Le développement rapide de la finance décentralisée (DeFi) a apporté des innovations révolutionnaires dans le fonctionnement des marchés financiers, mais a également ouvert une nouvelle ère d'activités frauduleuses sophistiquées. Selon l'analyse de l'équipe d'experts de Tan Phat Digital, Rug pull - l'acte par lequel les développeurs de projets retirent soudainement tout capital d'investissement et disparaissent - est devenu l'une des menaces les plus sérieuses pour la confiance des utilisateurs. Contrairement aux hacks externes, Rug Pull est une attaque de l'intérieur, où les vulnérabilités ne sont pas des erreurs involontaires mais des mécanismes intentionnellement encodés directement dans des contrats intelligents pour les actifs appropriés.
Comprendre les mécanismes techniques tels que la fuite de liquidités, la frappe illimitée de jetons (minage de jetons illimités) et les tactiques d'évasion sophistiquées telles que Fragmented Rug Pull (FRP) est primordial pour les chercheurs en sécurité et les investisseurs professionnels pour identifier et prévenir les risques.
Nature et classification de Rug Pull : De Effondrement soudain jusqu'à déclin progressif
Les tirages de tapis n'existent pas sous une forme unique mais sont classés en fonction de la rapidité d'exécution, de la légalité et des mécanismes techniques utilisés. Comprendre la différence entre "Hard Rug Pull" et "Soft Rug Pull" est la première étape de l'analyse des vecteurs d'attaque.
Analyser les caractéristiques entre Hard Rug Pull et Soft Rug Pull
1. Hard Rug Pull : Tromperie préprogrammée
Mécanisme d'exécution : Utilise des « portes dérobées » techniques telles que la fonction Infinite Mint, Liquidity Drain ou Honeypot trap.
Vitesse d'exécution : Presque instantanée, quelques minutes à quelques heures après l'activation.
Compatibilité légale : Généralement considérée comme un acte clairement illégal et peut être poursuivi pénalement pour fraude financière.
Récupérabilité : Totalement irrécupérable, la valeur des actifs va souvent à 0 pour toujours.
Signes distinctifs : Le code source du contrat n'a pas été audité par des unités réputées, la liquidité n'est pas verrouillée ou la période de blocage est trop longue.
2. Soft Rug Pull : Manipulation du marché et sortie silencieuse
Mécanisme d'exécution : Le développeur libère silencieusement une grande quantité de jetons de réserve ou abandonne soudainement la feuille de route de développement du projet.
Vitesse d'occurrence : Se produit progressivement, durant des semaines ou des mois dans un style « d'effondrement silencieux ».
Compatibilité juridique : Situé dans une zone grise juridique, il est difficile de prouver l'intention frauduleuse devant la loi.
Probabilité de récupération : Très faible car la confiance de la communauté a été sérieusement érodée.
Signes distinctifs : Le portefeuille de l'équipe de développement ou les portefeuilles associés contiennent une trop grande proportion de jetons par rapport à l'offre totale en circulation.
En savoir plus : Qu'est-ce que Rug Pull ?
Mécanique technique des pools de liquidités et de la fuite de liquidité
La majorité des projets DeFi sont basés sur le modèle Market Maker Teneur de marché automatisé (AMM) pour faciliter les échanges. C'est également là que se produisent les fuites de liquidités - la forme la plus courante de tirage de tapis.
Principes AMM et rôle du jeton LP
Lorsqu'un nouveau jeton est lancé, les développeurs créent un pool de liquidités sur des échanges décentralisés (DEX) comme Uniswap en déposant un montant de jetons de projet ainsi qu'un actif de valeur (comme ETH ou USDT). Le taux de change est déterminé par la formule du produit constant : $x \cdot y = k$. Les fournisseurs de liquidité reçoivent des jetons LP, qui représentent la propriété des actifs du pool. Dans les scénarios de rug pull, le développeur conserve généralement le contrôle de la majorité de ce token LP afin de pouvoir retirer du capital à tout moment.
Méthodes de gestion des liquidités et niveau de sécurité
État déverrouillé :
Mécanisme : Les tokens LP sont situés directement dans le portefeuille du développeur.
Niveau de sécurité total : Très faible, les développeurs peuvent vider le pool de liquidités à tout moment.
Flexibilité : La plus élevée pour les développeurs.
- peuvent retirer ou déplacer des liquidités après l'expiration du verrouillage.
Burning State :
Mécanisme : Déposez des jetons LP à une adresse "morte" inaccessible (par exemple, adresse 0x000...morte).
Niveau de sécurité : Absolument, personne ne peut retirer des actifs du réservoir.
Flexibilité : Faible, impossible de mettre à niveau ou de migrer les liquidités vers un nouveau protocole versions.
