Análise do comportamento de arbitragem de emissão de tokens na Solana

Resumo

Este relatório investiga um modelo de agricultura de tokens amplamente colaborativo e comum na Solana: os emissores de tokens transferem SOL para "carteiras de sniper", permitindo que essas carteiras comprem o token no mesmo bloco em que é lançado. Ao focar na cadeia de fundos clara e verificável entre os emissores e os snipers, identificamos um conjunto de comportamentos extrativos com alta confiança.

A análise mostra que essa estratégia não é um fenômeno aleatório nem um comportamento marginal. Apenas no último mês, foram extraídos mais de 15.000 SOL em lucros realizados através dessa abordagem, envolvendo mais de 4.600 carteiras de sniper e mais de 10.400 implantadores. Essas carteiras apresentam uma taxa de sucesso anormalmente alta de (87% nos lucros de sniper), uma forma de saída limpa e uma operação estruturada.

Descobertas chave:

• O sniper financiado pelo implementador possui características sistemáticas, lucrativas e geralmente automatizadas, com atividades de sniper mais concentradas durante o horário de trabalho nos Estados Unidos.
• A estrutura de múltiplas carteiras para agricultura é bastante comum, frequentemente utilizando carteiras temporárias e saídas colaborativas para simular a demanda real.
• As técnicas de confusão estão em constante evolução, como cadeias de financiamento de múltiplos saltos e transações de ataque com múltiplas assinaturas, para evitar a deteção.
• Embora tenha limitações, o nosso filtro de fundos Jump ainda consegue capturar os casos de "insider" mais claros e repetíveis em grande escala.
• Este relatório apresenta um conjunto de métodos heurísticos acionáveis, ajudando as equipas de protocolo e front-end a identificar, marcar e responder em tempo real a tais atividades - incluindo o rastreamento da concentração de posições iniciais, etiquetando as carteiras associadas aos implementadores e emitindo alertas front-end aos utilizadores em emissões de alto risco.

Apesar de a análise cobrir apenas um subconjunto das atividades de sniping na mesma blockchain, sua escala, estrutura e rentabilidade indicam que a emissão de tokens Solana está sendo ativamente manipulada por redes colaborativas, enquanto as medidas de defesa existentes são amplamente inadequadas.

Metodologia

Esta análise começa com um objetivo claro: identificar comportamentos de lavagem de tokens colaborativos na Solana, especialmente no que diz respeito ao financiamento de carteiras de ataque pelos implementadores no mesmo bloco em que os tokens são lançados. Dividimos a questão nas seguintes fases:

1. Filtrar snipers na mesma blockchain

Primeiro, filtre as carteiras que foram alvo de sniper no mesmo bloco após a implementação. Como a Solana não possui um mempool global; é necessário saber o seu endereço antes que o token apareça na interface pública; e o tempo entre a implementação e a primeira interação no DEX é extremamente curto. Este comportamento é quase impossível de ocorrer naturalmente, portanto, "sniping no mesmo bloco" torna-se um filtro de alta confiança para identificar atividades potenciais de conluio ou privilégios.

2. Identificar e implantar a carteira associada ao implementador

Para distinguir os snipers tecnologicamente avançados dos "insiders" colaborativos, rastreamos as transferências de SOL entre os implementadores e os snipers antes do lançamento do token, marcando apenas as carteiras que atendem às seguintes condições: receber SOL diretamente do implementador; enviar SOL diretamente ao implementador. Apenas as carteiras que tiveram transferências diretas antes do lançamento foram incluídas no conjunto de dados final.

3. Associar o sniper com o lucro do Token

Para cada carteira de sniper, mapeamos suas atividades de negociação nos tokens alvo, calculando especificamente: o total gasto em SOL para comprar o token; o total em SOL obtido na venda na DEX; lucro líquido realizado ( em vez do lucro nominal ). Isso permite atribuir com precisão o lucro retirado de cada sniper do implantador.

4. Medir a escala e o comportamento da carteira

Analisamos a escala deste tipo de atividades a partir de várias dimensões: número de implementadores independentes e carteiras de sniper; número de vezes que as colaborações de sniper no mesmo bloco foram confirmadas; distribuição dos lucros de sniper; quantidade de tokens emitidos por cada implementador; situação da reutilização de carteiras de sniper entre tokens.

