원제: Exit Liquidity Machines

원저자: Pine Analytics

원문 번역: GaryMa Wu는 블록체인에 대해 다음과 같이 말했습니다.

초록

이 보고서는 Solana에서 널리 사용되고 고도로 조율된 밈 토큰 파밍 모델을 조사합니다. 토큰 배포자는 SOL을 "스나이퍼 지갑"으로 전송하여 토큰이 출시되는 동일한 블록에서 해당 지갑이 토큰을 구매할 수 있도록 합니다. 배포자와 스나이퍼 간의 명확하고 증명 가능한 자금 조달 체인에 초점을 맞춤으로써, 신뢰도가 높은 일련의 추출 행동을 확보했습니다.

저희 분석 결과, 이러한 전략은 고립된 현상도 아니고 주변적인 행동도 아닙니다. 지난 한 달 동안만 4,600개 이상의 스나이핑 지갑과 10,400개 이상의 배포자가 참여하여 이러한 방식으로 15,000 SOL 이상의 토큰을 발행하여 실현 수익이 발생했습니다. 이러한 지갑은 매우 높은 성공률(스나이핑 수익의 87%), 깔끔한 엑시트, 그리고 체계적인 운영 모델을 보여줍니다.

주요 결과:

· 배포자 자금으로 운영되는 스나이핑은 체계적이고 수익성이 높으며 종종 자동화되어 있으며, 스나이핑 활동은 미국 영업 시간에 가장 집중됩니다.

· 다중 지갑 파밍 구조가 일반적이며, 실제 수요를 시뮬레이션하기 위해 임시 지갑과 공동 엑시트를 사용하는 경우가 많습니다.

· 다중 홉 펀딩 체인 및 다중 서명 스나이핑 거래와 같은 난독화 기술이 탐지를 피하기 위해 사용되고 있습니다.

· 한계에도 불구하고, 당사의 단일 홉 펀딩 필터는 여전히 대규모 "내부자" 행동의 가장 명확하고 반복 가능한 예를 포착합니다.

· 이 보고서는 프로토콜 팀과 프런트엔드가 이러한 유형의 활동을 실시간으로 식별, 플래그 지정 및 대응하는 데 도움이 되는 일련의 실행 가능한 휴리스틱을 제시합니다. 여기에는 초기 포지션 집중 추적, 배포자 관련 지갑 태그 지정, 고위험 출시 중 사용자에게 프런트엔드 경고 제공이 포함됩니다.

당사의 분석은 동일 블록 스나이핑의 하위 집합만 다루지만, 그 규모, 구조 및 수익성은 Solana 토큰 출시가 조정된 네트워크에 의해 적극적으로 조작되고 있으며 기존 방어가 매우 부적절함을 시사합니다.

방법론

이 분석은 명확한 목표를 가지고 시작됩니다. 솔라나에서 조직적인 밈 토큰 파밍을 시사하는 행동, 특히 배포자가 토큰 출시와 동시에 스나이핑 지갑에 자금을 지원하는 행동을 파악하는 것입니다. 이 문제를 다음과 같은 단계로 구분합니다.

1. 동일 블록 스나이핑 필터링

배포 후 동일 블록에서 스나이핑된 지갑을 먼저 필터링했습니다. 그 이유는 다음과 같습니다. Solana에는 글로벌 메모리 풀이 없고, 토큰 주소는 공개 프런트엔드에 표시되기 전에 미리 알려져야 하며, 배포 후 첫 번째 DEX 상호작용까지 걸리는 시간이 매우 짧습니다. 이러한 동작은 자연적으로 발생하기 거의 불가능하기 때문에 "동일 블록 스나이핑"은 잠재적 공모 또는 특권 활동을 식별하는 데 매우 신뢰할 수 있는 필터가 됩니다.

2. 배포자와 관련된 지갑 식별

고도로 숙련된 스나이퍼와 조직적인 "내부자"를 구분하기 위해 토큰이 출시되기 전에 배포자와 스나이퍼 간의 SOL 전송을 추적하고 다음 조건을 충족하는 지갑만 표시했습니다. 배포자로부터 SOL을 직접 수신하거나 배포자에게 SOL을 직접 전송합니다. 최종 데이터 세트에는 라이브로 전환되기 전에 직접 이체가 이루어진 지갑만 포함되었습니다.

