Análise do comportamento de sniper colaborativo na emissão de tokens Solana

Resumo

Este relatório investiga um padrão de cultivo de meme tokens amplamente disseminado e altamente colaborativo na Solana: os emissores de tokens transferem SOL para "carteiras de sniper", permitindo que essas carteiras comprem o token na mesma block em que o token é lançado. Ao focar na cadeia de fundos clara e comprovável entre os emissores e os snipers, identificamos um conjunto de comportamentos de extração de alta confiança.

A análise mostra que essa estratégia não é um fenômeno acidental nem um comportamento marginal. Apenas no último mês, mais de 15.000 SOL de lucros realizados foram extraídos de mais de 15.000 emissões de tokens dessa forma, envolvendo mais de 4.600 carteiras de snipers e mais de 10.400 implementadores. Essas carteiras demonstraram uma taxa de sucesso anormalmente alta de (87% nos lucros de sniper ), saídas limpas e um padrão operacional estruturado.

Descobertas chave:

• O financiamento por parte dos implementadores de sniper é sistemático, lucrativo e geralmente automatizado, com atividades de sniper mais concentradas durante o horário de trabalho nos Estados Unidos.
• A estrutura de agricultura com múltiplas carteiras é bastante comum, frequentemente utilizando carteiras temporárias e saídas colaborativas para simular a demanda real.
• Os métodos de ofuscação estão em constante evolução, como cadeias de fundos de múltiplos saltos e transações de ataque de múltiplas assinaturas, para evitar a detecção.
• Apesar das limitações, um filtro de capital de salto ainda pode capturar os casos de comportamento "interno" mais claros e repetíveis em grande escala.
• Este relatório apresenta um conjunto de métodos heurísticos acionáveis, que ajudam as equipes de protocolo e front-end a identificar, marcar e responder em tempo real a tais atividades.

Apesar de a análise cobrir apenas um subconjunto do comportamento de sniper de blocos, sua escala, estrutura e rentabilidade indicam que a emissão de tokens Solana está sendo ativamente manipulada por redes colaborativas, enquanto as medidas de defesa existentes são insuficientes.

Metodologia

Esta análise tem como objetivo identificar comportamentos de cultivo colaborativo de tokens meme na Solana, especialmente a situação em que os implementadores fornecem fundos para carteiras de ataque na mesma block em que o token é lançado. Dividimos o problema nas seguintes fases:

1. Filtrar snipers na mesma blockchain
2. Identificar e implantar a carteira associada ao depositante
3. Associar o sniping com os lucros dos tokens
4. Medir a escala e o comportamento das carteiras
5. Vestígios de atividade da máquina
6. Análise do Comportamento de Saída

Focar nas ameaças mais claras

Nós primeiro medimos a escala do sniping no mesmo bloco durante a emissão do pump.fun, e os resultados foram chocantes: mais de 50% dos tokens foram sniped assim que o bloco foi criado - o sniping no mesmo bloco passou de um caso marginal para um modo de emissão dominante.

Para reduzir falsos positivos e destacar comportamentos colaborativos reais, incluímos um filtro rigoroso nos indicadores finais: apenas registramos as transferências diretas de SOL entre o implantador e as carteiras de ataque antes do lançamento. Isso nos permite identificar com confiança: carteiras diretamente controladas pelo implantador, carteiras que atuam sob a direção do implantador e carteiras com canais internos.

Estudo de Caso 1: Financiamento Direto

A carteira do implantador enviou um total de 1,2 SOL para 3 carteiras diferentes, e então implantou um token chamado SOL > BNB. As 3 carteiras que receberam fundos completaram a compra no mesmo bloco em que o token foi criado, antes de se tornarem visíveis para o mercado mais amplo. Em seguida, elas venderam rapidamente para obter lucro, realizando uma saída relâmpago coordenada. Este é um exemplo clássico de como um ataque de preempção pode ser realizado por carteiras de sniper para tokens de agricultura, capturado diretamente pelo método de cadeia de financiamento. Embora a técnica seja simples, ela se repete em escala em milhares de emissões.

Estudo de Caso 2: Financiamento Multihop

Uma carteira está relacionada a múltiplos ataques a tokens. Esta entidade não financiou diretamente a carteira de ataque, mas transferiu SOL através de 5 a 7 carteiras intermediárias até chegar à carteira de ataque final, completando assim o ataque no mesmo bloco.

Os métodos atuais apenas detectam algumas transferências iniciais do implementador, mas não conseguem capturar toda a cadeia em direção à carteira final de ataque. Estas carteiras de retransmissão são geralmente "usadas uma única vez", apenas para a transmissão de SOL, tornando difícil a associação através de uma simples consulta. Esta lacuna não é uma falha de design, mas sim uma questão de compromisso de recursos computacionais.

