Rug Pull事例の徹底調査、イーサリアムトークンエコシステムの混乱を暴露する

Web3の世界では、新しいトークンが次々と登場しています。あなたは、毎日どれだけの新しいトークンが発行されているのか考えたことがありますか？これらの新しいトークンは安全ですか？

これらの疑問が生じたのは無意味ではありません。過去数ヶ月間で、セキュリティチームは大量のRug Pull取引のケースをキャッチしました。注目すべきは、これらのケースに関与しているトークンは例外なく新たにチェーンに追加されたばかりのトークンであるということです。

その後、安全チームはこれらのRug Pull事例を詳細に調査し、背後に組織的な犯罪グループが存在することを発見し、これらの詐欺のパターン的な特徴をまとめました。これらのグループの手口を詳細に分析することで、Rug Pullグループによる可能性のある詐欺プロモーションの手段が明らかになりました：Telegramグループです。これらのグループは、特定のグループにおける"New Token Tracer"機能を利用して、ユーザーを詐欺トークンの購入に引き込み、最終的にRug Pullで利益を得ています。

安全チームは2023年11月から2024年8月初めまでの期間にこれらのTelegramグループのトークンプッシュ情報を統計し、合計で93,930種類の新しいトークンがプッシュされたことを発見しました。その中で、Rug Pullに関与するトークンは46,526種類で、割合は49.53%に達します。統計によると、これらのRug Pullトークンの背後にいるグループの累積投入コストは149,813.72 ETHであり、高い188.7%のリターン率で282,699.96 ETHの利益を上げ、約8億ドルに相当します。

Telegramグループがプッシュした新しいトークンがイーサリアムメインネットにおける割合を評価するために、安全チームは同じ期間にイーサリアムメインネットで発行された新しいトークンのデータを集計しました。データによると、この期間に合計100,260種類の新しいトークンが発行され、そのうちTelegramグループによってプッシュされたトークンはメインネットの89.99%を占めています。平均して毎日約370種類の新しいトークンが誕生しており、合理的な予想をはるかに上回っています。継続的な調査の結果、発見された真実は不安を呼び起こすものでした——その中で少なくとも48,265種類のトークンがRug Pull詐欺に関与しており、その割合は48.14%に達しています。言い換えれば、イーサリアムメインネット上ではほぼ2つの新しいトークンのうち1つが詐欺に関与しています。

さらに、セキュリティチームは他のブロックチェーンネットワークでもより多くのRug Pullの事例を発見しました。これは、イーサリアムのメインネットだけでなく、全体のWeb3新発トークンエコシステムのセキュリティ状況が予想以上に厳しいことを意味します。したがって、セキュリティチームはこの調査報告書を作成し、すべてのWeb3メンバーが詐欺の絶え間ない脅威に対して警戒を保ち、必要な予防措置を迅速に講じて資産の安全を守る手助けができることを願っています。

! Rug Pull事件の詳細な調査、イーサリアムトークンエコシステムの混乱を明らかにする

ERC-20 トークン

正式にこの報告を始める前に、まずいくつかの基本概念を理解しましょう。

ERC-20トークンは現在のブロックチェーン上で最も一般的なトークン標準の一つであり、一連の規範を定義して、トークンが異なるスマートコントラクトや分散型アプリケーション（dApp）間で相互運用できるようにしています。ERC-20標準は、トークンの基本機能、例えば転送、残高の照会、第三者によるトークン管理の承認などを規定しています。この標準化されたプロトコルのおかげで、開発者はトークンの発行と管理をより簡単に行うことができ、トークンの作成と使用が簡素化されます。実際、個人または組織はERC-20標準に基づいて独自のトークンを発行し、トークンのプレセールを通じてさまざまな金融プロジェクトのために資金を調達することができます。ERC-20トークンの広範な利用により、これは多くのICOや分散型金融プロジェクトの基盤となっています。

私たちがよく知っているUSDT、PEPE、DOGEはすべてERC-20トークンに属し、ユーザーは分散型取引所を通じてこれらのトークンを購入できます。しかし、一部の詐欺グループは、コードバックドアを持つ悪意のあるERC-20トークンを独自に発行し、それを分散型取引所に上場させて、ユーザーに購入を誘導する可能性があります。

