りて、悪意のあるトークン詐欺の運営モデルについて深く理解します。まず最初に説明する必要があるのは、Rug Pullとは、プロジェクトチームが分散型金融プロジェクトで突然資金を引き抜いたりプロジェクトを放棄したりすることで、投資者が巨額の損失を被る詐欺行為を指します。そしてRug Pullトークンとは、このような詐欺行為を実施するために発行されたトークンのことです。**本文中提到のRug Pullトークンは、時々「蜜罐(Honey Pot)トークン」や「退出詐欺(Exit Scam)トークン」とも呼ばれますが、以下では統一してRug Pullトークンと呼びます。**### ケース攻撃者(Rug Pullグループ)はDeployerアドレス(0x4bAF)を使ってTOMMIトークンを展開し、1.5ETHと100,000,000TOMMIを使って流動性プールを作成し、他のアドレスからTOMMIトークンを積極的に購入して流動性プールの取引量を偽装し、ユーザーやチェーン上の打新ロボットにTOMMIトークンを購入させる。一定数の打新ロボットが引っかかると、攻撃者はRug Pullerアドレス(0x43a9)を使ってRug Pullを実行し、Rug Pullerは38,739,354TOMMIトークンを流動性プールに投入して約3.95ETHを交換する。Rug PullerのトークンはTOMMIトークン契約の悪意のあるApprove権限から来ており、TOMMIトークン契約が展開される際にRug Pullerに流動性プールのapprove権限が与えられ、これによりRug Pullerは流動性プールから直接TOMMIトークンを転出し、Rug Pullを行うことができる。### 関連アドレス* デプロイヤー:0x4bAFd8c32D9a8585af0bb6872482a76150F528b7* TOMMIトークン:0xe52bDD1fc98cD6c0cd544c0187129c20D4545C7F*ラグプーラー:0x43A905f4BF396269e5C559a01C691dF5CbD25a2b*ラグプーラーは、(のいずれか)ユーザーを偽装しました:0x4027F4daBFBB616A8dCb19bb225B3cF17879c9A8* Rug Pullの資金振込先住所:0x1d3970677aa2324E4822b293e500220958d493d0*ラグプル保持アドレス:0x28367D2656434b928a6799E0B091045e2ee84722### に関連する取引* Deployerは、中央集権的な取引所からスタートアップ資本を取得します:0x428262fb31b1378ea872a59528d3277a292efe7528d9ffa2bd926f8bd4129457* TOMMIトークンのデプロイ:0xf0389c0fa44f74bca24bc9d53710b21f1c4c8c5fba5b2ebf5a8adfa9b2d851f8*流動性プールを作成する:0x59bb8b69ca3fe2b3bb52825c7a96bf5f92c4dc2a8b9af3a2f1dddda0a79ee78c*ファンドリレーアドレスは、次のいずれかの( )偽装ユーザーに資金を送金します0x972942e97e4952382d4604227ce7b849b9360ba5213f2de6edabb35ebbd20eff*ユーザーのふりをしてトークンを購入する( )のいずれか:0x814247c4f4362dc15e75c0167efaec8e3a5001ddbda6bc4ace6bd7c451a0b231*ラグプル:0xfc2a8e4f192397471ae0eae826dac580d03bcdfcb929c7423e174d1919e1ba9c* Rug Pullは収益をトランジットアドレスに送金します:0xf1e789f32b19089ccf3d0b9f7f4779eb00e724bb779d691f19a4a19d6fd15523*仲介アドレスは、資金保持アドレスに資金を送金します:0xb78cba313021ab060bd1c8b024198a2e5e1abc458ef9070c0d11688506b7e8d7### ラグプルプロセス**1. 資金を攻撃する準備をしてください。 **攻撃者は、Rug Pullの開始資本として、中央集権的な取引所を通じて2.47309009ETHをToken Deployer(0x4bAF)に預け入れました。**2. バックドアを持つRug Pullトークンを展開する。**DeployerがTOMMIトークンを作成し、1億個のトークンを事前に採掘して自身に配分します。**3. 初期流動性プールを作成します。**Deployerは1.5のETHと事前に採掘されたすべてのトークンを使用して流動性プールを作成し、約0.387のLPトークンを取得しました。**4. すべてのプレマイニングトークン供給量を焼却します。**Token DeployerはすべてのLPトークンを0アドレスに送信して破棄します。TOMMI契約にはMint機能がないため、この時点でToken Deployerは理論的にRug Pullの能力を失っています。(これは新規参加ボットを引き付けるための必要条件の一つでもあります。部分的な新規参加ボットは新たにプールに入ったトークンがRug Pullリスクがあるかどうかを評価します。Deployerは契約のOwnerを0アドレスに設定しており、これは新規参加ボットの反詐欺プログラムを欺くためです)。**5. 取引量を偽造した。 **攻撃者は複数のアドレスを使用して流動性プールからTOMMIトークンを積極的に購入し、プールの取引量を高め、新たなロボットの参加をさらに引き寄せます(。これらのアドレスが攻撃者の偽装であるという根拠は、関連アドレスの資金がRug Pullグループの歴史的な資金移動アドレスから来ていることです)。6. 攻撃者はRug Pullerアドレス(0x43A9)を通じてRug Pullを開始し、トークンのバックドアを介して流動性プールから38,739,354個のトークンを直接転送し、その後これらのトークンを使ってプールを叩き、約3.95個のエーテルを引き出しました。7. 攻撃者はRug Pullで得た資金を中継アドレス0xD921に送信します。8. 中継アドレス0xD921は資金を資金留保アドレス0x2836に送信します。ここから、Rug Pullが完了した後、Rug Pullerが資金をある資金留保アドレスに送信することがわかります。資金留保アドレスは、私たちが監視している多くのRug Pull事例の資金集約地点であり、資金留保アドレスは受け取った大部分の資金を分割して新しいRug Pullのサイクルを開始し、残りの少量の資金は中央集権型取引所を通じて引き出されます。私たちは複数の資金留保アドレスを発見しましたが、0x2836はそのうちの一つです。! [ラグプル事件の詳細な調査、イーサリアムトークンエコシステムの混乱が明らかになりました](https://img-cdn.gateio.im/social/moments-e5f43d39fa77597ff8f872a1d98cd3ac)### ラグプルコードバックドア攻撃者はLPトークンを破壊することで、外部に対してRug Pullを行うことができないと証明しようとしましたが、実際には攻撃者はTOMMIトークン契約のopenTrading関数に悪意のあるapproveのバックドアを残しました。このバックドアは流動性プールを作成する際に流動性プールがRug Pullerアドレスにトークンの移転権限をapproveすることを可能にし、Rug Pullerアドレスが流動性プールから直接トークンを移動させることができるようになります。openTrading関数の実装の主な機能は新しい流動性プールを作成することですが、攻撃者はこの関数内でバックドア関数onInitを呼び出し、uniswapV2Pairが_chefAddressアドレスに対して数量がtype(uint256)のトークン移転権限をapproveしました。ここで、uniswapV2Pairは流動性プールのアドレスで、_chefAddressはRug Pullerのアドレスであり、_chefAddressは契約のデプロイ時に指定されます。! [ラグプル事件の詳細な調査、イーサリアムトークンの生態学的混乱を明らかにする](https://img-cdn.gateio.im/social/moments-ed67ee56316de1b6a3f2649e45ceeb82)### 犯行のパターン化TOMMIケースを分析することで、以下の4つの特徴をまとめることができます:1. Deployerは中央集権取引所から資金を調達する: 攻撃者はまず中央集権取引所を通じてデプロイヤーのアドレス(Deployer)に資金源を提供します。