Menyelidiki Kasus Rug Pull, Mengungkap Kekacauan Ekosistem Token Ethereum

Pendahuluan

Dalam dunia Web3, token baru terus bermunculan. Apakah Anda pernah berpikir, seberapa banyak token baru yang diterbitkan setiap hari? Apakah token-token baru ini aman?

Pertanyaan-pertanyaan ini tidak muncul tanpa alasan. Dalam beberapa bulan terakhir, tim keamanan telah menangkap sejumlah besar kasus transaksi Rug Pull. Yang patut dicatat, semua Token yang terlibat dalam kasus-kasus ini adalah Token baru yang baru saja diluncurkan di blockchain.

Kemudian, kasus-kasus Rug Pull ini diselidiki secara mendalam, dan ditemukan adanya kelompok penjahat terorganisir di baliknya, serta dirangkum karakteristik pola dari penipuan ini. Melalui analisis mendalam terhadap metode yang digunakan oleh kelompok-kelompok ini, ditemukan sebuah kemungkinan jalur promosi penipuan oleh kelompok Rug Pull: grup Telegram. Kelompok-kelompok ini memanfaatkan fungsi "New Token Tracer" di beberapa grup untuk menarik pengguna membeli token penipuan dan akhirnya meraup keuntungan melalui Rug Pull.

Mengumpulkan informasi pengiriman token dari grup Telegram ini dari November 2023 hingga awal Agustus 2024, ditemukan bahwa total ada 93.930 jenis token baru yang dikirim, di mana token yang terlibat dalam Rug Pull berjumlah 46.526 jenis, dengan proporsi mencapai 49,53%. Menurut statistik, total biaya yang dikeluarkan oleh kelompok di balik token Rug Pull ini adalah 149.813,72 ETH, dan mereka mendapatkan keuntungan sebesar 282.699,96 ETH dengan tingkat pengembalian yang mencapai 188,7%, setara dengan sekitar 800 juta USD.

Untuk mengevaluasi proporsi token baru yang dipromosikan melalui grup Telegram di jaringan utama Ethereum, data tentang token baru yang diterbitkan di jaringan utama Ethereum dalam periode waktu yang sama telah dikumpulkan. Data menunjukkan bahwa selama periode ini, total 100.260 jenis token baru diterbitkan, di mana token yang dipromosikan melalui grup Telegram menyumbang 89,99% dari jaringan utama. Rata-rata, sekitar 370 jenis token baru lahir setiap hari, jauh melampaui ekspektasi yang wajar. Setelah penyelidikan yang mendalam, kebenaran yang ditemukan sangat mengganggu------di mana setidaknya 48.265 jenis token terlibat dalam penipuan Rug Pull, dengan proporsi mencapai 48,14%. Dengan kata lain, hampir setiap dua token baru di jaringan utama Ethereum terlibat dalam penipuan.

Selain itu, lebih banyak kasus Rug Pull ditemukan di jaringan blockchain lainnya. Ini berarti bahwa bukan hanya jaringan utama Ethereum, namun keseluruhan ekosistem token baru Web3 jauh lebih parah dari yang diperkirakan dalam hal keamanan. Oleh karena itu, laporan penelitian ini disusun dengan harapan dapat membantu semua anggota Web3 meningkatkan kesadaran pencegahan, tetap waspada menghadapi berbagai penipuan yang terus bermunculan, dan mengambil tindakan pencegahan yang diperlukan untuk melindungi keamanan aset mereka.

ERC-20 Token

Sebelum memulai laporan ini secara resmi, mari kita pahami beberapa konsep dasar.

