Fraudes de tokens en el ecosistema Web3: Revelando el caos del ecosistema de tokens de Ethereum

Introducción

En el mundo de Web3, nuevos tokens están surgiendo constantemente. Sin embargo, casi la mitad de estos nuevos tokens están involucrados en actividades fraudulentas.

El equipo de seguridad de CertiK ha realizado recientemente una investigación exhaustiva sobre numerosos casos de Rug Pull, descubriendo la existencia de bandas organizadas detrás de estos actos delictivos, y ha resumido las características modeladas de estos fraudes. La investigación muestra que estas bandas pueden promover tokens de fraude a través de la función "New Token Tracer" en grupos de Telegram.

Las estadísticas muestran que desde noviembre de 2023 hasta principios de agosto de 2024, los grupos relacionados de Telegram han promocionado un total de 93,930 nuevos Tokens, de los cuales 46,526 Tokens estaban involucrados en Rug Pull, lo que representa el 49.53%. El costo total de inversión acumulado por las bandas detrás de estos Tokens de Rug Pull fue de 149,813.72 Ether, obteniendo un beneficio de 282,699.96 Ether con una tasa de retorno de hasta el 188.7%, equivalentes a aproximadamente 800 millones de dólares.

Investigaciones adicionales muestran que, de los 100,260 nuevos Tokens emitidos en la red principal de Ethereum durante el mismo período, al menos 48,265 están involucrados en estafas de Rug Pull, lo que representa un 48.14%. Esto significa que casi uno de cada dos nuevos Tokens en la red principal de Ethereum está involucrado en estafas.

Este informe tiene como objetivo ayudar a los participantes de Web3 a mejorar su conciencia de prevención, mantenerse alerta ante los innumerables fraudes y tomar las medidas preventivas necesarias a tiempo para proteger la seguridad de sus activos.

Introducción a los Tokens ERC-20

ERC-20 es uno de los estándares de Token más comunes en la blockchain, definiendo un conjunto de normas que permiten que los Tokens sean interoperables entre diferentes contratos inteligentes y DApps. Cualquier persona u organización puede emitir Tokens basados en el estándar ERC-20 y recaudar fondos para proyectos a través de una preventa. Sin embargo, ciertos grupos de estafadores también pueden emitir Tokens ERC-20 maliciosos con puertas traseras y listarlos en los exchanges, induciendo a los usuarios a comprarlos.

Caso típico de fraude de Token Rug Pull

El siguiente caso muestra un proceso típico de fraude con un Token de tipo Rug Pull:

El atacante despliega el Token TOMMI, crea un pool de liquidez y falsifica el volumen de transacciones para atraer a los usuarios. Cuando un número determinado de usuarios cae en la trampa, el atacante extrae ETH del pool de liquidez a través de los permisos de puerta trasera reservados para completar el Rug Pull. Todo el proceso involucra múltiples direcciones, incluyendo el despliegue del token, la creación del pool de liquidez, la simulación de transacciones de usuarios, la ejecución del Rug Pull, etc.

El proceso de Rug Pull generalmente incluye: preparar los fondos de ataque, desplegar un Token con puerta trasera, crear un fondo de liquidez inicial, destruir los Tokens pre-minados, falsificar el volumen de transacciones, ejecutar el Rug Pull, transferir los fondos obtenidos, entre otros pasos. El atacante reservará una puerta trasera en el contrato del Token, lo que le permitirá eludir las restricciones normales y extraer fondos directamente del fondo de liquidez.

Análisis de la banda detrás de los Rug Pulls

A través del análisis de múltiples casos de Rug Pull, CertiK ha descubierto que estos casos presentan características de patrón claras, lo que sugiere que podría estar involucrada la misma banda de estafadores o incluso un solo grupo.

Investigaciones adicionales han encontrado que hay 7 direcciones de fondos altamente activas, asociadas con 1,124 casos de Rug Pull. Estas direcciones dividen los fondos retenidos para nuevos esquemas de Rug Pull.

Las estadísticas muestran que los casos de Rug Pull asociados a estas direcciones de retención de fondos han tenido un costo total de inversión de 149,813.72 Ether, obteniendo ganancias de 282,699.96 Ether, con un margen de beneficio de hasta 188.7%.

El análisis también reveló que estos grupos de Rug Pull tienden a liquidar su efectivo mediante la eliminación de la liquidez, representando el 69.06%. Principalmente realizan operaciones de Rug Pull a través del contrato Router de Uniswap, representando el 76.35%.

Análisis del ecosistema de tokens de Ethereum

Para entender el estado actual del ecosistema de tokens de Ethereum, CertiK analizó todos los nuevos tokens emitidos en la mainnet de Ethereum desde octubre de 2023 hasta agosto de 2024.

Los datos muestran que durante este período se emitieron 100,260 nuevos Tokens, de los cuales 48,265 eran Tokens de Rug Pull, lo que representa el 48.14%. Esto es básicamente consistente con la proporción de Rug Pull de los Tokens promovidos en los grupos de Telegram.

Un análisis adicional revela que el 77.82% de los Token tienen una vida útil de menos de 72 horas, esta proporción es mucho más alta que la cantidad de Token de Rug Pull detectados, lo que indica que pueden existir otras formas de fraude no cubiertas.

Sugerencias

Para los inversores que desean participar en la nueva oferta de Token, CertiK ofrece los siguientes consejos:

1. Prioriza comprar nuevos Tokens a través de intercambios centralizados reconocidos.
2. Al utilizar un intercambio descentralizado, se debe verificar la dirección del contrato oficial.
3. Verifica si el proyecto tiene un sitio web oficial y una comunidad activa antes de comprar.
4. Evita comprar tokens creados hace menos de 3 días.
5. Utilizar el servicio de escaneo de tokens de una agencia de seguridad de terceros

Llamado

CertiK hace un llamado:

1. Los principales intercambios refuerzan la supervisión de los flujos de fondos maliciosos
2. Proveedores de servicios de terceros refuerzan la revisión de seguridad del producto
3. Los inversores utilizan activamente la seguridad antes de invertir.