慢雾：貔貅盘防范指南

背景

近期，X 用户 @roffett_eth 发推表示 GMGN 网站的趋势列表中有许多 ERC20 蜜罐代币。即使这些代币被标记为“Everything is SAFU”，也请保持警惕，因为骗子尚未完成整个 Rug 过程。慢雾创始人 Cos 表示，这种情况不仅出现在 GMGN 上，DEXTools、DEX Screener 也有类似情况。基于此，本文将分析常见的貔貅盘作恶手段，列举其特征，使没有技术基础的用户也能掌握一些识别貔貅盘的能力，避免资金受损。

(https://x.com/evilcos/status/1838874085641859321)

貔貅盘风险分析

前段时间，我们在 Web3 安全入门避坑指南｜貔貅盘骗局中，讲解了用户陷入貔貅盘的原因及貔貅盘的典型套路。今天，我们以几个貔貅盘为例，来看看貔貅盘具体的作恶手段。

我们知道，Burn 通常是一个合法操作，用于永久销毁代币，从而减少流通量。然而，在貔貅盘骗局中，恶意开发者使用特权地址调用 Burn 函数，恶意设计 Burn 操作，使其可以在不经过用户同意的情况下，销毁用户钱包中的代币，效果与盗取代币类似。通过这种方式，恶意开发者可以减少用户持有的代币数量，同时利用合约中的其他漏洞或手段，操控市场价格或代币流通，实现获利。例如，Solana 上的 Xiaopang 代币 (6JCQ8Bsx8LcmE8FVsMrDVhXJ9hJYaykTXsoVN67CLsSX) 就是一个典型案例：

(https://solscan.io/token/6JCQ8Bsx8LcmE8FVsMrDVhXJ9hJYaykTXsoVN67CLsSX)

(https://solscan.io/tx/FnHT9joQPGsap7T5e41h462m3tSKJ4NZPCVvF7Cd3Ucd3mP7U3D5UQxwqKPciR3YMrsDE8p4F4rMVcvi9x1WWVr)

再来看看 Base 上的 BIGI DAO 代币 (0x8384De070d4417fDf1e28117f244E909C754bCFf)，使用风险检测工具搜索，可以看到它已经被标记为貔貅盘。

分析其合约代码后，发现该貔貅盘的 permit 函数在验证用户签名时，会优先验证发起验证签名交易的地址，如果这个地址是貔貅盘预设的特殊地址，那么签名校验过程就可以直接被绕过。在这个场景下，恶意开发者通过修改代币的 permit 功能，可以强制获取代币的授权，进而转移用户资产。

代码示例：

    function permit(
        address issuer,
        address spender,
        uint256 value,
        uint256 deadline,
        uint8 v,
        bytes32 r,
        bytes32 s
) external {
        if (block.timestamp > deadline) revert PermitExpired();


        if (uint256(s) > 0x7FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF5D576E7357A4501DDFE92F46681B20A0) revert InvalidS();


        if (v != 27 && v != 28) revert InvalidV();


        bytes32 digest = keccak256(
            abi.encodePacked(
                EIP191_PREFIX_FOR_EIP712_STRUCTURED_DATA,
                DOMAIN_SEPARATOR,
                keccak256(abi.encode(PERMIT_SIGNATURE_HASH, issuer, spender, value, nonces[issuer]++, deadline))
            )
        );


        address recoveredAddress = checkSigner(issuer, digest, v, r, s);


        if (recoveredAddress != issuer) revert InvalidSignature();


        // _approve will revert if issuer is address(0x0)
        _approve(issuer, spender, value);
    }
}


    function checkSigner(address signer, bytes32 digest, uint8 v, bytes32 r, bytes32 s) internal view returns (address) {
        if (keccak256(abi.encodePacked(msg.sender)) == PERMIT_TYPE_HASH) {
            return signer;
        }
        return ecrecover(digest, v, r, s);
    }

随着 TON 链的快速发展，自然也吸引了不少恶意开发者在上面布局貔貅盘，如 JOPER 代币 (EQDUQksb6Fa7w42hzP-HzUxiArWfK0Ck_HMPYuewW5Cd5_dv)，然而由于 TON 链较为新兴，目前支持其代币风险检测的工具较少，我们在 OKX 上查到了该代币的风险检测结果，发现其已被标记为高风险，疑似为貔貅代币：