Token ERC-20 adalah salah satu standar token yang paling umum di blockchain saat ini, yang mendefinisikan serangkaian norma sehingga token dapat berinteraksi antara kontrak pintar dan aplikasi terdesentralisasi (dApp) yang berbeda. Standar ERC-20 menetapkan fungsi dasar token, seperti transfer, memeriksa saldo, dan memberikan wewenang kepada pihak ketiga untuk mengelola token. Karena protokol yang distandarisasi ini, pengembang dapat lebih mudah menerbitkan dan mengelola token, sehingga menyederhanakan pembuatan dan penggunaan token. Sebenarnya, siapa pun atau organisasi dapat menerbitkan token mereka sendiri berdasarkan standar ERC-20, dan mengumpulkan dana awal untuk berbagai proyek keuangan melalui penjualan awal token. Karena penggunaan luas token ERC-20, token ini telah menjadi dasar bagi banyak proyek ICO dan keuangan terdesentralisasi.

USDT, PEPE, dan DOGE yang kita kenal semuanya adalah token ERC-20, pengguna dapat membeli token ini melalui bursa terdesentralisasi. Namun, beberapa kelompok penipu juga dapat menerbitkan token ERC-20 jahat dengan backdoor kode sendiri, mendaftarkannya di bursa terdesentralisasi, dan kemudian memancing pengguna untuk membelinya.

Kasus Penipuan Khas Token Rug Pull

Di sini, kami meminjam sebuah kasus penipuan token Rug Pull untuk memahami lebih dalam tentang modus operandi penipuan token yang jahat. Pertama-tama perlu dijelaskan bahwa Rug Pull merujuk pada tindakan penipuan di mana pihak proyek secara tiba-tiba menarik dana atau meninggalkan proyek dalam proyek keuangan terdesentralisasi, yang menyebabkan investor mengalami kerugian besar. Sementara itu, token Rug Pull adalah token yang diterbitkan khusus untuk melakukan tindakan penipuan semacam ini.

Token Rug Pull yang disebutkan dalam artikel ini kadang-kadang juga dikenal sebagai "Token Honey Pot" atau "Token Exit Scam", tetapi di bagian bawah ini kami akan menyebutnya secara seragam sebagai token Rug Pull.

Kasus

Penyerang (geng Rug Pull) menggunakan alamat Deployer untuk meng-deploy token TOMMI, kemudian menggunakan 1,5 ETH dan 100.000.000 TOMMI untuk membuat kolam likuiditas, dan secara aktif membeli token TOMMI melalui alamat lain untuk memalsukan volume transaksi kolam likuiditas guna menarik pengguna dan bot baru di blockchain untuk membeli token TOMMI. Setelah sejumlah bot baru terjebak, penyerang menggunakan alamat Rug Puller untuk melakukan Rug Pull, Rug Puller menggunakan 38.739.354 token TOMMI untuk menghancurkan kolam likuiditas, menukarkan sekitar 3,95 ETH. Sumber token Rug Puller berasal dari otorisasi Approve yang berbahaya dari kontrak token TOMMI, saat kontrak token TOMMI di-deploy, Rug Puller diberikan hak approve untuk kolam likuiditas, yang memungkinkan Rug Puller untuk langsung menarik token TOMMI dari kolam likuiditas dan kemudian melakukan Rug Pull.

Proses Rug Pull

1. Siapkan dana untuk menyerang.

Penyerang menyetor 2.47309009ETH ke Token Deployer melalui suatu bursa sebagai modal awal untuk Rug Pull.

2. Menyebarkan Token Rug Pull dengan backdoor.

Deployer membuat token TOMMI, melakukan pra-penambangan 100.000.000 token dan mendistribusikannya kepada dirinya sendiri.

3. Membuat kolam likuiditas awal.

Deployer menggunakan 1,5 ETH dan semua Token yang dipra-gali untuk membuat kolam likuiditas, memperoleh sekitar 0,387 Token LP.

4. Musnahkan semua pasokan Token yang telah dipra-kerjakan.

Token Deployer mengirimkan semua LP koin ke alamat 0 untuk menghancurkannya. Karena kontrak TOMMI tidak memiliki fungsi Mint, maka pada saat ini Token Deployer secara teoritis telah kehilangan kemampuan Rug Pull. (Ini juga merupakan salah satu syarat penting untuk menarik bot investasi baru, beberapa bot investasi baru akan mengevaluasi apakah koin yang baru masuk ke dalam pool memiliki risiko Rug Pull. Deployer juga mengatur pemilik kontrak ke alamat 0, semua itu dilakukan untuk menipu program anti-penipuan bot investasi baru.)

