Revelando os segredos da emissão de tokens na Solana: ataques a blocos financiados pelo desenvolvedor

Este relatório investiga em profundidade um padrão de cultivo de meme tokens amplamente presente e altamente colaborativo na Solana: os emissores de tokens transferem SOL para "carteiras de sniper", permitindo que essas carteiras comprem o token no mesmo bloco em que o token é lançado. Ao focar na cadeia de financiamento clara entre o emissor e os snipers, identificamos um conjunto de comportamentos de extração de alta credibilidade.

A análise indica que esta estratégia não é um fenómeno acidental ou um comportamento marginal. Apenas no último mês, foram obtidos mais de 15,000 SOL em lucros realizados através deste método, envolvendo mais de 4,600 carteiras de sniping e mais de 10,400 implementadores. Estas carteiras demonstraram uma taxa de sucesso anormalmente alta de (87% em lucros de sniping ), saídas rápidas e um padrão de operação estruturado.

Principais descobertas:

• O financiamento de snipers apoiados por implementadores é sistemático, lucrativo e geralmente automatizado, com atividades de sniper concentradas durante o horário de trabalho nos Estados Unidos.
• A estrutura de múltiplas carteiras para a agricultura é bastante comum, frequentemente utilizando carteiras temporárias e retiradas colaborativas para simular a demanda real.
• As técnicas de ofuscação estão a evoluir constantemente, como cadeias de fundos de múltiplas saltos e transações de múltiplas assinaturas, para evitar detecções.
• Apesar das limitações, o nosso filtro de fundos de salto único ainda consegue capturar os casos de "insider" mais evidentes e repetíveis em larga escala.
• Este relatório apresenta um conjunto de métodos heurísticos acionáveis que ajudam as equipas de protocolo e frontend a identificar, marcar e responder em tempo real a tais atividades - incluindo o rastreamento da concentração de posições iniciais, a rotulagem de carteiras associadas aos implementadores e a emissão de alertas no frontend para os usuários em emissões de alto risco.

Embora nossa análise abranja apenas um subconjunto das ações de sniper em bloco, sua escala, estrutura e rentabilidade indicam que a emissão de tokens Solana está sendo ativamente manipulada por redes colaborativas, enquanto as atuais medidas de defesa são totalmente insuficientes.

Metodologia

Esta análise tem como ponto de partida um objetivo claro: identificar comportamentos de colaboração relacionados com tokens meme no Solana, especialmente situações em que os desenvolvedores fornecem fundos para carteiras de ataque na mesma emissão de tokens.

1. Filtrar o mesmo bloco de snipers

Primeiro, filtramos as carteiras que foram atacadas no mesmo bloco logo após a implementação. Devido ao fato de que a Solana não possui um mempool global; é necessário saber o endereço antes que o token apareça na interface pública; e o intervalo de tempo entre a implementação e a primeira interação com a DEX é extremamente curto. Esse comportamento quase não pode ocorrer naturalmente, portanto, "ataque no mesmo bloco" tornou-se um filtro de alta confiabilidade para identificar atividades potencialmente coniventes ou privilegiadas.

2. Identificar carteiras associadas ao deployer

Para distinguir entre atiradores de elite tecnologicamente avançados e "insiders" colaborativos, rastreamos as transferências de SOL entre o implantador e os atiradores de elite antes do lançamento do token, marcando apenas as wallets que atendem às seguintes condições: recebendo SOL diretamente do implantador; enviando SOL diretamente ao implantador. Apenas as wallets que tinham transferências diretas antes do lançamento foram incluídas no conjunto de dados final.

3. Associar a especulação aos lucros dos tokens

Para cada carteira de sniper, mapeamos suas atividades de negociação no token alvo, calculando especificamente: o total de SOL gasto na compra desse token; o total de SOL obtido na venda na DEX; o lucro líquido realizado ( e não o ganho nominal ). Assim, podemos atribuir com precisão o lucro retirado de cada sniper do implementador.

4. Medir o tamanho e o comportamento da carteira

Analisamos a escala dessas atividades a partir de várias dimensões: número de implementadores independentes e carteiras de sniper; número de vezes que os snipers confirmaram a colaboração no mesmo bloco; distribuição dos lucros dos snipers; quantidade de tokens emitidos por cada implementador; situação de reutilização de carteiras de sniper entre tokens.