3. 스나이핑과 토큰 수익 연결

각 스나이핑 지갑에 대해 스나이핑된 토큰에 대한 거래 활동을 매핑합니다. 구체적으로는 토큰 구매에 사용된 SOL 총액, DEX에서 판매하여 얻은 SOL 총액, 실현된 순수익(명목 수익 아님)을 계산합니다. 이를 통해 각 스나이핑에 대해 배포자로부터 추출된 수익을 정확하게 귀속할 수 있습니다.

4. 규모 및 지갑 동작 측정

독립 배포자 및 스나이핑 지갑 수, 확인된 조정된 동일 블록 스나이핑 수, 스나이핑 수익 분포, 각 배포자가 발행한 토큰 수 등 여러 차원에서 이러한 활동의 규모를 분석합니다. 그리고 토큰 전반에 걸쳐 스나이핑 지갑을 재사용합니다.

5. 머신 활동 흔적

이러한 작업이 어떻게 수행되는지 이해하기 위해 스나이핑 활동을 UTC 시간별로 그룹화했습니다. 결과는 다음과 같습니다. 활동은 특정 시간대에 집중되어 있으며, UTC 심야 시간에는 활동이 크게 감소합니다. 이는 글로벌 연속 자동화보다는 미국 기반 크론 작업 또는 수동 실행 시간대를 시사합니다.

6. 종료 행동 분석

마지막으로, 배포자 관련 지갑이 대상 토큰을 판매할 때의 행동을 분석합니다. 첫 번째 매수와 마지막 매도 사이의 시간(보류 시간)을 측정하고, 각 지갑에서 종료하는 데 사용된 고유 매도 거래 수를 계산합니다. 이를 통해 지갑이 빠르게 청산할지 점진적으로 매도할지를 구분하고, 종료 속도와 수익성 간의 상관관계를 분석할 수 있습니다.

가장 명확한 위협에 집중

우리는 먼저 pump.fun의 발행에서 동일 블록 스나이핑의 규모를 측정했고, 그 결과는 충격적이었습니다. 토큰의 50% 이상이 생성 블록에서 스나이핑되었습니다. 동일 블록 스나이핑은 주변 사례에서 주요 발행 패턴으로 바뀌었습니다.

Solana에서 동일 블록 참여에는 일반적으로 사전 서명된 거래, 오프체인 협력, 또는 배포자와 구매자 간의 공유 인프라가 필요합니다. 모든 동일 블록 스나이핑이 동일하게 악의적인 것은 아니며, 최소 두 가지 유형의 행위자가 있습니다. 휴리스틱이나 소규모 투기를 테스트하는 "캐스팅 더 넷(cast-the-net)" 봇과 자체 구매자에게 자금을 지원하는 배포자를 포함한 조직화된 내부자입니다.

오탐(false positive)을 줄이고 진정한 조직화된 행동을 강조하기 위해 최종 지표에 엄격한 필터를 추가했습니다. 출시 전 배포자와 스나이핑 지갑 간에 직접 SOL을 전송하는 스나이핑만 집계합니다. 이를 통해 배포자가 직접 제어하는 지갑, 배포자의 명령에 따라 작동하는 지갑, 내부 채널을 사용하는 지갑을 확실하게 타겟팅할 수 있습니다.

사례 연구 1: 직접 자금 조달

배포자 지갑 8qUXz3xyx7dtctmjQnXZDWKsWPWSfFnnfwhVtK2jsELE는 1.2 SOL을 3개의 다른 지갑으로 보낸 후 SOL> BNB라는 토큰을 배포합니다. 자금이 조달된 3개의 지갑은 토큰이 시장에 공개되기 전에 생성된 동일한 블록에 있는 토큰을 구매합니다. 그런 다음 수익을 빠르게 매도하여 공동으로 플래시 엑싯을 수행합니다. 이는 사전 자금 조달된 스나이핑 지갑을 통해 토큰을 파밍하는 전형적인 사례이며, 당사의 자금 조달 체인 방식을 통해 직접 포착됩니다. 간단하지만 수천 건의 발행을 통해 대규모로 수행됩니다.

사례 연구 2: 멀티홉 자금 조달

GQZLghNrW9NjmJf8gy8iQ4xTJFW4ugqNpH3rJTdqY5kA 지갑은 여러 토큰 스나이핑과 관련이 있었습니다. 해당 개체는 스나이핑 지갑에 직접 자금을 조달하는 대신, 5~7개 계층의 릴레이 지갑을 통해 최종 스나이핑 지갑으로 SOL을 전송하여 동일한 블록에서 스나이핑을 완료했습니다.

