# イーサリアムトークンエコシステムの混乱を暴く: Rug Pull事例の深掘り調査## イントロダクションWeb3の世界では、新しいトークンが次々と登場しています。毎日、実際にどれだけの新しいトークンが発行されているか考えたことはありますか？これらの新しいトークンは安全ですか？これらの疑問は無意味ではありません。過去数ヶ月間、あるセキュリティチームは大量のRug Pull取引の事例を捕捉しました。注目すべきは、これらの事例に関与しているトークンはすべて例外なく、最近チェーンに追加された新しいトークンであるということです。その後、セキュリティチームはこれらのRug Pullのケースを徹底的に調査し、背後に組織化された犯罪グループが存在することを発見し、これらの詐欺のパターン化された特徴をまとめました。これらのグループの手法を深く分析することにより、Rug Pullグループの可能性のある詐欺プロモーションルートが明らかになりました: Telegramグループです。これらのグループは、特定のグループ内の「New Token Tracer」機能を利用して、ユーザーに詐欺トークンを購入させ、最終的にRug Pullで利益を得ることを狙っています。安全チームは2023年11月から2024年8月初めまでの間にこれらのTelegramグループのトークンプッシュ情報を集計し、合計で93,930種類の新しいトークンがプッシュされたことを発見しました。その中でRug Pullに関与するトークンは46,526種類で、割合は49.53%に達します。統計によると、これらのRug Pullトークンの背後にいるグループの累計投入コストは149,813.72 ETHであり、188.7%という高いリターン率で282,699.96 ETHの利益を上げ、約8億ドルに相当します。! [Rug Pull事件の詳細な調査、イーサリアムトークンエコシステムの混乱を明らかにする](https://img-cdn.gateio.im/social/moments-a0a59cfa0d101a0dfe9e28654eca11c4)Telegramグループで配信された新しいトークンのイーサリアムメインネットにおける割合を評価するために、セキュリティチームは同じ期間内にイーサリアムメインネット上で発行された新しいトークンのデータを統計しました。データによると、この期間中に100,260種類の新しいトークンが発行され、そのうちTelegramグループで配信されたトークンはメインネットの89.99%を占めています。平均して毎日約370種類の新しいトークンが誕生しており、合理的な予測を大きく上回っています。継続的な調査の後に明らかになった真実は不安を呼び起こします——その中で少なくとも48,265種類のトークンがRug Pull詐欺に関与しており、割合は48.14%に達しています。言い換えれば、イーサリアムメインネットではほぼ2つの新しいトークンのうち1つが詐欺に関与しているのです。! [ラグプル事件の詳細な調査、イーサリアムトークンエコシステムの混乱が明らかになりました](https://img-cdn.gateio.im/social/moments-28cc464cbdea7aa32a0d954c27b1f894)さらに、他のブロックチェーンネットワークでも多くのRug Pullの事例が発見されました。これは、イーサリアムのメインネットだけでなく、全体のWeb3で新しく発行されるトークンのエコシステムの安全状況が予想以上に厳しいことを意味します。したがって、本報告書はすべてのWeb3メンバーが警戒意識を高め、次々と現れる詐欺に対処する際に注意を払い、必要な予防措置を迅速に講じて、自分の資産の安全を守る手助けができればと願っています。## ERC-20 トークン正式にこのレポートを始める前に、いくつかの基本概念を理解しましょう。ERC-20トークンは現在ブロックチェーン上で最も一般的なトークン標準の一つであり、一連の規範を定義しており、トークンは異なるスマートコントラクトや分散型アプリケーション(dApp)間で相互運用可能です。ERC-20標準はトークンの基本機能を規定しており、例えば送金、残高の照会、第三者によるトークン管理の権限付与などがあります。この標準化されたプロトコルのおかげで、開発者はトークンの発行と管理をより簡単に行えるようになり、トークンの作成と使用が簡素化されました。実際、個人や組織はERC-20標準に基づいて独自のトークンを発行し、トークンのプレセールを通じて様々な金融プロジェクトの資金を調達することができます。