2. Deployerが流動性プールを作成しLPトークンを破棄する: デプロイヤーはRug Pullトークンを作成した後、すぐにそのための流動性プールを作成し、LPトークンを破棄してプロジェクトの信頼性を高め、より多くの投資家を惹きつけます。3. ラグプラーは大量のトークンを使って流動性プールのETHと交換します: ラグプルアドレス(ラグプラー)は大量のトークン(を使用して通常の数量を大きく超えるトークンの総供給量)で流動性プールのETHと交換します。他のケースでは、ラグプラーが流動性を取り除くことでプール内のETHを取得することもあります。4. Rug PullerはRug Pullで得たETHを資金留保アドレスに移動します: Rug Pullerは取得したETHを資金留保アドレスに移動し、時には中間アドレスを通じて移行します。上述これらの特徴は、私たちが捕らえたケースに普遍的に存在し、Rug Pullの行為には明らかなパターンがあることを示しています。
イーサリアムメインネット新トークンエコシステムの現状:近5割がRug Pull詐欺に関与
イーサリアムトークンエコシステムの混乱を暴く: Rug Pull事例の深掘り調査
イントロダクション
Web3の世界では、新しいトークンが次々と登場しています。毎日、実際にどれだけの新しいトークンが発行されているのか考えたことはありますか？これらの新しいトークンは安全ですか？
これらの疑問が生じたのは無意味ではありません。過去数ヶ月の間に、あるセキュリティチームは大量のRug Pull取引の事例を捉えました。注目すべきは、これらの事例に関与しているトークンは例外なく、ちょうどブロックチェーンに上がったばかりの新しいトークンであるということです。
その後、チームはこれらのRug Pullのケースを詳細に調査し、背後に組織化された犯罪グループが存在することを発見し、これらの詐欺のパターン化された特徴をまとめました。これらのグループの手口を深く分析することで、Rug Pullグループの可能な詐欺的なプロモーション手段の一つを発見しました: Telegramグループです。これらのグループは、特定のグループ内の"New Token Tracer"機能を利用して、ユーザーを詐欺トークンの購入に誘導し、最終的にRug Pullで利益を得るのです。
このチームは、2023年11月から2024年8月初旬までの期間にこれらのTelegramグループのトークンプッシュ情報を統計し、合計93,930種類の新しいトークンがプッシュされたことを発見しました。その中で、Rug Pullに関与するトークンは46,526種類で、割合は49.53%に達します。統計によると、これらのRug Pullトークンの背後にいるグループの累積投入コストは149,813.72 ETHであり、高い188.7%のリターンで282,699.96 ETHを利益として得ており、約8億ドルに相当します。
! Rug Pull事件の詳細な調査、イーサリアムトークンエコシステムの混乱を明らかにする
Telegramグループからの新しいトークンがイーサリアムメインネットで占める割合を評価するために、チームは同じ期間中にイーサリアムメインネットで発行された新しいトークンのデータを集計しました。データによると、この期間中に合計100,260種類の新しいトークンが発行され、その中でTelegramグループからのトークンはメインネットの89.99%を占めています。平均して毎日約370種類の新しいトークンが誕生しており、合理的な予想を大きく上回っています。継続的な調査の結果、発見された真実は不安を感じさせるものでした------その中で少なくとも48,265種類のトークンがRug Pull詐欺に関与しており、その割合は48.14%に達しています。言い換えれば、イーサリアムメインネット上の新しいトークンのほぼ2つに1つが詐欺に関与しているということです。
さらに、チームは他のブロックチェーンネットワークでも多くのRug Pull事例を発見しました。これは、イーサリアムメインネットだけでなく、全体のWeb3新発トークンエコシステムのセキュリティ状況が予想以上に厳しいことを意味します。したがって、チームはこの調査報告書を作成し、すべてのWeb3メンバーが防止意識を高め、次々と現れる詐欺に直面した際に警戒を怠らず、適時に必要な予防措置を講じて自分の資産の安全を守ることができるように願っています。