Anatomie des "portes dérobées" dans les contrats intelligents
Les tirages de tapis avec les contrats intelligents installent souvent des fonctions de porte dérobée sophistiquées qui permettent aux développeurs de manipuler le système sans retirer directement des liquidités.
Jeton illimité Mint : Les développeurs conservent le droit de créer des milliards de nouveaux jetons à partir de rien, puis de les jeter directement dans le pool de liquidités en échange d'ETH ou USDT, provoquant l'effondrement complet des prix des jetons.
Destruction de jetons : permet aux développeurs de supprimer des jetons du portefeuille de n'importe quel utilisateur sans autorisation via des fonctions telles que
burnFrom.Pot de miel : Un type de piège où les investisseurs ne peuvent qu'acheter mais ne peuvent pas vendre. Cela se fait souvent via une liste noire ou la définition de conditions de vente irréalistes dans la fonction de transfert.
Manipulation des frais de transaction : les développeurs augmentent soudainement les frais de vente à 99 % ou 100 %, ce qui entraîne le transfert de la valeur totale de l'ordre de vente de l'utilisateur directement vers le portefeuille du fraudeur au nom de "frais".
Manipulation via des contrats de proxy et Évolutivité
La complexité de DeFi conduit à l'utilisation de contrats proxy pour mettre à niveau le code source. Cependant, il s'agit également d'un outil puissant pour calculer les tirages de tapis.
Vulnérabilités courantes liées au modèle proxy
Échange de logique : Les développeurs modifient l'adresse logique du contrat (implémentation) par un nouveau contrat contenant du code malveillant après avoir établi la confiance avec la communauté.
Stockage par collision de stockage) : L'attaquant écrase des variables administratives importantes via une corruption de mémoire. (slot), prenant ainsi le contrôle de l'ensemble du proxy.
Proxy non initialisé (proxy non initialisé) : L'attaquant appelle la fonction
initialize()avant que le développeur puisse le faire, se définissant comme administrateur du contrat immédiatement après la déclaration de déploiement.Clash de fonctions : Utilisation de sélecteurs de fonctions en double pour inciter les utilisateurs ou les administrateurs à activer involontairement une mise à niveau malveillante. commandes.
Voir aussi : Pourquoi de nombreux projets Blockchain échouent malgré une bonne technologie
Tactiques d'évasion avancées : tapis fragmenté Pull (FRP)
Avec l'avènement des outils de détection automatisés, les attaquants ont développé la tactique fragmentée Rug Pull (FRP) pour « se cacher ». Au lieu d'exécuter un seul retrait important, l'attaquant divise le processus en milliers de petites transactions sur un réseau multi-portefeuilles.
Le modèle FRP est caractérisé par trois paramètres :
N : nombre de portefeuilles participant au dump.
K_a : nombre d'ordres de vente exécutés par chaque portefeuille.
v : impact sur le prix de chaque ordre, toujours garanti sécurité
v < 0 (où 0 est le seuil de détection des outils d'analyse).
Cette tactique est souvent combinée avec le lissage temporel, prolongeant le processus de publication des actions sur plusieurs jours pour simuler une activité de négociation normale, ce qui rend très difficile la détection par les algorithmes d'analyse statique.
Système de détection et processus de diligence raisonnable pour les investisseurs
Ton Phat Digital recommande aux investisseurs de toujours effectuer un processus de diligence raisonnable strict avant de participer à un projet.
Outils d'analyse de sécurité automatique populaires
Token Sniffer : Spécialisé dans l'analyse du code source pour détecter les modèles de code courants tels que Honeypot, Unlimited Mint ou la vérification de la propriété. Haute fiabilité pour les projets standards.
Honeypot.is : Outil de simulation de trading réaliste pour déterminer si un token est verrouillé pour la vente ou non. Très efficace pour détecter instantanément les pièges en forme de pot de miel.
GoPlus Security : fournit une API de sécurité approfondie, aidant à détecter les changements dans les frais de transaction, les droits d'administrateur et les portes dérobées complexes dans la logique contractuelle.
RugCheck.xyz : Particulièrement efficace pour l'écosystème Solana, aide à évaluer les risques en fonction de la répartition des détenteurs et de la clause de statut de verrouillage des barres.
Diligence professionnelle professionnelle Processus
Audit de contrat : Donnez la priorité au code source qui est vérifié sur Etherscan, qui dispose de rapports d'audit d'entités réputées (CertiK, PeckShield) et qui a renoncé à la propriété (Renonciation à la propriété).
Analyse de liquidité : Vérifiez la preuve de blocage de liquidité sur des plateformes comme UNCX avec une période de blocage minimale de 1 à 2 ans.
Analyse Tokenomics : Évitez les projets avec une concentration de propriété trop élevée (par exemple, les 10 premiers portefeuilles détenant plus de 50 % de l'offre totale).