そのためERC-20トークンの広範な利用により、多くのICOや分散型金融プロジェクトの基礎となりました。私たちがよく知るUSDT、PEPE、DOGEはERC-20トークンに属し、ユーザーは分散型取引所を通じてこれらのトークンを購入できます。しかし、特定の詐欺団体はコードのバックドアを持つ悪意のあるERC-20トークンを独自に発行し、それを分散型取引所に上場させ、ユーザーを購入に誘導する可能性もあります。## ラグプルトークンの典型的な詐欺事例ここでは、Rug Pullトークンの詐欺事例を借用して、悪意のあるトークン詐欺の運営モデルについて深く理解します。まず最初に説明する必要があるのは、Rug Pullとは、プロジェクトチームが分散型金融プロジェクトにおいて突然資金を引き抜くか、プロジェクトを放棄することで、投資家に巨大な損失をもたらす詐欺行為を指します。そしてRug Pullトークンは、このような詐欺行為を実施するために発行されたトークンです。**本文中提到のRug Pullトークンは、時々「蜜罐(Honey Pot)トークン」や「退出詐欺(Exit Scam)トークン」と呼ばれますが、以下では統一してRug Pullトークンと呼ぶことにします。**### ケース攻撃者(Rug Pullグループ)はDeployerアドレス(0x4bAF)を使ってTOMMIトークンを展開し、1.5ETHと100,000,000TOMMIを使って流動性プールを作成し、他のアドレスを通じてTOMMIトークンを積極的に購入して流動性プールの取引量を偽装し、ユーザーやチェーン上の打新ロボットにTOMMIトークンを購入させる。一定数の打新ロボットが引っかかった後、攻撃者はRug Pullerアドレス(0x43a9)を使ってRug Pullを実行し、Rug Pullerは38,739,354TOMMIトークンを使って流動性プールを壊し、約3.95ETHを引き出す。Rug PullerのトークンはTOMMIトークン契約の悪意のあるApprove権限から来ており、TOMMIトークン契約が展開されるとRug Pullerに流動性プールへのapprove権限が与えられるため、Rug Pullerは流動性プールから直接TOMMIトークンを引き出し、Rug Pullを行うことができる。### 関連アドレス- デプロイヤー:0x4bAFd8c32D9a8585af0bb6872482a76150F528b7- TOMMIトークン:0xe52bDD1fc98cD6c0cd544c0187129c20D4545C7F- ラグプーラー:0x43A905f4BF396269e5C559a01C691dF5CbD25a2b- ラグプラーは、(の1つ)ユーザーを偽装しました:0x4027F4daBFBB616A8dCb19bb225B3cF17879c9A8- ラグプル:0x1d3970677aa2324E4822b293e500220958d493d0- ラグプル保持アドレス:0x28367D2656434b928a6799E0B091045e2ee84722### に関する取引- デプロイヤーは取引所からスタートアップ資本を得る:0x428262fb31b1378ea872a59528d3277a292efe7528d9ffa2bd926f8bd4129457- TOMMIトークンのデプロイ:0xf0389c0fa44f74bca24bc9d53710b21f1c4c8c5fba5b2ebf5a8adfa9b2d851f8- 流動性プールを作成する:0x59bb8b69ca3fe2b3bb52825c7a96bf5f92c4dc2a8b9af3a2f1dddda0a79ee78c- 資金リレーアドレスは、次のいずれかの( )偽装ユーザーに資金を送金します0x972942e97e4952382d4604227ce7b849b9360ba5213f2de6edabb35ebbd20eff- ユーザーがトークン(のいずれかを購入するふりをする):0x814247c4f4362dc15e75c0167efaec8e3a5001ddbda6bc4ace6bd7c451a0b231- ラグプル:0xfc2a8e4f192397471ae0eae826dac580d03bcdfcb929c7423e174d1919e1ba9c- ラグプルは収益をトランジットアドレスに送金します:0xf1e789f32b19089ccf3d0b9f7f4779eb00e724bb779d691f19a4a19d6fd15523- トランジットアドレス:資金の保持アドレスに資金を送金します:0xb78cba313021ab060bd1c8b024198a2e5e1abc458ef9070c0d11688506b7e8d7### ラグプルプロセス1.