5. Vestígios de atividade da máquina

Para compreender como essas operações são realizadas, agrupamos as atividades de sniper por hora UTC. Os resultados mostram: as atividades se concentram em janelas de tempo específicas; diminuem significativamente durante a madrugada UTC; isso indica que, em vez de ser uma automação global e contínua, é mais como tarefas cron ou janelas de execução manual alinhadas com os Estados Unidos.

6. Análise de Comportamento de Saída

Por fim, estudamos o comportamento das carteiras associadas aos implementadores ao vender tokens que foram alvo de ataques de sniper: medimos o tempo entre a primeira compra e a venda final (, a duração da posição ); e contabilizamos o número de transações de venda independentes usadas por cada carteira para sair. Com isso, diferenciamos se a carteira optou por uma liquidação rápida ou uma venda gradual, e examinamos a relação entre a velocidade de saída e a rentabilidade.

Focar na ameaça mais evidente

Nós primeiro medimos a escala da emissão de tokens em plataformas de emissão no mesmo bloco, e os resultados foram surpreendentes: mais de 50% dos tokens foram atacados no momento da criação do bloco - o ataque no mesmo bloco passou de um caso marginal para um modo de emissão dominante.

Na Solana, a participação no mesmo bloco geralmente requer: pré-assinatura de transações; coordenação fora da cadeia; ou compartilhamento de infraestrutura entre o desenvolvedor e o comprador.

Nem todos os ataques a blocos são igualmente maliciosos, existem pelo menos duas categorias de papéis: "robô de pesca" - que testa heurísticas ou especulações de baixo valor; colaboradores internos - incluindo o implementador que fornece financiamento para seus compradores.

Para reduzir os falsos positivos e destacar o verdadeiro comportamento colaborativo, adicionámos uma filtragem rigorosa nos indicadores finais: apenas contabilizamos os ataques diretos de SOL entre o implementador e as carteiras de ataque antes da listagem. Isso nos permite identificar com confiança: carteiras controladas diretamente pelo implementador; carteiras que agem sob a direção do implementador; carteiras que possuem canais internos.

Estudo de caso 1: financiamento direto

A carteira do deployer enviou um total de 1,2 SOL para 3 carteiras diferentes, e então emitiu um token chamado SOL > BNB. As 3 carteiras que receberam o financiamento completaram a compra do token no mesmo bloco da criação do token, antes de ser visível para o mercado mais amplo. Em seguida, elas rapidamente venderam para obter lucro, executando uma saída relâmpago coordenada. Este é um exemplo típico de uma carteira de sniper pré-financiada que está capturando tokens de fazenda, diretamente capturado pelo nosso método de cadeia de financiamento. Apesar da técnica ser simples, ela se reproduz em grande escala em milhares de emissões.

Estudo de Caso 2: Financiamento de Múltiplos Saltos

Uma carteira está relacionada a várias tentativas de sniper de tokens. Esta entidade não injetou diretamente capital na carteira sniper, mas transferiu SOL através de 5 a 7 carteiras intermediárias até à carteira sniper final, completando assim o sniper no mesmo bloco.

Nossos métodos atuais apenas detectam algumas transferências iniciais do implementador, mas não conseguem capturar toda a cadeia de transações até a carteira final alvo. Essas carteiras intermediárias costumam ser "usadas uma só vez", apenas para transmitir SOL, tornando difícil a associação por meio de consultas simples. Essa lacuna não é uma falha de design, mas sim uma escolha de compromisso em relação aos recursos computacionais – embora seja viável rastrear caminhos de fundos de múltiplos saltos em grandes volumes de dados, o custo é elevado. Portanto, a implementação atual prioriza links diretos de alta confiabilidade para manter clareza e reprodutibilidade.

Por que focar em "carteiras de financiamento direto e de ataque ao bloco"

No restante deste artigo, iremos apenas estudar as carteiras de sniper que obtêm diretamente os fundos do desenvolvedor antes do lançamento e que atacam no mesmo bloco. As razões são as seguintes: elas contribuem com lucros significativos; os métodos de confusão são mínimos; representam o subconjunto malicioso mais operacional; estudá-las pode fornecer a estrutura heurística mais clara para detectar e mitigar estratégias de extração mais avançadas.

