Phân tích hành vi hợp tác tấn công trong phát hành token Solana

Tóm tắt

Báo cáo này khảo sát một mô hình farm meme token phổ biến và có tính đồng bộ cao trên Solana: người phát hành token chuyển SOL vào "ví bắn tỉa", cho phép các ví này mua token trong cùng một khối khi token ra mắt. Bằng cách tập trung vào chuỗi tiền tệ rõ ràng và có thể chứng minh giữa người phát hành và người bắn tỉa, chúng tôi đã xác định một nhóm hành vi rút tiền có độ tin cậy cao.

Phân tích cho thấy, chiến lược này không phải là hiện tượng ngẫu nhiên, cũng không phải là hành vi bên lề. Chỉ trong tháng qua, đã rút ra hơn 15,000 SOL lợi nhuận thực hiện từ hơn 15,000 lần phát hành token theo cách này, liên quan đến hơn 4,600 ví sniping và hơn 10,400 nhà phát triển. Những ví này thể hiện tỷ lệ thành công bất thường cao (87% trong việc sniping lợi nhuận ), cách thoát sạch sẽ và mô hình hoạt động có cấu trúc.

Phát hiện quan trọng:

• Các hoạt động sniper được tài trợ bởi người triển khai có tính hệ thống, sinh lợi và thường được tự động hóa, hoạt động sniper tập trung nhất trong giờ làm việc ở Mỹ.
• Cấu trúc nông dân đa ví rất phổ biến, thường sử dụng ví tạm thời và phối hợp rút để mô phỏng nhu cầu thực tế.
• Các phương pháp làm mờ ngày càng tinh vi, chẳng hạn như chuỗi tài chính nhiều bước và giao dịch bị tấn công bằng chữ ký đa chữ ký, để tránh bị phát hiện.
• Mặc dù có giới hạn, bộ lọc quỹ nhảy vẫn có thể nắm bắt những ví dụ hành vi "nội bộ" quy mô lớn rõ ràng và có thể lặp lại.
• Báo cáo này đưa ra một phương pháp heuristic có thể thực hiện được, giúp các nhóm giao thức và phía trước nhận diện, đánh dấu và ứng phó kịp thời với các hoạt động như vậy.

Mặc dù phân tích chỉ bao trùm một tập hợp con của hành vi săn lùng khối trong cùng một khu vực, nhưng quy mô, cấu trúc và khả năng sinh lời cho thấy: việc phát hành token Solana đang bị kiểm soát tích cực bởi mạng lưới hợp tác, trong khi các biện pháp phòng thủ hiện tại còn xa mới đủ.

Phương pháp luận

Phân tích này nhằm mục tiêu nhận diện hành vi phối hợp của các meme Token trên Solana, đặc biệt là trường hợp nhà phát triển cung cấp vốn cho ví săn đuổi khi Token được phát hành cùng khối. Chúng tôi chia vấn đề thành các giai đoạn sau:

1. Lọc cùng khu vực đột kích
2. Nhận diện ví liên kết với nhà phát hành
3. Liên kết việc săn lùng với lợi nhuận của token
4. Đo lường quy mô và hành vi ví
5. Dấu vết hoạt động của máy
6. Phân tích hành vi thoát

Tập trung vào mối đe dọa rõ ràng nhất

Chúng tôi đã đo lường quy mô của việc cùng khối bị tấn công trong việc phát hành pump.fun, và kết quả thật bất ngờ: hơn 50% token đã bị tấn công ngay khi khối được tạo ra - việc tấn công cùng khối đã trở thành mô hình phát hành chủ đạo.

Để giảm thiểu báo động giả và làm nổi bật hành vi hợp tác thực sự, chúng tôi đã thêm vào bộ chỉ số cuối cùng một bộ lọc nghiêm ngặt: chỉ thống kê các vụ tấn công mà có giao dịch SOL trực tiếp giữa người triển khai trước khi lên sóng và ví tấn công. Điều này cho phép chúng tôi tự tin xác định: ví được kiểm soát trực tiếp bởi người triển khai, ví hoạt động theo chỉ đạo của người triển khai và ví có kênh nội bộ.