資金を攻撃する準備をします。この取引所を通じて、攻撃者はRug Pullの開始資金としてToken Deployer(0x4bAF)に2.47309009ETHを入金しました。2. バックドアを持つラグプルトークンを展開します。DeployerがTOMMIトークンを作成し、100,000,000個のトークンを事前に採掘して自身に割り当てます。3. 初期流動性プールを作成します。Deployerは1.5のエーテルとプレマイニングされたすべてのトークンを使用して流動性プールを作成し、約0.387のLPトークンを取得しました。4. すべてのプレマイニングトークン供給量を焼却する。Token DeployerはすべてのLPトークンを0アドレスに送信して廃棄します。TOMMIコントラクトにはMint機能がないため、この時点でToken Deployerは理論的にRug Pull能力を失っています。(これは新規参入ボットを引き付けるための必要条件の一つでもあります。一部の新規参入ボットは、新しくプールに入ったトークンにRug Pullリスクが存在するかどうかを評価します。DeployerはコントラクトのOwnerを0アドレスに設定しており、これは新規参入ボットの詐欺防止プログラムを欺くためです)。5. 取引量の改ざん。攻撃者は複数のアドレスを使用して流動性プールからTOMMIトークンを積極的に購入し、プールの取引量を上げ、新たなロボットの参加をさらに引き寄せます(。これらのアドレスが攻撃者の偽装である理由:関連アドレスの資金はRug Pullグループの歴史的資金の中継アドレスから来ています)。6. 攻撃者はRug Pullerアドレス(0x43A9)を通じてRug Pullを開始し、トークンのバックドアを介して流動性プールから38,739,354個のトークンを直接転送し、その後これらのトークンを使用してプールを攻撃し、約3.95個のエーテルを引き出しました。7. 攻撃者はRug Pullで得た資金を中継アドレス0xD921に送信します。8. 中継アドレス0xD921は資金を資金留保アドレス0x2836に送信します。ここからわかるように、Rug Pullが完了すると、Rug Pullerは資金をある資金留保アドレスに送信します。資金留保アドレスは監視された多数のRug Pullケースの資金集約所であり、資金留保アドレスは受け取ったほとんどの資金を分割して新たなRug Pullを開始し、残りの少量の資金は取引所を通じて引き出されます。資金留保アドレスがいくつか発見され、0x2836はそのうちの1つです。### ラグプルコードバックドア攻撃者はLPトークンを破壊することで外部にRug Pullができないことを証明しようとしましたが、実際には攻撃者はTOMMIトークン契約のopenTrading関数に悪意のあるapproveのバックドアを残しました。このバックドアは流動性プールの作成時に流動性プールがRug Pullerアドレスにトークンの移転権限をapproveさせることを可能にし、Rug Pullerアドレスが流動性プールから直接トークンを引き出すことができるようになります。openTrading関数の実装は図9に示されており、その主な機能は新しい流動性プールを作成することですが、攻撃者はこの関数内でバックドア関数onInit(を呼び出しました。図10に示されている)では、uniswapV2Pairが_chefAddressアドレスに対して、type(uint256)のトークン移転権限をapproveします。ここで、uniswapV2Pairは流動性プールのアドレスであり、_chefAddressはRug Pullerのアドレスで、_chefAddressはコントラクトデプロイ時に指定されています(。! [ラグプル事件の詳細な調査、イーサリアムトークンエコシステムの混乱が明らかになりました])https://img-cdn.gateio.im/social/moments-e5f43d39fa77597ff8f872a1d98cd3ac(! [ラグプル事件の詳細な調査、イーサリアムトークンの生態学的混乱を明らかにする])https://img-cdn.gateio.im/social/moments-ed67ee56316de1b6a3f2649e45ceeb82(! [ラグプル事件の詳細な調査、イーサリアムトークンの生態学的混乱を明らかにする])https://img-cdn.gateio.im/social/moments-21fdee332b94d46b0a63310dfa494de9() 事件のパターン化TOMMIのケースを分析することで、以下の4つの特徴をまとめることができます:1. Deployerは取引所から資金を調達します: 攻撃者は最初に取引所を通じてDeployerのアドレス###に資金源を提供します。