Descobrir

Focando no subconjunto "Ataque de blocos no mesmo espaço + Cadeia de financiamento direta", revelamos um comportamento colaborativo em cadeia que é amplo, estruturado e altamente lucrativo. Todos os dados a seguir abrangem de 15 de março até hoje:

1. O sniping financiado pelo mesmo bloco e pelo desenvolvedor é bastante comum e sistemático.

a. No último mês, foram confirmados mais de 15.000 tokens que foram diretamente alvo de carteiras de investimento logo após a emissão no bloco.

b. Envolve mais de 4.600 carteiras de sniper e mais de 10.400 implementadores;

c. Representa cerca de 1,75% do volume de emissão da plataforma de emissão de tokens.

2. Este comportamento resulta em lucros em grande escala

a. Obtenção direta de capital com carteira de ataque já realizou lucro líquido >15,000 SOL;

b. Taxa de sucesso de sniping 87%, muito poucas transações falhadas;

c. Rendimentos típicos de uma única carteira 1-100 SOL, poucos ultrapassando 500 SOL.

3. Repetição de implantação e direcionamento de sniper para a rede de agricultores

a. Muitos implementadores usam carteiras novas para criar em massa dezenas a centenas de tokens;

b. Algumas carteiras de sniper executam centenas de snipes em um dia;

c. Observou-se a estrutura "centro-radial": uma carteira financia várias carteiras de sniper, todas atacando o mesmo token.

4. O sniper apresenta um padrão temporal centrado no ser humano

a. O pico de atividade é entre 14:00 e 23:00 UTC; quase paralisado entre 00:00 e 08:00 UTC;

b. Compatível com o horário de trabalho dos EUA, indicando que é acionado manualmente/cron, e não totalmente automático 24 horas por dia.

5. Confusão de propriedade entre carteiras únicas e transações multi-assinatura

a. O distribuidor aporta simultaneamente em várias carteiras e assina a emboscada na mesma transação;

b. Essas carteiras temporárias não assinarão mais nenhuma transação;

c. O implantador divide a compra inicial em 2-4 carteiras, disfarçando a demanda real.

Comportamento de Saída

Para entender melhor como essas carteiras saem, dividimos os dados em duas grandes dimensões de comportamento:

1. Velocidade de saída ( Tempo de saída )—do primeiro compra até a venda final;

2. Número de Vendas ( Contagem de Trocas )—Número de transações de venda independentes utilizadas para a saída.

conclusão dos dados

1. Velocidade de saída

a. 55% dos snipers foram vendidos em 1 minuto;

b. 85% em 5 minutos para liquidar;

c. 11% concluído em 15 segundos.

2. Número de vendas

a. Mais de 90% das carteiras de sniper saem com apenas 1-2 ordens de venda;

b. Muito raramente adotam vendas progressivas.

3. Tendência de Lucros

a. O mais lucrativo é o <1 minuto saída da carteira, em segundo lugar <5 minutos;

b. Embora a manutenção por mais tempo ou vendas múltiplas tenham um lucro médio ligeiramente superior por transação, a quantidade é extremamente limitada e a contribuição para o lucro total é reduzida.

Estes padrões indicam: o financiamento de snipers por parte do implementador não é uma atividade de negociação, mas sim uma estratégia de extração automatizada e de baixo risco:

·Comprar antecipadamente → Vender rapidamente → Sair completamente.

·Uma venda única representa uma indiferença às flutuações de preço, apenas aproveitando a oportunidade para vender.

· Algumas estratégias de saída mais complexas são apenas exceções, modos não convencionais.

Conclusão

Este relatório revela uma estratégia de extração de emissão de tokens Solana contínua, estruturada e altamente lucrativa: sniper de mesmo bloco financiado pelo deployer. Ao rastrear transferências diretas de SOL do deployer para a carteira do sniper, identificamos um comportamento interno, aproveitando a arquitetura de alta capacidade de processamento da Solana para uma extração colaborativa.

Embora este método capture apenas uma parte da especulação dentro do mesmo bloco, sua escala e padrão indicam que: não se trata de uma especulação dispersa, mas sim de operadores com posições privilegiadas, sistemas repetíveis e intenções claras. A importância desta estratégia se reflete em:

1. Distorcer os sinais de mercado iniciais, fazendo com que o token pareça mais atraente ou