Évaluation de l'équipe : Vérifiez l'identité publique (doxxed) de l'équipe de développement sur les réseaux sociaux professionnels pour garantir la transparence blanche.
Foire aux questions (FAQ) à propos de Rug Pull
Vous trouverez ci-dessous une compilation de 15 des questions les plus courantes pour aider les investisseurs à identifier et à éviter les risques de rug pull :
Qu'est-ce que Rug Pull réellement ? Il s'agit d'un type d'arnaque à l'investissement en cryptomonnaie, dans laquelle les développeurs de projets abandonnent soudainement le projet et retirent le capital de tous les investisseurs. privé, rendant le jeton sans valeur.
Quelle est la plus grande différence entre Hard Rug et Soft Rug ? Hard Rug est une fraude technique intentionnelle dès le départ (comme l'installation d'une porte dérobée), se produit très rapidement et est souvent illégale. Soft Rug est plus contraire à l'éthique que carrément illégal, car l'équipe libère lentement ses avoirs en jetons ou abandonne le projet.
Comment vérifier si la liquidité du projet est verrouillée ? Vous pouvez rechercher des adresses de contrat sur Etherscan/BscScan, vérifier l'onglet « Titulaires » pour voir s'il existe des portefeuilles de services verrouillables tels que UNCX, Team Finance ou graver des adresses. non.
LP Burn est-il plus sûr que le verrouillage des liquidités ? Théoriquement oui, car les tokens LP envoyés vers des « portefeuilles morts » ne seront jamais retirés. Cependant, la brûlure rend impossible pour le projet la migration future des liquidités vers de nouvelles versions de protocole.
Comment fonctionne un pot de miel ? Un pot de miel est un contrat intelligent qui vous permet d'acheter mais bloque le droit de vendre via un logiciel malveillant qui effectue des vérifications de liste noire ou modifie les frais de transaction à 100 %.
Les projets Anonymous sont-ils toujours une arnaque ? Pas vraiment, mais c'est un gros « signal d'alarme ». L'anonymat du développeur rend extrêmement difficile la poursuite de la responsabilité juridique en cas de Rug Pull.
Qu'est-ce que le Fragmented Rug Pull (FRP) ? Il s'agit d'une technique sophistiquée de retrait de liquidités, divisant le retrait en milliers de petites transactions sur de nombreux portefeuilles différents pour échapper aux outils d'avertissement automatiques.
Quel outil dois-je utiliser pour rechercher rapidement des logiciels malveillants ? token ? Token Sniffer, GoPlus Security et Honeypot.is sont un trio d'outils populaires qui aident à rechercher les erreurs courantes telles que la création de jetons infinis ou le blocage des ventes.
Dans quelle mesure la fonction infinie « Mint » est-elle dangereuse ? Elle permet à l'administrateur de créer une énorme quantité de jetons à partir de rien et à tout moment, puis d'utiliser cette quantité de jetons pour les verser dans le pool de liquidité afin de s'approprier les actifs sous-jacents des investisseurs.
Quels sont les risques des contrats de proxy ? Les contrats de proxy permettent de modifier la logique sous-jacente sans changer l'adresse du portefeuille. Les fraudeurs peuvent remplacer un contrat « propre » par un contrat « empoisonné » immédiatement après que l'investisseur a déposé de l'argent.
- épidémie, avertir la communauté et envoyer des rapports aux autorités ou aux unités de cybersécurité.
Le rapport d'audit garantit-il que le projet est sûr à 100 % ? Non. Les audits ne valident le code source qu'à un certain moment. Les fraudeurs peuvent toujours utiliser Rug Pull via des mécanismes de gouvernance ou des mises à niveau de contrat post-audit.
Pourquoi Rug Pull se produit-il souvent sur DEX ? Parce que les échanges décentralisés (DEX) comme Uniswap permettent à quiconque de lister des jetons sans vérification stricte (KYC) ni processus de censure.
Qu'est-ce que "Slow Rug" ? Il s'agit du processus de mort progressive d'un projet en raison du retrait silencieux de liquidités par l'équipe sur une longue période de temps. pour ne pas attirer l'attention, cela s'accompagne souvent de la négligence des mises à jour et des feuilles de route de développement.
Les tirages de tapis utilisant des contrats intelligents constituent un défi constant pour le développement du marché des cryptomonnaies. Cependant, grâce à l’éducation du public et à l’adoption d’outils d’analyse avancés, nous pouvons créer un écosystème plus sécurisé. Tan Phat Digital estime que la confiance dans DeFi ne devrait pas être basée uniquement sur des promesses, mais sur la vérification du code source et la transparence absolue des données en chaîne.
Partager
