Intérieur de l'émission de jetons sur Solana : révéler l'arbitrage de la frappe collaborative

Résumé

Ce rapport examine un modèle de farming de jetons meme, largement utilisé et hautement collaboratif, sur Solana : les émetteurs de jetons transfèrent des SOL vers des "portefeuilles de sniper", permettant à ces portefeuilles d'acheter le jeton dans le même bloc que son lancement. En se concentrant sur une chaîne de fonds claire et vérifiable entre l'émetteur et le sniper, nous avons identifié un ensemble de comportements d'extraction à haute confiance.

L'analyse montre que cette stratégie n'est ni un phénomène accidentel, ni un comportement marginal. Rien qu'au cours du mois dernier, plus de 15 000 SOL de profits réalisés ont été extraits de plus de 15 000 émissions de jetons de cette manière, impliquant plus de 4 600 portefeuilles de sniper et plus de 10 400 déployeurs. Ces portefeuilles affichent un taux de succès anormalement élevé de (87 % sur les profits de sniper ), des sorties nettes et claires ainsi qu'un mode opératoire structuré.

Découverte clé :

• Les snipers financés par les déployeurs sont systématiques, rentables et généralement automatisés, les activités de sniper étant les plus concentrées pendant les heures de travail aux États-Unis.
• La structure de l'agriculture à plusieurs portefeuilles est très courante, utilisant souvent des portefeuilles temporaires et des retraits coordonnés pour simuler une demande réelle.
• Les méthodes de confusion continuent de se renforcer, comme les chaînes de financement multi-sauts et les transactions ciblées par signatures multiples, pour échapper à la détection.
• Bien qu'il ait des limites, un filtre de fonds en saut peut toujours saisir les cas d'"initiés" les plus clairs et répétables à grande échelle.
• Ce rapport propose une méthode heuristique opérationnelle pour aider les équipes de protocole et les interfaces frontales à identifier, marquer et réagir en temps réel à de telles activités - y compris le suivi de la concentration des positions initiales, l'attribution d'étiquettes aux portefeuilles des déployeurs et l'envoi d'avertissements aux utilisateurs sur l'interface frontale lors d'émissions à haut risque.

Bien que l'analyse ne couvre qu'un sous-ensemble des comportements de sniping dans le même bloc, son ampleur, sa structure et sa rentabilité indiquent que l'émission de jetons Solana est activement manipulée par un réseau collaboratif, tandis que les mesures de défense existantes sont largement insuffisantes.

Méthodologie

Cette analyse commence avec un objectif clair : identifier les comportements de manipulation des jetons meme sur Solana, en particulier les cas où les déployeurs fournissent des fonds aux portefeuilles de ciblage lors de l'émission des jetons dans le même bloc. Nous avons divisé la question en plusieurs étapes :

1. Filtrer les snipers de la même zone

Tout d'abord, filtrez les portefeuilles qui ont été piégés dans le même bloc immédiatement après le déploiement. En raison de l'absence de mempool global sur Solana, il est nécessaire de connaître l'adresse du jeton avant qu'il n'apparaisse sur le frontend public, et le laps de temps entre le déploiement et la première interaction DEX est très court. Ce comportement est presque impossible à produire naturellement, c'est pourquoi "le ciblage dans le même bloc" devient un filtre de haute confiance pour identifier les activités potentielles de collusion ou de privilège.

2. Identifier et déployer le portefeuille associé au déployeur

Pour distinguer les tireurs d'élite techniquement compétents des "initiés" collaboratifs, nous avons suivi les transferts SOL entre les déployeurs et les tireurs d'élite avant le lancement des jetons, en marquant uniquement les portefeuilles répondant aux conditions suivantes : recevoir directement des SOL du déployeur ; envoyer directement des SOL au déployeur. Seuls les portefeuilles ayant des transferts directs avant le lancement ont été inclus dans l'ensemble de données final.

3. Lier le ciblage aux profits des jetons

Pour chaque portefeuille de sniper, nous cartographions son activité de trading sur les jetons ciblés, en calculant précisément : le montant total de SOL dépensé pour acheter ce jeton ; le montant total de SOL obtenu lors de la vente sur DEX ; le bénéfice net réalisé ( plutôt que le bénéfice nominal ). Cela permet d'attribuer précisément les profits extraits à chaque fois d'un déployeur.

4. Mesurer la taille et le comportement des portefeuilles

Nous analysons l'échelle de ce type d'activités sous plusieurs dimensions : le nombre de déployeurs indépendants et de portefeuilles de sniping ; le nombre de fois que le sniping collaboratif a été confirmé dans le même bloc ; la distribution des profits de sniping ; le nombre de jetons émis par chaque déployeur ; la réutilisation des portefeuilles de sniping à travers les jetons.