5. Rastros de atividade da máquina

Para entender como essas operações ocorrem, agrupamos as atividades de sniper por horas UTC. Os resultados mostram: as atividades estão concentradas em janelas de tempo específicas; há uma queda significativa durante a madrugada UTC; isso sugere que, em vez de uma automação global e contínua, é mais como tarefas cron alinhadas com os EUA ou janelas executadas manualmente.

6. Análise de Comportamento de Saída

Por fim, estudamos o comportamento das carteiras associadas aos implementadores ao vender tokens que foram alvo de ataque: medindo o tempo entre a primeira compra e a venda final (, a duração da posição ); contabilizando o número de transações de venda independentes usadas por cada carteira para sair. Assim, diferenciamos se a carteira opta por liquidar rapidamente ou por uma venda gradual, e examinamos a relação entre a velocidade de saída e a rentabilidade.

Focar nas ameaças mais claras

Nós primeiro medimos a escala da emissão de tokens na plataforma de emissão, e os resultados foram chocantes: mais de 50% dos tokens foram alvo de arbitragem na criação de blocos - a arbitragem de blocos passou de um caso marginal para um modo de emissão dominante.

Na Solana, a participação no mesmo bloco geralmente requer: pré-assinatura de transações; coordenação off-chain; ou compartilhamento de infraestrutura entre o desenvolvedor e o comprador.

Nem todos os ataques de sniper em bloco são igualmente maliciosos, existem pelo menos duas categorias de papéis: "robôs de rede de sorte" - testam heurísticas ou especulação de baixo valor; colaboradores internos - incluem o implementador que fornece financiamento aos seus próprios compradores.

Para reduzir falsos positivos e destacar o verdadeiro comportamento colaborativo, adicionamos um filtro rigoroso ao indicador final: contabilizamos apenas os ataques de sniper onde há transferências diretas de SOL entre o implantador e a carteira de sniper antes do lançamento. Isso nos permite identificar com confiança: carteiras diretamente controladas pelo implantador; carteiras que agem sob a direção do implantador; carteiras que possuem canais internos.

Estudo de Caso 1: Financiamento Direto

A carteira do implementador enviou um total de 1,2 SOL para 3 carteiras diferentes, e em seguida emitiu um token chamado SOL > BNB. As 3 carteiras de financiamento completaram a compra no mesmo bloco em que o token foi criado, antes de se tornar visível para o mercado mais amplo. Em seguida, elas venderam rapidamente para obter lucro, executando uma saída relâmpago coordenada. Este é um exemplo clássico de um ataque de sniper de pré-financiamento, capturado diretamente pela nossa abordagem de cadeia de financiamento. Apesar da simplicidade do método, ele foi amplamente executado em milhares de emissões.

Estudo de Caso 2: Financiamento Multisalto

Uma carteira está relacionada com múltiplos ataques de tokens. Esta entidade não financiou diretamente a carteira de ataque, mas transferiu SOL através de 5 a 7 carteiras intermediárias até à carteira de ataque final, completando assim o ataque no mesmo bloco.

O nosso método atual só detecta algumas transferências iniciais do implantador, mas não consegue capturar toda a cadeia em direção à carteira final de ataque. Estas carteiras de retransmissão são geralmente "usadas uma única vez", apenas para transmitir SOL, tornando difícil a associação através de consultas simples. Esta lacuna não é uma falha de design, mas sim uma consideração de recursos computacionais - embora seja viável rastrear caminhos de fundos de múltiplos saltos em grandes volumes de dados, o custo é enorme. Portanto, a implementação atual prioriza ligações diretas de alta confiança para manter clareza e reprodutibilidade.

Por que focar em "financiamento direto e carteiras de sniper de blockchain"

Na restante parte deste artigo, apenas estudamos as carteiras de sniper que obtêm diretamente os fundos do distribuidor antes de serem lançados e que atacam no mesmo bloco. As razões são as seguintes: elas contribuem com lucros consideráveis; os métodos de confusão são mínimos; representam o subconjunto malicioso mais operável; estudá-las pode fornecer o quadro heurístico mais claro para detectar e mitigar estratégias de extração mais avançadas.