Nghiên cứu trường hợp 1: Tài trợ trực tiếp

Ví của người triển khai đã gửi tổng cộng 1.2 SOL đến 3 ví khác nhau, sau đó phát hành token có tên SOL > BNB. 3 ví nhận vốn đã hoàn thành việc mua vào trong cùng một khối mà token được tạo ra, trước khi việc này trở nên khả kiến trên thị trường rộng lớn hơn. Sau đó, chúng nhanh chóng bán ra để thu lợi, thực hiện một đợt thoát nhanh chóng đồng bộ. Đây là một ví dụ điển hình về việc sử dụng ví săn lùng trước để lướt sóng token nông trại, được nắm bắt trực tiếp bởi phương pháp chuỗi vốn. Mặc dù phương pháp đơn giản, nhưng nó đã diễn ra quy mô lớn trong hàng nghìn lần phát hành.

Nghiên cứu trường hợp 2: Tài trợ nhiều bước

Một ví liên quan đến việc nhiều lần săn token. Thực thể này không trực tiếp đầu tư vào ví săn, mà chuyển SOL qua 5-7 ví trung gian trước khi đến ví săn cuối cùng, từ đó hoàn thành việc săn trong cùng một khối.

Các phương pháp hiện tại chỉ phát hiện một số giao dịch chuyển tiền ban đầu của người triển khai, nhưng không thể nắm bắt toàn bộ chuỗi liên quan đến ví mục tiêu cuối cùng. Những ví trung gian này thường "được sử dụng một lần", chỉ để truyền SOL, khiến việc liên kết thông qua các truy vấn đơn giản trở nên khó khăn. Lỗ hổng này không phải là khuyết điểm thiết kế, mà là do sự cân nhắc về tài nguyên tính toán.

Khám Phá

Tập trung vào "Sát thủ khối cùng khu vực + Chuỗi tài chính trực tiếp" trong tập con này, chúng tôi tiết lộ một hành vi hợp tác trên chuỗi rộng rãi, có cấu trúc và có lợi nhuận cao. Tất cả dữ liệu dưới đây bao gồm từ ngày 15 tháng 3 đến nay:

1. Sniping cùng khu vực và được tài trợ bởi nhà phát triển rất phổ biến và có hệ thống
   • Trong tháng qua, đã xác nhận hơn 15,000 token bị ví săn lùng trực tiếp ngay khi lên sàn.
   • Liên quan đến hơn 4,600 ví sniper, hơn 10,400 người triển khai
   • Chiếm khoảng 1.75% của lượng phát hành pump.fun

2. Hành vi này mang lại lợi nhuận lớn
   • Nhận vốn trực tiếp, ví đã đạt lợi nhuận ròng > 15,000 SOL
   • Tỷ lệ thành công của việc bắn tỉa là 87%, giao dịch thất bại rất ít
   • Lợi nhuận điển hình của một ví là 1-100 SOL, một số ít trên 500 SOL

3. Triển khai lặp lại và nhắm đến mạng cày cuốc
   • Nhiều nhà triển khai sử dụng ví mới để tạo hàng loạt từ vài chục đến hàng trăm token.
   • Một số ví sniper thực hiện hàng trăm lần sniper trong một ngày
   • Quan sát cấu trúc "trung tâm - tỏa ra": một ví đầu tư cho nhiều ví săn lùng, tất cả cùng nhắm vào một token.

4. Sát thủ trình bày mô hình thời gian lấy con người làm trung tâm
   • Đỉnh hoạt động cao nhất vào UTC 14:00-23:00; UTC 00:00-08:00 gần như ngừng hoạt động
   • Phù hợp với giờ làm việc của Mỹ, cho thấy là kích hoạt bằng tay/cron, chứ không phải tự động 24 giờ toàn cầu.