ERC-20トークン(Token)
正式にこの報告を始める前に、まずはいくつかの基本概念を理解しましょう。
ERC-20トークンは現在ブロックチェーン上で最も一般的なトークン標準の一つであり、一連の規範を定義し、トークンが異なるスマートコントラクトや分散型アプリケーション(dApp)間で相互運用できるようにします。ERC-20標準は、トークンの基本機能、例えば送金、残高照会、第三者によるトークン管理の承認などを規定しています。この標準化されたプロトコルにより、開発者はトークンの発行と管理をより容易に行うことができるため、トークンの作成と使用が簡素化されます。実際、個人や組織はERC-20標準に基づいて独自のトークンを発行し、プレセールトークンを通じて様々な金融プロジェクトの資金を調達することができます。ERC-20トークンの広範な利用により、それは多くのICOや分散型金融プロジェクトの基盤となっています。
私たちがよく知っているUSDT、PEPE、DOGEはすべてERC-20トークンに属し、ユーザーは分散型取引所を通じてこれらのトークンを購入できます。しかし、特定の詐欺団体はコードのバックドアを持つ悪意のあるERC-20トークンを独自に発行し、それを分散型取引所に上場させ、ユーザーを購入するように誘導する可能性もあります。
! ラグプル事件の詳細な調査、イーサリアムトークンエコシステムの混乱が明らかになりました
ラグプルトークンの典型的な詐欺ケース
ここでは、Rug Pullトークンの詐欺のケースを借りて、悪意のあるトークン詐欺の運営モデルについて深く理解します。まず最初に説明する必要があるのは、Rug Pullとは、プロジェクトチームが分散型金融プロジェクトで突然資金を引き抜いたりプロジェクトを放棄したりすることで、投資者が巨額の損失を被る詐欺行為を指します。そしてRug Pullトークンとは、このような詐欺行為を実施するために発行されたトークンのことです。
本文中提到のRug Pullトークンは、時々「蜜罐(Honey Pot)トークン」や「退出詐欺(Exit Scam)トークン」とも呼ばれますが、以下では統一してRug Pullトークンと呼びます。
ケース
攻撃者(Rug Pullグループ)はDeployerアドレス(0x4bAF)を使ってTOMMIトークンを展開し、1.5ETHと100,000,000TOMMIを使って流動性プールを作成し、他のアドレスからTOMMIトークンを積極的に購入して流動性プールの取引量を偽装し、ユーザーやチェーン上の打新ロボットにTOMMIトークンを購入させる。一定数の打新ロボットが引っかかると、攻撃者はRug Pullerアドレス(0x43a9)を使ってRug Pullを実行し、Rug Pullerは38,739,354TOMMIトークンを流動性プールに投入して約3.95ETHを交換する。Rug PullerのトークンはTOMMIトークン契約の悪意のあるApprove権限から来ており、TOMMIトークン契約が展開される際にRug Pullerに流動性プールのapprove権限が与えられ、これによりRug Pullerは流動性プールから直接TOMMIトークンを転出し、Rug Pullを行うことができる。
関連アドレス
に関連する取引
ラグプルプロセス
**1. 資金を攻撃する準備をしてください。 **
攻撃者は、Rug Pullの開始資本として、中央集権的な取引所を通じて2.47309009ETHをToken Deployer(0x4bAF)に預け入れました。
2. バックドアを持つRug Pullトークンを展開する。
DeployerがTOMMIトークンを作成し、1億個のトークンを事前に採掘して自身に配分します。
3. 初期流動性プールを作成します。
Deployerは1.5のETHと事前に採掘されたすべてのトークンを使用して流動性プールを作成し、約0.387のLPトークンを取得しました。
4. すべてのプレマイニングトークン供給量を焼却します。