5. Volume transaksi palsu.

Penyerang secara aktif membeli koin TOMMI dari kolam likuiditas menggunakan beberapa alamat, meningkatkan volume perdagangan kolam, dan lebih lanjut menarik robot pemula untuk masuk (dasar penilaian bahwa alamat-alamat ini adalah penyamaran penyerang: dana dari alamat terkait berasal dari alamat transfer dana sejarah kelompok Rug Pull).

6. Penyerang melakukan Rug Pull melalui alamat Rug Puller, secara langsung mentransfer 38.739.354 Token dari kolam likuiditas melalui pintu belakang token, kemudian menggunakan token ini untuk menghancurkan kolam, menarik sekitar 3,95 ETH.

7. Penyerang mengirimkan dana yang diperoleh dari Rug Pull ke alamat perantara.

8. Alamat perantara akan mengirimkan dana ke alamat penyimpanan dana. Dari sini kita bisa melihat bahwa setelah Rug Pull selesai, Rug Puller akan mengirimkan dana ke suatu alamat penyimpanan dana. Alamat penyimpanan dana adalah tempat pengumpulan dana dari banyak kasus Rug Pull yang terpantau, alamat penyimpanan dana akan membagi sebagian besar dana yang diterima untuk memulai putaran baru Rug Pull, sedangkan sisa dana yang sedikit akan dicairkan melalui suatu bursa.

kode belakang Rug Pull

Meskipun penyerang telah mencoba membuktikan kepada dunia luar bahwa mereka tidak dapat melakukan Rug Pull dengan menghancurkan LP Token, namun sebenarnya penyerang telah meninggalkan pintu belakang berbahaya dalam fungsi openTrading dari kontrak TOMMI Token, yang akan memberikan izin transfer Token ke alamat Rug Puller saat membuat kolam likuiditas, sehingga alamat Rug Puller dapat langsung menarik Token dari kolam likuiditas.

Pola kejahatan

Dengan menganalisis kasus TOMMI, kita dapat menyimpulkan 4 karakteristik berikut:

1. Deployer mendapatkan dana melalui suatu bursa: Penyerang pertama-tama menyediakan sumber dana untuk alamat deployer (Deployer) melalui suatu bursa.

2. Deployer membuat kolam likuiditas dan menghancurkan token LP: Setelah deployer selesai membuat token Rug Pull, ia segera membuat kolam likuiditas untuknya dan menghancurkan token LP untuk meningkatkan kredibilitas proyek dan menarik lebih banyak investor.

3. Rug Puller menukar sejumlah besar Token untuk ETH dalam pool likuiditas: Alamat Rug Pull (Rug Puller) menggunakan sejumlah besar Token (biasanya jumlahnya jauh melebihi total pasokan Token) untuk menukar ETH dalam pool likuiditas. Dalam kasus lain, Rug Puller juga dapat memperoleh ETH dari pool dengan menghapus likuiditas.

4. Rug Puller akan memindahkan ETH yang diperoleh dari Rug Pull ke alamat penyimpanan dana: Rug Puller akan memindahkan ETH yang didapat ke alamat penyimpanan dana, terkadang melalui alamat perantara sebagai transisi.

Karakteristik di atas umumnya terdapat dalam kasus yang kami tangkap, yang menunjukkan bahwa perilaku Rug Pull memiliki ciri khas yang jelas terpolarisasi. Selain itu, setelah menyelesaikan Rug Pull, dana biasanya akan dikumpulkan ke dalam alamat penyimpanan dana, yang mengisyaratkan bahwa kasus Rug Pull yang tampaknya independen ini mungkin melibatkan kelompok penipuan yang sama atau bahkan satu grup penipuan yang sama.