기존 방법은 배포자의 초기 전송 중 일부만 감지할 뿐, 최종 스나이핑 지갑까지의 전체 체인을 포착하지 못합니다. 이러한 릴레이 지갑은 종종 "일회용"이며 SOL 전송에만 사용되기 때문에 간단한 쿼리를 통해 상관 관계를 파악하기 어렵습니다. 이러한 차이는 설계 결함이 아니라 연산 자원의 상충 관계입니다. 대규모 데이터에서 다중 홉 자금 조달 경로를 추적하는 것은 가능하지만 비용이 많이 듭니다. 따라서 현재 구현에서는 명확성과 재현성을 유지하기 위해 신뢰도가 높고 직접적인 연결을 우선시합니다.

Arkham의 시각화 도구를 사용하여 이 긴 자금 체인을 보여주고, 자금이 초기 지갑에서 셸 지갑, 그리고 최종 배포자 지갑으로 어떻게 이동하는지 그래픽으로 보여줍니다. 이는 자금 출처 난독화의 복잡성을 강조하고 향후 탐지 방법 개선의 방향을 제시합니다.

"동일 블록에서 직접 자금을 조달하고 스나이핑된 지갑"에 초점을 맞추는 이유

이 글의 나머지 부분에서는 온라인에 접속하기 전에 배포자로부터 직접 자금을 조달하고 동일 블록에서 스나이핑된 스나이핑 지갑만 연구합니다. 그 이유는 다음과 같습니다. 상당한 수익을 창출합니다. 난독화 방법이 가장 적습니다. 가장 많이 악용되는 하위 집합을 나타냅니다. 이러한 지갑을 연구하면 고급 추출 전략을 탐지하고 완화하는 데 가장 명확한 휴리스틱 프레임워크를 제공할 수 있습니다.

결과

"동일 블록 스나이핑 + 직접 자금 조달 체인" 하위 집합에 초점을 맞춰, 광범위하고 체계적이며 수익성이 높은 온체인 조율 행동을 발견했습니다. 다음 데이터는 모두 3월 15일부터 현재까지의 데이터를 포함합니다.

1. 배포자가 자금을 조달하여 동일한 블록에서 스나이핑하는 것은 매우 흔하고 체계적입니다.

a. 지난달, 상장 블록에서 직접 자금을 조달한 지갑에서 15,000개 이상의 토큰이 스나이핑된 것으로 확인되었습니다.

b. 4,600개 이상의 스나이핑 지갑과 10,400개 이상의 배포자가 관련되었습니다.

c. pump.fun 발행량의 약 1.75%를 차지합니다.

2. 이러한 행위는 대규모로 수행될 경우 수익성이 있습니다.

a. 직접 자금을 지원받은 스나이핑 지갑은 15,000 SOL 이상의 순수익을 달성했습니다.

b. 스나이핑 성공률은 87%이며, 실패한 거래는 거의 없습니다.

c. 단일 지갑의 일반적인 수익은 1~100 SOL이며, 500 SOL을 초과하는 지갑도 있습니다.

3. 브러시 파밍 네트워크로의 반복적인 배포 및 스나이핑

a. 많은 배포자가 새로운 지갑을 사용하여 수십에서 수백 개의 토큰을 일괄 생성합니다.

b. 일부 스나이핑 지갑은 하루에 수백 건의 스나이핑을 수행합니다.

c. "허브 앤 스포크" 구조가 관찰됩니다. 하나의 지갑이 여러 스나이핑 지갑에 자금을 주입하고, 모든 지갑이 동일한 토큰을 스나이핑합니다.

4. 스나이핑은 인간 중심적인 시간 패턴을 보여줍니다.

a. 활동이 가장 활발한 시간은 UTC 14:00~23:00이며, UTC 00:00~08:00은 거의 존재하지 않습니다.

b. 이는 미국 근무 시간과 일치하며, 이는 전 세계 24시간 완전 자동이 아닌 수동/크론 시간 기반 트리거임을 나타냅니다.

5. 일회용 지갑과 다중 서명 거래는 소유권을 혼동시킵니다.

a. 배포자는 동시에 여러 지갑에 자금을 조달하고 동일한 거래에 서명하여 스나이핑합니다.

b. 이렇게 소각된 지갑은 더 이상 어떤 거래에도 서명하지 않습니다.

c. 배포자는 실제 수요를 위장하기 위해 초기 구매를 2~4개의 지갑으로 나눕니다.