2. Deployerは流動性プールを作成し、LPトークンを焼却します: デプロイヤーはRug Pullトークンを作成した後、すぐにそのための流動性プールを作成し、LPトークンを焼却することでプロジェクトの信頼性を高め、より多くの投資家を惹きつけます。3. ラグプラーは大量のトークンを使用して流動性プールのETHを交換します: ラグプルアドレス(ラグプラー)は大量のトークン(を使用して通常はトークンの総供給量)を超える量で流動性プールのETHを交換します。他のケースでは、ラグプラーは流動性を削除してプール内のETHを取得することもあります。4. Rug Pullerは、Rug Pullによって取得したETHを資金保持アドレスに転送します:Rug Pullerは、取得したETHを、場合によってはチャネルを通じて資金保持アドレスに転送します
近半新トークン疑惑の詐欺 イーサリアムエコシステム8億ドルのRug Pullケースデプス分析
イーサリアムトークンエコシステムの混乱を暴く: Rug Pull事例の深掘り調査
イントロダクション
Web3の世界では、新しいトークンが次々と登場しています。毎日、実際にどれだけの新しいトークンが発行されているか考えたことはありますか？これらの新しいトークンは安全ですか？
これらの疑問は無意味ではありません。過去数ヶ月間、あるセキュリティチームは大量のRug Pull取引の事例を捕捉しました。注目すべきは、これらの事例に関与しているトークンはすべて例外なく、最近チェーンに追加された新しいトークンであるということです。
その後、セキュリティチームはこれらのRug Pullのケースを徹底的に調査し、背後に組織化された犯罪グループが存在することを発見し、これらの詐欺のパターン化された特徴をまとめました。これらのグループの手法を深く分析することにより、Rug Pullグループの可能性のある詐欺プロモーションルートが明らかになりました: Telegramグループです。これらのグループは、特定のグループ内の「New Token Tracer」機能を利用して、ユーザーに詐欺トークンを購入させ、最終的にRug Pullで利益を得ることを狙っています。
安全チームは2023年11月から2024年8月初めまでの間にこれらのTelegramグループのトークンプッシュ情報を集計し、合計で93,930種類の新しいトークンがプッシュされたことを発見しました。その中でRug Pullに関与するトークンは46,526種類で、割合は49.53%に達します。統計によると、これらのRug Pullトークンの背後にいるグループの累計投入コストは149,813.72 ETHであり、188.7%という高いリターン率で282,699.96 ETHの利益を上げ、約8億ドルに相当します。
! Rug Pull事件の詳細な調査、イーサリアムトークンエコシステムの混乱を明らかにする
Telegramグループで配信された新しいトークンのイーサリアムメインネットにおける割合を評価するために、セキュリティチームは同じ期間内にイーサリアムメインネット上で発行された新しいトークンのデータを統計しました。データによると、この期間中に100,260種類の新しいトークンが発行され、そのうちTelegramグループで配信されたトークンはメインネットの89.99%を占めています。平均して毎日約370種類の新しいトークンが誕生しており、合理的な予測を大きく上回っています。継続的な調査の後に明らかになった真実は不安を呼び起こします——その中で少なくとも48,265種類のトークンがRug Pull詐欺に関与しており、割合は48.14%に達しています。言い換えれば、イーサリアムメインネットではほぼ2つの新しいトークンのうち1つが詐欺に関与しているのです。
! ラグプル事件の詳細な調査、イーサリアムトークンエコシステムの混乱が明らかになりました