5. Trace des activités de la machine

Pour comprendre comment ces opérations se déroulent, nous regroupons les activités de sniper par heure UTC. Les résultats montrent : les activités se concentrent dans des fenêtres temporelles spécifiques ; elles diminuent de manière significative pendant les heures tardives de l'UTC ; cela indique qu'il s'agit moins d'une automatisation mondiale et continue que de tâches cron ou de fenêtres d'exécution manuelles alignées sur les États-Unis.

6. Analyse du comportement de sortie

Enfin, nous étudions le comportement des portefeuilles associés aux déployeurs lors de la vente de jetons ciblés : mesurer le temps entre le premier achat et la vente finale ( la durée de détention ) ; compter le nombre de transactions de vente indépendantes utilisées par chaque portefeuille pour sortir. Cela permet de distinguer si le portefeuille choisit un déstockage rapide ou une vente progressive, et d'examiner le lien entre la vitesse de sortie et la rentabilité.

Se concentrer sur la menace la plus claire

Nous avons d'abord mesuré l'ampleur des frappes de jetons dans le même bloc sur une certaine plateforme, et les résultats sont choquants : plus de 50 % des jetons sont frappés dès la création du bloc — la frappe dans le même bloc est passée d'un cas marginal à un mode d'émission dominant.

Sur Solana, la participation au même bloc nécessite généralement : des transactions pré-signées ; une coordination hors chaîne ; ou un partage d'infrastructure entre le déployeur et l'acheteur.

Tous les tireurs de blocs dans la même zone ne sont pas nécessairement malveillants, il existe au moins deux types de rôles : "robots de pêche à la ligne" - testant des heuristiques ou des spéculations à faible montant ; et les complices internes - y compris ceux qui financent leurs propres acheteurs.

Pour réduire les faux positifs et mettre en évidence les véritables comportements collaboratifs, nous avons intégré un filtrage strict dans l'indicateur final : seuls les arnaques avec des transferts directs de SOL entre le déployeur et le portefeuille de ciblage sont comptabilisés. Cela nous permet de cibler avec confiance : les portefeuilles directement contrôlés par le déployeur ; les portefeuilles agissant sous la direction du déployeur ; les portefeuilles ayant des canaux internes.

Étude de cas 1 : financement direct

Le portefeuille du déployeur envoie un total de 1,2 SOL à 3 portefeuilles différents, puis déploie un jeton nommé SOL > BNB. Les 3 portefeuilles de financement terminent l'achat dans le même bloc que la création du jeton, avant que cela ne soit visible sur un marché plus large. Par la suite, ils le vendent rapidement pour réaliser un profit, exécutant une sortie éclair coordonnée. Cela constitue un exemple classique de la manière dont un portefeuille de sniper préfinancé peut brosser des jetons agricoles, capturé directement par notre méthode de chaîne de financement. Bien que la méthode soit simple, elle se joue à grande échelle dans des milliers d'émissions.

Étude de cas 2 : financement multi-saut

Un certain portefeuille est lié à plusieurs coups de jetons. Cette entité n'a pas directement financé le portefeuille de coup, mais a envoyé des SOL via des portefeuilles de relais de 5 à 7 couches jusqu'au portefeuille de coup final, réalisant ainsi le coup dans le même bloc.

Notre méthode actuelle ne détecte que quelques transferts préliminaires du déployeur, sans réussir à capturer l'ensemble de la chaîne menant au portefeuille de ciblage final. Ces portefeuilles de relais sont souvent "utilisés une seule fois", uniquement pour transmettre des SOL, rendant difficile l'association par une simple requête. Cette lacune n'est pas un défaut de conception, mais plutôt un compromis en matière de ressources informatiques - bien qu'il soit possible de suivre des chemins de fonds multi-sauts dans de grandes données, le coût est énorme. Par conséquent, l'implémentation actuelle privilégie des liens directs à haute confiance pour maintenir la clarté et la reproductibilité.

Nous avons utilisé des outils d'analyse de données pour montrer cette chaîne de fonds plus longue, visualisant comment les fonds passent du portefeuille initial à travers le portefeuille intermédiaire jusqu'au portefeuille du déployeur final. Cela met en évidence la complexité du flou autour des sources de fonds et indique également une direction pour améliorer les méthodes de détection à l'avenir.

Pourquoi se concentrer sur "les portefeuilles de financement direct et de frappe de bloc"

Dans la partie restante de cet article, nous n'étudierons que les portefeuilles de sniper qui obtiennent directement des fonds de déploiement avant le lancement et qui ciblent dans le même bloc. Les raisons sont les suivantes : ils contribuent à des profits considérables ; les moyens de confusion sont minimaux ; ils représentent le sous-ensemble malveillant le plus opérationnel ; les étudier peut fournir le cadre heuristique le plus clair pour détecter et atténuer des stratégies d'extraction plus avancées.