! ラグプル事件の詳細な調査、イーサリアムトークンエコシステムの混乱が明らかになりました

ラグプルトークンの典型的な詐欺事例

ここでは、Rug Pullトークンの詐欺ケースを借りて、悪意のあるトークン詐欺の運営モデルを深く理解します。まず最初に説明する必要があるのは、Rug Pullとは、プロジェクト側が分散型金融プロジェクトで突然資金を引き抜いたり、プロジェクトを放棄したりして、投資家が巨大な損失を被る詐欺行為を指します。そして、Rug Pullトークンは、このような詐欺行為を実施するために発行されたトークンです。

本文中提到のRug Pullトークンは、時々「蜜罐トークン」や「退出詐欺トークン」とも呼ばれますが、以下では統一してRug Pullトークンと呼ぶことにします。

ケース

攻撃者（Rug Pull団体）はDeployerアドレスを使用してTOMMIトークンを展開し、1.5ETHと100,000,000TOMMIを使用して流動性プールを作成し、他のアドレスを通じてTOMMIトークンを積極的に購入し、流動性プールの取引量を偽装してユーザーやチェーン上の打新ロボットにTOMMIトークンを購入させます。一定数の打新ロボットが引っかかると、攻撃者はRug Pullerアドレスを使用してRug Pullを実行し、Rug Pullerは38,739,354TOMMIトークンを使って流動性プールを破壊し、約3.95ETHを引き出します。Rug PullerのトークンはTOMMIトークン契約の悪意あるApprove権限から来ており、TOMMIトークン契約が展開されると、Rug Pullerに流動性プールのapprove権限が与えられます。これにより、Rug Pullerは流動性プールから直接TOMMIトークンを引き出し、Rug Pullを実行できます。

ラグプル過程

1.資金を攻撃する準備をします。

攻撃者は、Rug Pullの開始資金として、中央集権的な取引所を通じてToken Deployerに2.47309009 ETHを入金しました。

2. バックドア付きのRug Pullトークンを展開する。

DeployerがTOMMIトークンを作成し、100,000,000個のトークンをプレマイニングして自身に配分します。

3. 初期流動性プールを作成します。

Deployerは1.5個のETHと事前に採掘されたすべてのトークンを使用して流動性プールを作成し、約0.387個のLPトークンを獲得しました。

4. すべてのプレマイニングされたトークン供給量を焼却します。

Token DeployerはすべてのLPトークンを0アドレスに送信して破棄します。TOMMI契約にはMint機能がないため、この時点でToken Deployerは理論上Rug Pull能力を失ったことになります。

5. 取引量の改ざん。

攻撃者は複数のアドレスを使用して流動性プールからTOMMIトークンを積極的に購入し、プールの取引量を炒め、新たなロボットの参入をさらに引き寄せます。

6. 攻撃者はRug Pullerアドレスを介してRug Pullを実行し、トークンのバックドアを通じて流動性プールから直接38,739,354個のトークンを転送し、その後これらのトークンを使ってプールを砕き、約3.95個のETHを引き出しました。

7. 攻撃者はRug Pullで得た資金を中継アドレスに送信します。

8. 中継アドレスは資金を資金保留アドレスに送信します。ここから、Rug Pullが完了したときに、Rug Pullerが資金をある資金保留アドレスに送信することがわかります。資金保留アドレスは、監視された多数のRug Pullケースの資金集約地であり、資金保留アドレスは受け取った大部分の資金を分割して新たなRug Pullのサイクルを開始し、残りの少量の資金は中央集権型取引所を通じて引き出されます。

! ラグプル事件の詳細な調査、イーサリアムトークンエコシステムの混乱が明らかになりました

ラグプルコードバックドア

攻撃者はLPトークンを破棄することで外部にRug Pullができないことを証明しようとしていますが、実際には攻撃者はTOMMIトークン契約のopenTrading関数に悪意のあるapproveのバックドアを残しています。このバックドアは流動性プールの作成時に流動性プールがRug Pullerアドレスにトークンの移転権限をapproveすることを可能にし、Rug Pullerアドレスが直接流動性プールからトークンを移動させることができるようになります。