Descobrir

Focando no subconjunto "sniping em blockchain + cadeia de financiamento direto", revelamos um comportamento colaborativo em cadeia extenso, estruturado e altamente lucrativo. Todos os dados a seguir cobrem o período de 15 de março até o presente:

1. Sniping financiado pelo mesmo bloco e pelo deployer é muito comum e sistemático.
   • No último mês, foram confirmados mais de 15.000 tokens que foram diretamente alvos de carteiras de capitalização assim que foram lançados.
   • Envolve mais de 4.600 carteiras de sniper e mais de 10.400 implementadores
   • A emissão de tokens do pump.fun é de aproximadamente 1,75%

2. Este comportamento gera lucros em larga escala
   • O Wallet de Captação Direta já alcançou um lucro líquido > 15,000 SOL
   • Taxa de sucesso de sniper 87%, muito poucas transações falhadas
   • Rendimentos típicos de uma única carteira 1-100 SOL, poucos acima de 500 SOL

3. Repetição de implantação e o direcionamento do sniper na rede de agricultores
   • Muitos implementadores utilizam novas carteiras para criar em massa dezenas a centenas de Tokens
   • Algumas carteiras de sniper executam centenas de snipes em um dia
   • Observou-se a estrutura "centro-radial": uma carteira financia várias carteiras de sniper, todas mirando o mesmo Token.

4. O sniper apresenta um padrão temporal centrado no ser humano
   • O pico de atividade está entre as 14:00 e as 23:00 UTC; quase parado entre as 00:00 e as 08:00 UTC
   • Compatível com o horário de trabalho dos EUA, indicando que é acionado manualmente/cron, e não totalmente automático 24 horas por dia.

5. Confusão de propriedade entre carteiras de uso único e transações multi-assinatura
   • O implementador faz aportes simultâneos em várias carteiras e assina um ataque na mesma transação
   • Estas carteiras queimadas não assinarão mais nenhuma transação
   • O implantador divide a compra inicial em 2-4 carteiras, disfarçando a demanda real

Comportamento de Saída

Para entender melhor como estas carteiras saem, vamos dividir os dados em duas grandes dimensões de comportamento:

1. Velocidade de Saída(Tempo de Saída) - Do primeiro compra até a venda final
2. Número de vendas ( Contagem de Trocas ) - Número de transações de venda independentes usadas para sair

Conclusão dos dados:

1. Velocidade de saída

   • 55% dos snipers foram vendidos em 1 minuto
   • 85% em 5 minutos liquidado
   • 11% concluído em 15 segundos

2. Número de vendas

   • Mais de 90% das carteiras de sniper usam apenas 1-2 ordens de venda para sair.
   • Raramente utiliza venda gradual

3. Tendência de Lucro

   • O mais lucrativo é o wallet de saída em <1 minuto, seguido de <5 minutos
   • Embora a retenção por mais tempo ou a venda múltipla resulte em lucros médios ligeiramente mais altos por transação, a quantidade é extremamente baixa e a contribuição para o lucro total é limitada.

Esses padrões indicam que o financiamento de snipers por parte dos implementadores não é uma atividade de negociação, mas sim uma estratégia automatizada e de baixo risco de extração.

Conclusão

Este relatório revela uma estratégia de extração de emissão de tokens Solana contínua, estruturada e de alto lucro: sniper dentro do mesmo bloco financiado pelo implantador. Ao rastrear as transferências diretas de SOL do implantador para a carteira sniper, identificamos um comportamento estilo insider, aproveitando a arquitetura de alta capacidade de processamento da Solana para uma extração colaborativa.

Embora este método capture apenas uma parte do sniping no mesmo bloco, a sua escala e padrão indicam: não se trata de especulação dispersa, mas de operadores com posições privilegiadas, sistemas repetíveis e intenções claras. A importância desta estratégia reflete-se em:

1. Distorcer os sinais de mercado iniciais, fazendo com que os tokens pareçam mais atraentes ou competitivos
2. Perigo para os pequenos investidores - eles se tornam liquidez de saída sem saber.
3. Enfraquecer a confiança na emissão de tokens aberta, especialmente em plataformas que buscam velocidade e facilidade de uso.

Para aliviar este problema, não são necessárias apenas defesas passivas, mas também heurísticas melhores, alertas proativos, barreiras ao nível do protocolo e esforços contínuos para mapear e monitorar comportamentos colaborativos. Ferramentas de detecção já existem - a questão é saber se o ecossistema está disposto a aplicá-las de forma genuína.

Este relatório deu o primeiro passo: forneceu um filtro confiável e reprodutível para identificar os comportamentos colaborativos mais evidentes. Mas isso é apenas o começo. O verdadeiro desafio é detectar estratégias altamente ofuscadas e em constante evolução, e criar uma cultura em cadeia que recompense a transparência em vez da extração.