Berdasarkan karakteristik ini, kami telah mengekstrak pola perilaku Rug Pull dan memanfaatkan pola ini untuk memindai kasus-kasus yang terdeteksi, dengan harapan dapat membangun profil kemungkinan kelompok penipuan.

Kelompok Penipuan Rug Pull

alamat penyimpanan dana penambangan

Seperti yang dijelaskan sebelumnya, kasus Rug Pull biasanya akan mengumpulkan dana ke alamat penyimpanan dana pada akhirnya. Berdasarkan pola ini, kami memilih beberapa alamat penyimpanan dana yang sangat aktif dan memiliki karakteristik metode pelanggaran yang jelas untuk dianalisis lebih dalam.

Ada 7 alamat penyimpanan dana yang muncul dalam pengamatan kami, yang terkait dengan 1.124 kasus Rug Pull yang berhasil ditangkap oleh sistem pemantauan serangan on-chain. Setelah berhasil melaksanakan penipuan, kelompok Rug Pull akan mengumpulkan keuntungan ilegal ke dalam alamat penyimpanan dana ini. Alamat penyimpanan dana ini kemudian akan membagi dana yang terakumulasi untuk digunakan dalam penciptaan token baru dalam penipuan Rug Pull di masa depan, manipulasi kolam likuiditas, dan aktivitas lainnya. Selain itu, sebagian kecil dari dana yang terakumulasi akan dicairkan melalui bursa tertentu atau platform tukar instan.

Dalam skema Rug Pull yang lengkap, kelompok Rug Pull biasanya menggunakan satu alamat sebagai penyebar Token Rug Pull (Deployer), dan menarik dana awal melalui suatu bursa untuk membuat Token Rug Pull dan kolam likuiditas yang sesuai. Setelah menarik cukup banyak pengguna atau bot pembeli baru menggunakan Ether untuk membeli Token Rug Pull, kelompok Rug Pull akan menggunakan alamat lain sebagai pelaksana Rug Pull (Rug Puller) untuk melakukan operasi, memindahkan dana yang diperoleh ke alamat penyimpanan dana.

Dalam proses di atas, kami menganggap ETH yang diperoleh Deployer melalui bursa, atau ETH yang diinvestasikan Deployer saat membuat kolam likuiditas, sebagai biaya Rug Pull (bagaimana cara menghitungnya tergantung pada perilaku Deployer). Sementara itu, ETH yang dipindahkan oleh Rug Puller ke alamat penyimpanan dana (atau alamat perantara lainnya) setelah menyelesaikan Rug Pull dianggap sebagai pendapatan dari Rug Pull tersebut.

Perlu dijelaskan bahwa kelompok Rug Pull, saat melakukan penipuan, juga secara aktif menggunakan Ether untuk membeli Token Rug Pull yang mereka buat sendiri, untuk mensimulasikan aktivitas kolam likuiditas yang normal, sehingga menarik robot pembeli baru. Namun, biaya ini tidak termasuk dalam perhitungan, sehingga data tersebut melebih-lebihkan keuntungan sebenarnya dari kelompok Rug Pull, keuntungan yang sebenarnya akan relatif lebih rendah.

Sebenarnya, meskipun pada akhirnya dana dikumpulkan ke alamat penyimpanan dana yang berbeda, tetapi karena ada banyak kesamaan antara kasus-kasus yang terkait dengan alamat-alamat ini (seperti cara implementasi backdoor Rug Pull, jalur penarikan dana, dll.), kami tetap sangat curiga bahwa alamat penyimpanan dana ini mungkin dimiliki oleh kelompok yang sama.

Hubungan antara alamat penyimpanan dana penambangan

Salah satu indikator penting untuk menentukan apakah ada hubungan antara alamat penyimpanan dana adalah dengan melihat apakah ada hubungan transfer langsung antara alamat-alamat tersebut. Untuk memverifikasi keterkaitan antara alamat penyimpanan dana,