さらに、他のブロックチェーンネットワークでも多くのRug Pullの事例が発見されました。これは、イーサリアムのメインネットだけでなく、全体のWeb3で新しく発行されるトークンのエコシステムの安全状況が予想以上に厳しいことを意味します。したがって、本報告書はすべてのWeb3メンバーが警戒意識を高め、次々と現れる詐欺に対処する際に注意を払い、必要な予防措置を迅速に講じて、自分の資産の安全を守る手助けができればと願っています。
ERC-20 トークン
正式にこのレポートを始める前に、いくつかの基本概念を理解しましょう。
ERC-20トークンは現在ブロックチェーン上で最も一般的なトークン標準の一つであり、一連の規範を定義しており、トークンは異なるスマートコントラクトや分散型アプリケーション(dApp)間で相互運用可能です。ERC-20標準はトークンの基本機能を規定しており、例えば送金、残高の照会、第三者によるトークン管理の権限付与などがあります。この標準化されたプロトコルのおかげで、開発者はトークンの発行と管理をより簡単に行えるようになり、トークンの作成と使用が簡素化されました。実際、個人や組織はERC-20標準に基づいて独自のトークンを発行し、トークンのプレセールを通じて様々な金融プロジェクトの資金を調達することができます。そのためERC-20トークンの広範な利用により、多くのICOや分散型金融プロジェクトの基礎となりました。
私たちがよく知るUSDT、PEPE、DOGEはERC-20トークンに属し、ユーザーは分散型取引所を通じてこれらのトークンを購入できます。しかし、特定の詐欺団体はコードのバックドアを持つ悪意のあるERC-20トークンを独自に発行し、それを分散型取引所に上場させ、ユーザーを購入に誘導する可能性もあります。
ラグプルトークンの典型的な詐欺事例
ここでは、Rug Pullトークンの詐欺事例を借用して、悪意のあるトークン詐欺の運営モデルについて深く理解します。まず最初に説明する必要があるのは、Rug Pullとは、プロジェクトチームが分散型金融プロジェクトにおいて突然資金を引き抜くか、プロジェクトを放棄することで、投資家に巨大な損失をもたらす詐欺行為を指します。そしてRug Pullトークンは、このような詐欺行為を実施するために発行されたトークンです。
本文中提到のRug Pullトークンは、時々「蜜罐(Honey Pot)トークン」や「退出詐欺(Exit Scam)トークン」と呼ばれますが、以下では統一してRug Pullトークンと呼ぶことにします。
ケース
攻撃者(Rug Pullグループ)はDeployerアドレス(0x4bAF)を使ってTOMMIトークンを展開し、1.5ETHと100,000,000TOMMIを使って流動性プールを作成し、他のアドレスを通じてTOMMIトークンを積極的に購入して流動性プールの取引量を偽装し、ユーザーやチェーン上の打新ロボットにTOMMIトークンを購入させる。一定数の打新ロボットが引っかかった後、攻撃者はRug Pullerアドレス(0x43a9)を使ってRug Pullを実行し、Rug Pullerは38,739,354TOMMIトークンを使って流動性プールを壊し、約3.95ETHを引き出す。Rug PullerのトークンはTOMMIトークン契約の悪意のあるApprove権限から来ており、TOMMIトークン契約が展開されるとRug Pullerに流動性プールへのapprove権限が与えられるため、Rug Pullerは流動性プールから直接TOMMIトークンを引き出し、Rug Pullを行うことができる。
関連アドレス
に関する取引
ラグプルプロセス
1.資金を攻撃する準備をします。
この取引所を通じて、攻撃者はRug Pullの開始資金としてToken Deployer(0x4bAF)に2.47309009ETHを入金しました。
DeployerがTOMMIトークンを作成し、100,000,000個のトークンを事前に採掘して自身に割り当てます。
Deployerは1.5のエーテルとプレマイニングされたすべてのトークンを使用して流動性プールを作成し、約0.387のLPトークンを取得しました。
Token DeployerはすべてのLPトークンを0アドレスに送信して廃棄します。TOMMIコントラクトにはMint機能がないため、この時点でToken Deployerは理論的にRug Pull能力を失っています。(これは新規参入ボットを引き付けるための必要条件の一つでもあります。一部の新規参入ボットは、新しくプールに入ったトークンにRug Pullリスクが存在するかどうかを評価します。DeployerはコントラクトのOwnerを0アドレスに設定しており、これは新規参入ボットの詐欺防止プログラムを欺くためです)。