종료 동작

이러한 지갑의 종료 방식을 더 깊이 이해하기 위해 두 가지 주요 동작 차원에 따라 데이터를 분석합니다.

1. 종료 시점 - 첫 구매부터 최종 판매까지의 시간입니다.

2. 스왑 수 - 종료에 사용된 독립적인 매도 거래 수입니다.

데이터 결론

1. 종료 속도

a. 스나이퍼의 55%가 1분 이내에 매도했습니다.

b. 85%가 5분 이내에 포지션을 정리했습니다.

c. 11%가 15초 이내에 완료했습니다.

2. 매도 수

a. 스나이퍼 지갑의 90% 이상이 1~2건의 매도 주문만으로 종료했습니다.

b. 점진적 매도는 거의 사용되지 않았습니다.

3. 수익 추세

a. 가장 수익성이 높은 지갑은 종료 시간이 1분 미만인 지갑이고, 그 다음은 종료 시간이 1분 미만인 지갑입니다. 5분;

b. 장기 보유 또는 여러 차례 매도 시 평균 단일 이익이 약간 더 높지만, 그 수는 극히 적고 총 이익에 대한 기여도는 제한적입니다.

설명

다음 패턴은 배치자가 자금을 조달한 스나이핑이 거래 행위가 아니라 자동화된 저위험 추출 전략임을 보여줍니다.

· 선매수 → 빠르게 매도 → 완전히 청산.

· 단일 매도는 가격 변동에 대한 우려 없이 매도 기회를 활용하는 것을 의미합니다.

· 몇 가지 더 복잡한 청산 전략은 예외일 뿐이며, 일반적인 패턴은 아닙니다.

실행 가능한 통찰력

다음 권장 사항은 프로토콜 팀, 프런트엔드 개발자 및 연구자가 추출형 또는 협업형 토큰 발행 패턴을 식별하고 대응하는 데 도움이 되도록 의도되었습니다. 관찰된 동작을 휴리스틱, 필터 및 알림으로 변환하여 사용자 투명성을 높이고 위험을 줄입니다.

결론

본 보고서는 지속적이고 체계적이며 수익성이 높은 솔라나 토큰 발행 추출 전략을 밝힙니다. 바로 배포자 자금으로 운영되는 동일 블록 스나이핑(sniping)입니다. 배포자에서 스나이핑 지갑으로 직접 SOL이 전송되는 것을 추적하여, 솔라나의 고처리량 아키텍처를 악용하여 공동으로 채굴하는 내부자 유형의 행동 집단을 정확히 파악합니다. 이 방법론은 동일 블록 스나이핑의 일부만을 포착하지만, 그 규모와 패턴을 볼 때 이는 분산된 투기가 아니라 특권적 지위, 반복 가능한 시스템, 그리고 명확한 의도를 가진 운영자들의 행위임을 시사합니다. 이 전략이 중요한 이유는 다음과 같습니다. 1. 초기 시장 신호를 왜곡하여 토큰을 더 매력적이거나 경쟁력 있는 것처럼 보이게 합니다. 2. 자신도 모르게 엑시트 유동성을 확보하게 되는 개인 투자자를 위험에 빠뜨립니다. 3. 특히 pump.fun처럼 속도와 사용 편의성을 추구하는 플랫폼에서 공개 토큰 발행에 대한 신뢰를 약화시킵니다. 이 문제를 완화하려면 수동적인 방어책만으로는 부족합니다. 더 나은 휴리스틱, 조기 경보, 프로토콜 수준의 가드레일, 그리고 조율된 행동을 매핑하고 모니터링하기 위한 지속적인 노력이 필요합니다. 탐지 도구는 존재하지만, 문제는 생태계가 실제로 이러한 도구를 적용할 의지가 있는지 여부입니다. 이 보고서는 첫걸음을 내딛습니다. 가장 명백한 조율된 행동을 포착하기 위한 안정적이고 재현 가능한 필터를 제공하는 것입니다. 하지만 이는 시작에 불과합니다. 진정한 과제는 고도로 난독화되고 진화하는 전략을 탐지하고, 추출보다는 투명성을 중시하는 온체인 문화를 구축하는 것입니다.

원본 링크