Découverte

En se concentrant sur le sous-ensemble "sniping dans la même zone de bloc + chaîne de financement directe", nous révélons un comportement collaboratif en ligne large, structuré et hautement rentable. Toutes les données suivantes couvrent la période du 15 mars à aujourd'hui:

1. Il est très courant et systématique de voir des snipers financés par le déployeur dans le même bloc.

a. Au cours du dernier mois, plus de 15 000 jetons ont été directement ciblés par des portefeuilles d'investissement dès leur mise en ligne sur la blockchain;

b. Impliquant plus de 4 600 portefeuilles de sniping, plus de 10 400 déployeurs;

c. Représente environ 1,75 % de l'émission sur une certaine plateforme.

2. Ce comportement génère des bénéfices massifs

a. Obtention directe de fonds, le portefeuille de ciblage a réalisé un bénéfice net >15 000 SOL;

b. Taux de réussite de la cible de 87 %, très peu de transactions échouées ;

c. Rendement typique d'un seul portefeuille 1-100 SOL, quelques-uns dépassent 500 SOL.

3. Déploiement répété et ciblage pour le réseau agricole

a. De nombreux déployeurs utilisent de nouveaux portefeuilles pour créer en masse des dizaines à des centaines de jetons;

b. Certains portefeuilles de sniper effectuent des centaines de snipes en une journée;

c. Observation de la structure "centre-rayonnement" : un portefeuille finance plusieurs portefeuilles de sniper, tous ciblant le même jeton.

4. Sniper présente un modèle temporel centré sur l'homme

a. Les pics d'activité se situent entre 14h00 et 23h00 UTC ; entre 00h00 et 08h00 UTC, il y a presque une stagnation ;

b. S'harmonise avec les heures de travail aux États-Unis, ce qui indique un déclenchement manuel / cron, et non une automatisation complète 24 heures sur 24.

5. La confusion entre les portefeuilles à usage unique et les transactions multi-signatures concernant la propriété.

a. Le déployeur injecte des fonds dans plusieurs portefeuilles simultanément et signe le tir dans la même transaction;

b. Ces portefeuilles brûlés ne signeront plus aucune transaction ;

c. Le déployeur divise l'achat initial en 2 à 4 portefeuilles pour masquer la demande réelle.

Comportement de sortie

Pour mieux comprendre comment ces portefeuilles se retirent, nous décomposons les données selon deux grandes dimensions de comportement :

1. Vitesse de sortie(Moment de sortie)——du premier achat à la vente finale;

2. Nombre de ventes ( Compte d'échange )——Nombre de transactions de vente indépendantes utilisées pour quitter.

Conclusion des données

1. Vitesse de sortie

a. 55% des snipes ont été vendus en une minute.

b. 85% déchargement en 5 minutes;

c. 11% terminé en 15 secondes.

2. Nombre de ventes

a. Plus de 90 % des portefeuilles de sniper n'utilisent qu'1 à 2 ventes pour sortir ;

b. Très peu de ventes progressives.

3. Tendance des bénéfices

a. Le portefeuille le plus rentable est celui qui permet de sortir en moins de 1 minute, suivi de celui qui permet de sortir en moins de 5 minutes;

b. Bien que la détention prolongée ou la vente répétée ait un bénéfice unitaire légèrement supérieur, la quantité est très faible et sa contribution au bénéfice total est limitée.

explication

Ces modèles indiquent que les coups de feu financés par le déployeur ne sont pas des transactions, mais plutôt des stratégies d'extraction automatisées et à faible risque:

• Acheter en avance → Vendre rapidement → Sortie complète.
• Une vente unique représente un désintérêt total pour les fluctuations de prix, se contentant simplement de profiter de l'opportunité pour dump.
• Quelques stratégies de sortie plus complexes ne sont que des exceptions, des modes non dominants.

aperçu opérationnel

Les recommandations ci-dessous visent à aider les équipes de protocole, les développeurs front-end et les chercheurs à identifier et à faire face aux modes d'émission de jetons d'extraction ou de collaboration, en transformant les comportements observés en heuristiques, filtres et alertes, afin d'améliorer la transparence pour les utilisateurs et de réduire les risques.

1. Suivre la concentration des positions initiales
2. Étiqueter le portefeuille associé au déployeur
3. Avertir en amont lors de l'émission à haut risque
4. Construire un système de suivi des flux financiers complexes
5. Surveillance en temps réel du mode de sniper multi-signatures
6. Analyse de la distribution de la vitesse de sortie
7. Observer le degré de diversification des transactions de sortie
8. Identifier les portefeuilles de sniper réutilisés