攻撃者は複数のアドレスを使用して流動性プールからTOMMIトークンを積極的に購入し、プールの取引量を上げ、新たなロボットの参加をさらに引き寄せます(。これらのアドレスが攻撃者の偽装である理由:関連アドレスの資金はRug Pullグループの歴史的資金の中継アドレスから来ています)。
攻撃者はRug Pullerアドレス(0x43A9)を通じてRug Pullを開始し、トークンのバックドアを介して流動性プールから38,739,354個のトークンを直接転送し、その後これらのトークンを使用してプールを攻撃し、約3.95個のエーテルを引き出しました。
攻撃者はRug Pullで得た資金を中継アドレス0xD921に送信します。
中継アドレス0xD921は資金を資金留保アドレス0x2836に送信します。ここからわかるように、Rug Pullが完了すると、Rug Pullerは資金をある資金留保アドレスに送信します。資金留保アドレスは監視された多数のRug Pullケースの資金集約所であり、資金留保アドレスは受け取ったほとんどの資金を分割して新たなRug Pullを開始し、残りの少量の資金は取引所を通じて引き出されます。資金留保アドレスがいくつか発見され、0x2836はそのうちの1つです。
ラグプルコードバックドア
攻撃者はLPトークンを破壊することで外部にRug Pullができないことを証明しようとしましたが、実際には攻撃者はTOMMIトークン契約のopenTrading関数に悪意のあるapproveのバックドアを残しました。このバックドアは流動性プールの作成時に流動性プールがRug Pullerアドレスにトークンの移転権限をapproveさせることを可能にし、Rug Pullerアドレスが流動性プールから直接トークンを引き出すことができるようになります。
openTrading関数の実装は図9に示されており、その主な機能は新しい流動性プールを作成することですが、攻撃者はこの関数内でバックドア関数onInit(を呼び出しました。図10に示されている)では、uniswapV2Pairが_chefAddressアドレスに対して、type(uint256)のトークン移転権限をapproveします。ここで、uniswapV2Pairは流動性プールのアドレスであり、_chefAddressはRug Pullerのアドレスで、_chefAddressはコントラクトデプロイ時に指定されています(。
! [ラグプル事件の詳細な調査、イーサリアムトークンエコシステムの混乱が明らかになりました])https://img-cdn.gateio.im/webp-social/moments-e5f43d39fa77597ff8f872a1d98cd3ac.webp(
! [ラグプル事件の詳細な調査、イーサリアムトークンの生態学的混乱を明らかにする])https://img-cdn.gateio.im/webp-social/moments-ed67ee56316de1b6a3f2649e45ceeb82.webp(
! [ラグプル事件の詳細な調査、イーサリアムトークンの生態学的混乱を明らかにする])https://img-cdn.gateio.im/webp-social/moments-21fdee332b94d46b0a63310dfa494de9.webp(
) 事件のパターン化
TOMMIのケースを分析することで、以下の4つの特徴をまとめることができます:
Deployerは取引所から資金を調達します: 攻撃者は最初に取引所を通じてDeployerのアドレス###に資金源を提供します。
Deployerは流動性プールを作成し、LPトークンを焼却します: デプロイヤーはRug Pullトークンを作成した後、すぐにそのための流動性プールを作成し、LPトークンを焼却することでプロジェクトの信頼性を高め、より多くの投資家を惹きつけます。
ラグプラーは大量のトークンを使用して流動性プールのETHを交換します: ラグプルアドレス(ラグプラー)は大量のトークン(を使用して通常はトークンの総供給量)を超える量で流動性プールのETHを交換します。他のケースでは、ラグプラーは流動性を削除してプール内のETHを取得することもあります。
Rug Pullerは、Rug Pullによって取得したETHを資金保持アドレスに転送します:Rug Pullerは、取得したETHを、場合によってはチャネルを通じて資金保持アドレスに転送します