Token DeployerはすべてのLPトークンを0アドレスに送信して破棄します。TOMMI契約にはMint機能がないため、この時点でToken Deployerは理論的にRug Pullの能力を失っています。(これは新規参加ボットを引き付けるための必要条件の一つでもあります。部分的な新規参加ボットは新たにプールに入ったトークンがRug Pullリスクがあるかどうかを評価します。Deployerは契約のOwnerを0アドレスに設定しており、これは新規参加ボットの反詐欺プログラムを欺くためです)。
**5. 取引量を偽造した。 **
攻撃者は複数のアドレスを使用して流動性プールからTOMMIトークンを積極的に購入し、プールの取引量を高め、新たなロボットの参加をさらに引き寄せます(。これらのアドレスが攻撃者の偽装であるという根拠は、関連アドレスの資金がRug Pullグループの歴史的な資金移動アドレスから来ていることです)。
攻撃者はRug Pullerアドレス(0x43A9)を通じてRug Pullを開始し、トークンのバックドアを介して流動性プールから38,739,354個のトークンを直接転送し、その後これらのトークンを使ってプールを叩き、約3.95個のエーテルを引き出しました。
攻撃者はRug Pullで得た資金を中継アドレス0xD921に送信します。
中継アドレス0xD921は資金を資金留保アドレス0x2836に送信します。ここから、Rug Pullが完了した後、Rug Pullerが資金をある資金留保アドレスに送信することがわかります。資金留保アドレスは、私たちが監視している多くのRug Pull事例の資金集約地点であり、資金留保アドレスは受け取った大部分の資金を分割して新しいRug Pullのサイクルを開始し、残りの少量の資金は中央集権型取引所を通じて引き出されます。私たちは複数の資金留保アドレスを発見しましたが、0x2836はそのうちの一つです。
! ラグプル事件の詳細な調査、イーサリアムトークンエコシステムの混乱が明らかになりました
ラグプルコードバックドア
攻撃者はLPトークンを破壊することで、外部に対してRug Pullを行うことができないと証明しようとしましたが、実際には攻撃者はTOMMIトークン契約のopenTrading関数に悪意のあるapproveのバックドアを残しました。このバックドアは流動性プールを作成する際に流動性プールがRug Pullerアドレスにトークンの移転権限をapproveすることを可能にし、Rug Pullerアドレスが流動性プールから直接トークンを移動させることができるようになります。
openTrading関数の実装の主な機能は新しい流動性プールを作成することですが、攻撃者はこの関数内でバックドア関数onInitを呼び出し、uniswapV2Pairが_chefAddressアドレスに対して数量がtype(uint256)のトークン移転権限をapproveしました。ここで、uniswapV2Pairは流動性プールのアドレスで、_chefAddressはRug Pullerのアドレスであり、_chefAddressは契約のデプロイ時に指定されます。
! ラグプル事件の詳細な調査、イーサリアムトークンの生態学的混乱を明らかにする
犯行のパターン化
TOMMIケースを分析することで、以下の4つの特徴をまとめることができます:
Deployerは中央集権取引所から資金を調達する: 攻撃者はまず中央集権取引所を通じてデプロイヤーのアドレス(Deployer)に資金源を提供します。
Deployerが流動性プールを作成しLPトークンを破棄する: デプロイヤーはRug Pullトークンを作成した後、すぐにそのための流動性プールを作成し、LPトークンを破棄してプロジェクトの信頼性を高め、より多くの投資家を惹きつけます。
ラグプラーは大量のトークンを使って流動性プールのETHと交換します: ラグプルアドレス(ラグプラー)は大量のトークン(を使用して通常の数量を大きく超えるトークンの総供給量)で流動性プールのETHと交換します。他のケースでは、ラグプラーが流動性を取り除くことでプール内のETHを取得することもあります。
Rug PullerはRug Pullで得たETHを資金留保アドレスに移動します: Rug Pullerは取得したETHを資金留保アドレスに移動し、時には中間アドレスを通じて移行します。
上述これらの特徴は、私たちが捕らえたケースに普遍的に存在し、Rug Pullの行為には明らかなパターンがあることを示しています。