5. Nhầm lẫn quyền sở hữu giữa ví một lần và giao dịch đa chữ ký
   • Người triển khai đầu tư vào nhiều ví cùng một lúc và ký tên vào giao dịch cùng một lúc để tấn công.
   • Những ví này sẽ không ký bất kỳ giao dịch nào nữa.
   • Người phát hành chia nhỏ việc mua ban đầu thành 2-4 ví, ngụy trang nhu cầu thực.

Hành vi thoát

Để hiểu sâu hơn về cách những ví này rút lui, chúng tôi phân tích dữ liệu theo hai chiều hành vi lớn:

1. Tốc độ thoát ( Thời gian thoát ) - Thời gian từ lần mua đầu tiên đến lần bán cuối cùng.
2. Số lần bán ( Số lần hoán đổi ) - Số lượng giao dịch bán độc lập đã sử dụng để thoát

Dữ liệu kết luận:

1. Tốc độ thoát

   • 55% lượng hàng đã được bán hết trong 1 phút.
   • 85% trong 5 phút được thanh lý
   • 11% trong 15 giây

2. Số lượng bán ra

   • Hơn 90% ví sniper chỉ sử dụng 1-2 lệnh bán để thoát.
   • Rất ít sử dụng bán dần dần

3. Xu hướng lợi nhuận

   • Lợi nhuận cao nhất là ví rút tiền trong vòng <1 phút, tiếp theo là <5 phút
   • Việc nắm giữ lâu hơn hoặc bán ra nhiều lần mặc dù lợi nhuận trung bình mỗi lần hơi cao, nhưng số lượng rất ít, đóng góp cho tổng lợi nhuận là hạn chế.

Những mẫu hình này chỉ ra: việc tài trợ của nhà phát triển cho việc săn lùng không phải là hành vi giao dịch, mà là chiến lược rút tiền tự động, rủi ro thấp.

Kết luận

Báo cáo này tiết lộ một chiến lược rút token Solana có lợi nhuận cao, liên tục và có cấu trúc: Đánh chặn cùng khối do nhà phát hành tài trợ. Bằng cách theo dõi các chuyển khoản SOL trực tiếp từ nhà phát hành đến ví đánh chặn, chúng tôi đã xác định được một loạt hành vi kiểu người trong cuộc, tận dụng cấu trúc thông lượng cao của Solana để thực hiện rút có sự phối hợp.

Mặc dù phương pháp này chỉ nắm bắt một phần của việc săn lùng trong cùng một khối, nhưng quy mô và mô hình của nó cho thấy: đây không phải là sự đầu cơ rời rạc, mà là những nhà điều hành có vị trí ưu tiên, hệ thống có thể lặp lại và ý định rõ ràng. Tầm quan trọng của chiến lược này được thể hiện trong:

1. Bẻ cong tín hiệu thị trường sớm, khiến token có vẻ hấp dẫn hơn hoặc cạnh tranh hơn
2. Nguy cơ cho nhà đầu tư nhỏ lẻ - Họ trở thành người rút lui khỏi tính thanh khoản mà không hay biết.
3. Làm giảm niềm tin vào việc phát hành token mở, đặc biệt trên các nền tảng theo đuổi tốc độ và tính dễ sử dụng.

Để giải quyết vấn đề này, không chỉ cần phòng thủ thụ động, mà còn cần có các biện pháp phát hiện tốt hơn, cảnh báo trước ở phía trước, hàng rào ở mức giao thức, cũng như nỗ lực duy trì bản đồ và theo dõi hành vi phối hợp. Các công cụ phát hiện đã tồn tại - vấn đề là liệu hệ sinh thái có thực sự sẵn sàng áp dụng chúng hay không.

Báo cáo này đã thực hiện bước đầu tiên: cung cấp một bộ lọc đáng tin cậy và có thể tái tạo để xác định các hành vi đồng hành rõ ràng nhất. Nhưng đây chỉ là khởi đầu. Thách thức thực sự nằm ở việc phát hiện các chiến lược bị che giấu cao độ và liên tục phát triển, đồng thời xây dựng một văn hóa trên chuỗi, thưởng cho sự minh bạch chứ không phải là khai thác.