Таксономия рыночных злоупотреблений

Любопытство

1. Зачем контракту токена админ-ключ, если он задуман как открытый (permissionless)?
2. Как две одинаковые сделки могут пройти по разной цене в зависимости от того, кто отправит свою первым?
3. Если код не может предотвратить социальную инженерию, какая часть рынка остается уязвимой?

Исследование

Часть IТаксономия злоупотреблений на рынке

1. Рыночные злоупотребления делятся на шесть отдельных уровней, и каждый эксплуатирует определённую структурную слабость. Уровень контракта связан с сохранёнными полномочиями, такими как минт или заморозка; уровень структуры рынка — с тонкими пулами и устройством кривых ценообразования; уровень порядка транзакций эксплуатирует очерёдность их исполнения; уровень фиктивной активности раздувает объём и число холдеров; социальный уровень манипулирует доверием, выдавая себя за других; уровень кошелька опустошает активы с помощью фишинга. Каждому уровню противостоит один из четырёх защитников (код, дизайн рынка, криптография или люди), и этот уровень курса показывает, что инструменты для каждого из них уже существуют. Материал рассчитан как на разработчиков, так и на пользователей.
2. Уровень контракта — то место, где часто начинается кража. Если разработчик сохраняет право минта, он может выпускать новые токены по своему желанию и продавать их в ущерб текущим холдерам. Функции заморозки позволяют ему блокировать продажу с определённых кошельков, фактически запирая капитал. Обновляемые прокси позволяют разработчикам заменить базовый код после запуска. Это не баги, а функции, создающие поверхность атаки. Удаление этих ключей устраняет угрозу, но вместе с тем лишает возможности исправлять критические ошибки или реагировать на чрезвычайные ситуации.
3. Атаки на порядок транзакций доступны тому, кто видит ожидающие транзакции до того, как определён их порядок. Фронтраннинг происходит, когда трейдер видит ожидающий ордер и отправляет собственную транзакцию с более высокой комиссией, чтобы она исполнилась первой. Сэндвич-атака — это покупка непосредственно перед крупным свопом жертвы и продажа сразу после него с прибылью на ценовом влиянии (price impact), которое вызвал этот своп. Эти потери ложатся на обычных трейдеров, получающих худшие цены исполнения. Лимиты проскальзывания ограничивают возможные убытки, но не предотвращают саму атаку.
4. Атаки при запуске эксплуатируют скорость ценообразования по принципу «кто первый». Снайперы покупают токены в самом первом блоке запуска, часто используя бандлы, чтобы объединить несколько транзакций для атомарного включения. Сибил-кошельки позволяют одному участнику контролировать множество адресов, маскируя концентрацию и фармя награды, начисляемые на каждый кошелёк. Эти атаки опираются на дешевизну создания адресов и на структуры вознаграждений, которые не линейны относительно объёма владения. Для их выявления обычно приходится постфактум анализировать графы финансирования кошельков.
5. Фиктивная активность раздувает метрики, которые привлекают внимание. Вош-трейдинг (wash trading) — это покупка и продажа токенов между собственными кошельками ради создания искусственного объёма. Объёмные боты прогоняют сделки, чтобы подняться в трендовых списках, а рассылка пыли (dust spraying) создаёт фиктивное число холдеров. Когда каждая сделка облагается комиссией, вош-трейдинг становится дорогим, но когда трендовые алгоритмы придают вес уникальным кошелькам, выгодными становятся сибил-атаки. Эти искажения вводят инвесторов в заблуждение относительно реального интереса рынка.
6. Социальный уровень эксплуатирует человеческое доверие, а не код. Нераскрытая платная реклама, выдача себя за официальные аккаунты и скоординированные схемы «памп-энд-дамп» не требуют никаких технических уязвимостей. Фишинговые сайты и вредоносные апрувы опустошают кошельки пользователей напрямую. Код может сделать эти атаки видимыми благодаря проверке ончейн-истории, но не может их предотвратить. Эти угрозы живут в поведении людей, а не в логике контрактов.

Часть IIЧто код может исправить, а что — нет

7. Логика контракта определяет, что возможно. Если в коде сохраняется функция минта, доступная только администратору, этот ключ остаётся постоянной поверхностью атаки. Полное удаление права минта устраняет риск неконтролируемой инфляции. Аналогично удаление переменных налога на продажу или функций заморозки исключает ханипоты и злоупотребления чёрными списками. Это бинарный выбор: полномочие либо существует, либо нет.
8. Структура рынка определяет порядок исполнения. При последовательной обработке первая покупка в блоке получает лучшую цену. Механизмы пакетного клиринга группируют транзакции в пределах временного окна и исполняют их все по единой цене клиринга. Это нейтрализует фронтраннинг и сэндвичи внутри пакета, потому что каждый ордер получает одну и ту же цену: быть первым или обернуть чужой ордер ничего не даёт.
9. Некоторые риски можно ограничить, но не устранить. Создатель, держащий сорок процентов предложения, может слить их, обрушив цену для ранних покупателей. Код может заблокировать предложение создателя или распределить его по графику вестинга, но не может запретить холдеру с разблокированными токенами продавать. Это рыночный риск, отличный от кражи. Покупка в более раннем блоке тоже по-прежнему может быть выгодной. Разработчикам приходится признать, что волатильность из-за крупных холдеров — неотъемлемое свойство открытых (permissionless) рынков, а не баг, который можно исправить патчем.
10. Социальная инженерия живёт вне кодовой базы. Фишинговые ссылки, поддельные аккаунты и платная реклама эксплуатируют человеческое доверие, а не вычислительные уязвимости. Ни один смарт-контракт не может проверить, раскрыл ли инфлюенсер свою долю, прежде чем дать колл по токену. Эти атаки сохраняются независимо от технической защищённости, потому что действуют на уровне внимания и убеждений, а не переходов состояния.
11. Честный проектный документ перечисляет, какие классы атак устраняются кодом, какие нейтрализуются рыночными механизмами, а какие остаются неустранимыми, поскольку сводятся к человеческому поведению. В нём прямо сказано: злоупотребление минтом невозможно; сэндвич-атаки смягчаются пакетной обработкой; защита от фишинга остаётся личной ответственностью пользователя. Такая прозрачность позволяет пользователям точно оценивать свой риск, а не исходить из полной безопасности.
12. Откройте в блок-эксплорере EVM-токен с верифицированным исходным кодом и поищите функции вроде `mint`, `pause` или `owner`; в Solana вместо этого проверьте права минта и заморозки, а также право на обновление программы. Выясните, может ли эти функции вызвать кто угодно или они ограничены конкретным адресом. Если таких функций нет и контракт не обновляемый, эти векторы атак отсутствуют структурно, а не просто отключены.

Ключевые факты

Упражнение девять, шесть, три, один

Проверка фактов

Даты, цифры и утверждения были проверены по приведенным ниже опубликованным источникам.

• Chainalysis, Crypto Crime Report (2024)
• P. Daian et al., 'Flash Boys 2.0' (IEEE S&P 2020)
• SPL Token documentation
• OpenZeppelin proxy documentation
• E. Budish, P. Cramton & J. Shim, 'The High-Frequency Trading Arms Race' (QJE 2015)