Descobrir

Focando no subconjunto "sniping na mesma blockchain + cadeia de capital direta", revelamos um comportamento colaborativo on-chain amplo, estruturado e altamente lucrativo. Todos os dados a seguir abrangem de 15 de março até agora:

1. O sniping financiado pelo implantador e que ocorre na mesma blockchain é bastante comum e sistemático.

a. No último mês, foram confirmados mais de 15.000 Tokens que foram diretamente alvo de carteiras de financiamento assim que foram lançados no bloco. b. Envolve mais de 4.600 carteiras de sniper, mais de 10.400 implementadores; c. A emissão de tokens de uma plataforma de emissão é de cerca de 1,75%.

2. Esta atividade gera lucros em grande escala

a. A armadilha de captação direta de recursos da carteira já alcançou um lucro líquido >15,000 SOL; b. Taxa de sucesso de sniper de 87%, poucas transações falhadas; c. Receita típica de uma única carteira 1-100 SOL, poucos acima de 500 SOL.

3. Repetir a implantação e apontar para a rede de agricultura de sniper

a. Muitos implementadores utilizam novas carteiras para criar em massa dezenas a centenas de Tokens; b. Algumas carteiras de sniping executam centenas de snipes em um dia; c. Observou-se a estrutura "centro-radial": uma carteira financia várias carteiras de sniper, todas atacando o mesmo token.

4. O sniper apresenta um padrão de tempo centrado no ser humano

a. O pico de atividade é das 14:00 às 23:00 UTC; quase em paragem das 00:00 às 08:00 UTC; b. Compatível com o horário de trabalho dos EUA, indicando que é acionado manualmente/cron, e não totalmente automático 24 horas por dia.

5. Confusão de propriedade entre carteira única e transações multi-assinatura

a. O implantador faz depósitos em vários carteiras ao mesmo tempo e assina a arbitragem na mesma transação; b. Estas carteiras não assinarão mais nenhuma transação; c. O implantador divide a compra inicial em 2-4 carteiras, disfarçando a demanda real.

Comportamento de Saída

Para entender melhor como essas carteiras saem, dividimos os dados em duas grandes dimensões de comportamento:

1. Velocidade de saída - do primeiro compra até a venda final;
2. Número de vendas - Quantidade de transações de venda independentes utilizadas para a saída.

conclusão de dados

1. Velocidade de saída

a. 55% dos snipers foram vendidos em 1 minuto; b. 85% a ser liquidado em 5 minutos; c. 11% concluído em 15 segundos.

2. Número de vendas

a. Mais de 90% das carteiras de sniper saem com apenas 1-2 ordens de venda; b. Muito raramente utiliza venda gradual.

3. Tendência de lucro

a. O mais lucrativo é o wallet de saída em <1 minuto, seguido por <5 minutos; b. Embora a detenção por mais tempo ou a venda múltipla possa resultar em um lucro médio ligeiramente maior por transação, a quantidade é muito pequena, contribuindo limitadamente para o lucro total.

explicação

Estes padrões indicam: o sniper financiado pelo implementador não é uma atividade de negociação, mas sim uma estratégia automatizada de extração de baixo risco:

• Comprar antecipadamente → Vender rapidamente → Sair completamente.
• Uma venda única representa uma indiferença às flutuações de preço, utilizando apenas a oportunidade para vender.
• Algumas estratégias de saída mais complexas são apenas exceções, modos não convencionais.

Conclusão

Este relatório revela uma estratégia de extração de emissão de tokens Solana contínua, estruturada e de alta rentabilidade: sniping financiado por implementadores na mesma blockchain. Ao rastrear transferências diretas de SOL dos implementadores para as carteiras de sniping, identificamos um conjunto de comportamentos no estilo de insiders, utilizando a alta capacidade de processamento da Solana para uma extração colaborativa.

Embora este método capture apenas uma parte da captura de blocos na mesma área, sua escala e padrão indicam: não se trata de uma especulação pontual, mas de uma posição privilegiada,