! ラグプル事件の詳細な調査、イーサリアムトークンの生態学的混乱を明らかにする

犯行のパターン化

TOMMIのケースを分析することで、以下の4つの特徴をまとめることができます。

1. Deployerは中央集権型取引所から資金を調達します：攻撃者はまず中央集権型取引所を通じてデプロイヤーアドレス（Deployer）に資金源を提供します。

2. Deployerが流動性プールを作成し、LPトークンを廃棄します：デプロイヤーはRug Pullトークンを作成した後、すぐにその流動性プールを作成し、LPトークンを廃棄してプロジェクトの信頼性を高め、より多くの投資家を引き付けます。

3. Rug Pullerは大量のトークンを使用して流動性プール内のETHと交換します：Rug Pullアドレス（Rug Puller）は、大量のトークン（通常はトークンの総供給量を大幅に超える量）を使用して流動性プール内のETHと交換します。他のケースでは、Rug Pullerが流動性を削除してプール内のETHを取得することもあります。

4. Rug PullerはRug Pullで得たETHを資金留保アドレスに移動させる：Rug Pullerは取得したETHを資金留保アドレスに移動させるが、時には中間アドレスを介して移動する。

上述のこれらの特徴は捕獲された事例に普遍的に存在しており、Rug Pull行為には明らかなパターン化された特徴があることを示しています。さらに、Rug Pullが完了した後、資金は通常、資金留保アドレスに集められ、これら一見独立したRug Pull事例の背後には同じグループまたは同一の詐欺団体が関与している可能性が示唆されています。

これらの特徴に基づいて、セキュリティチームはRug Pullの行動パターンを抽出し、このパターンを利用して監視されたケースのスキャン検出を行い、可能な詐欺グループの画像を構築することを目指しました。

! ラグプル事件の詳細な調査、イーサリアムトークンの生態学的混乱を明らかにする

ラグプル詐欺グループ

マイニング資金保管アドレス

前述のように、Rug Pullのケースでは通常、資金が資金保管アドレスに集約されます。このモデルに基づいて、セキュリティチームは、いくつかの非常に活発で、その関連ケースの手口が明らかに特徴的な資金保管アドレスを選び、深入り分析を行いました。

視野に入っている資金留保アドレスは合計7つで、これらのアドレスに関連するRug Pullのケースは合計1,124件、ブロックチェーン上の攻撃監視システムによって成功裏に捕捉されました。Rug Pullのグループは、詐欺を成功させた後、違法な利益をこれらの資金留保アドレスに集めます。これらの資金留保アドレスは、沈殿資金を分割し、将来の新しいRug Pull詐欺で新しいトークンを作成したり、流動性プールを操作したりする活動に使用します。さらに、一部の沈殿資金は、中央集権型取引所やフラッシュ交換プラットフォームを通じて現金化されます。

安全チームは、各資金留保アドレスにおけるすべてのRug Pull詐欺のコストと収益を統計することによって、関連データを得ました。

! ラグプル事件の詳細な調査、イーサリアムトークンの生態学的混乱を明らかにする

完全なRug Pull詐欺の中で、Rug Pullグループは通常、Rug Pullトークンのデプロイヤーとして1つのアドレスを使用し、中央集権取引所から出金して資金を調達し、Rug Pullトークンと対応する流動性プールを作成します。十分な数のユーザーや新規購入ボットがETHを使用してRug Pullトークンを購入した後、Rug Pullグループは別のアドレスをRug Pull実行者（Rug Puller）として使用し、得た資金を資金留存アドレスに転送します。

上記のプロセスでは、Deployerが取引所から取得したETH、またはDeployerが流動性プールを作成する際に投入したETHをRug Pullのコストと見なします（具体的な計算方法はDeployerの行動によって異なります）。Rug PullerがRug Pullを完了した後に資金留保アドレス（または他の中継アドレス）に転送したETHは、そのRug Pullの収入と見なされます。

説明する必要があるのは、Rug Pullグループが詐欺を実行する際、自ら作成したRug PullトークンをETHで購入して、正常な流動性プールの活動を模倣し、新規購入ロボットを引き付けることもあるということです。しかし、この部分のコストは計算に含まれていないため、データはRug Pullグループの実際の利益を過大評価しており、実際の利益は比較的低くなるでしょう。

実際には、最終的に資金が異なる資金の保留場所に集められたとしても