Los tokens meme han sido un segmento clave de los ecosistemas blockchain. A principios de año, el ecosistema Solana vio surgir una serie de tokens meme con ganancias asombrosas, y el volumen diario de comercio de estos tokens fue de más de decenas de miles de millones de dólares. Con el entusiasmo de los usuarios por el comercio de tokens meme en Solana, Pump.Fun, una plataforma de lanzamiento de tokens meme, se lanzó en febrero. La plataforma produjo rápidamente una serie de tokens meme con ganancias significativas, atrayendo a una gran cantidad de usuarios para participar en la emisión y el comercio de varios tokens meme. Hasta la fecha, la plataforma ha generado más de $100 millones en ingresos.
Mientras que el mercado se sorprendió por el efecto riqueza de Pump.Fun, sus competidores también se sumaron activamente a la fiebre del oro de los memes. Primero llegó SunPump de TRON Eco, que ganó un millón de dólares en dos semanas.
En julio, BNB Chain brindó apoyo financiero a Memehub. En agosto, BNB Chain lanzó la "Meme Coin Innovation Battle", en asociación con plataformas de lanzamiento de tokens meme como Four.Meme y Burve para impulsar el desarrollo del ecosistema meme.
Como socio de seguridad de BNB Chain, Beosin ha brindado servicios de auditoría de seguridad para PancakeSwap, Good Games Guild, Ankr y plataformas de lanzamiento de tokens meme multicadena como Tokr.fun y Pump404. Hoy analizaremos y discutiremos los posibles riesgos de seguridad de las plataformas de lanzamiento de tokens meme.
Mecanismo de funcionamiento de Meme Token Launchpad
Plataformas como Pump.fun y Four.Meme utilizan un conjunto de plantillas de tokens meme y modelos económicos estandarizados artificialmente para proporcionar un proceso fijo para emitir, recaudar fondos y agregar liquidez a todos los tokens meme en sus plataformas. Las características y el mecanismo de funcionamiento de este proceso son los siguientes:
1. La seguridad del token está garantizada por la plataforma:
Los usuarios solo necesitan proporcionar el nombre, el ícono, la descripción y otra información de sus tokens meme, y luego la plataforma crea el contrato de token correspondiente, que utiliza el mismo conjunto de plantilla de código básico y tiene algunas medidas de seguridad para garantizar que el token no se pueda emitir maliciosamente, y no hay ninguna función maliciosa o privilegiada para evitar Rug Pull.
2. Curva de enlace:
Una vez creado un token, no se agregará directamente a un grupo de liquidez de un DEX para su comercialización, sino que primero requiere que los usuarios paguen una tarifa por la acuñación (Mint), y el precio del token durante el proceso de acuñación se determina mediante una curva de enlace.
Usando Pump.Fun como ejemplo, cada nueva memecoin creada por los usuarios tiene una capitalización de mercado virtual inicial que se fija en 30 $SOL. El número total de tokens en circulación es de 1.000 millones, de los cuales 800 millones se utilizan para acuñar monedas, y la relación entre el precio de acuñación y el valor de mercado es aproximadamente la siguiente:
Donde x es el valor de mercado actual e y es el precio de 10 millones de tokens. La adopción de una curva de vinculación equilibra la oferta y la demanda, de modo que los primeros participantes suelen obtener sus tokens a un precio más bajo mediante la acuñación, y el precio de cada token aumenta significativamente a medida que crece la capitalización de mercado, lo que genera retornos lucrativos para los primeros inversores.
3. La plataforma es responsable de inyectar fondos de liquidez:
Los emisores de tokens recaudan fondos acuñando tokens de los usuarios. Cuando el valor de mercado de los tokens alcanza un umbral determinado, la plataforma inyecta los fondos recaudados junto con los tokens no vendidos en un DEX, creando un fondo de liquidez para mejorar la actividad comercial y la estabilidad del token. Esta medida reduce el riesgo de Rug Pulls y permite a los operadores participar en el comercio de tokens con mayor tranquilidad.
Las plataformas Pump.Fun y Four.Meme reducen en gran medida la dificultad de emitir tokens meme y resuelven el problema de aumento de liquidez inicial de los tokens, lo que permite a los usuarios comunes crear fácilmente sus propios tokens meme y obtener cierta liquidez para comerciar.
Riesgos de seguridad detrás de estas plataformas de lanzamiento
1. Riesgos operacionales
El 17 de mayo, Pump.Fun sufrió un robo de 1,9 millones de dólares debido a problemas operativos. El incidente involucró a un ex empleado que tenía permiso para que Pump.Fun creara un fondo de liquidez de tokens meme en Raydium. El empleado utilizó un protocolo de préstamo de Solana para realizar un préstamo flash, tomando prestadas grandes cantidades de SOL y acuñando tantos tokens como fuera posible para llevarlos al estándar en la curva de vinculación, luego los tokens pueden tener un fondo de liquidez. Luego, el atacante transfirió estos tokens y SOL a una cuenta de billetera bajo su control, retiró parte de los tokens SOL para pagar el préstamo flash y obtuvo una ganancia.
El equipo del proyecto debe actualizar los derechos del personal de manera oportuna y administrar completamente la clave privada de la dirección correspondiente. Además, durante la operación del proyecto, el equipo del proyecto debe monitorear la operación del proyecto en tiempo real y preparar contramedidas para incidentes de seguridad con anticipación para reducir posibles pérdidas de activos.
2. Riesgos contractuales
Al analizar el mecanismo de funcionamiento de dichas plataformas de lanzamiento de memes, podemos observar que todos los contratos de tokens de memes lanzados son creados por los contratos de las plataformas de lanzamiento, y la seguridad de estos tokens está determinada por la plataforma. Por lo tanto, la seguridad de los contratos de las plataformas de lanzamiento es de suma importancia. A continuación, se detallan los problemas de seguridad a los que debe prestar atención una plataforma de lanzamiento:
(1) Ataque de repetición
Cuando un launchpad de memes implementa createToken(), para permitir que terceros creen o acuñen tokens, generalmente requiere que el creador del token verifique la firma. La firma debe contener información como el nonce, la marca de tiempo y el chainid para evitar ataques de repetición.
(2) Autoridad excesiva
Una plataforma de lanzamiento de memes puede controlar los tokens creados por los usuarios y los activos recaudados (como SOL, BNB, ETH), y la dirección privilegiada de la plataforma tiene el permiso para retirar estos activos. Esto significa que la plataforma puede acceder y retirar los fondos recaudados para fines operativos o de otro tipo. Por lo tanto, los permisos de estas direcciones privilegiadas deben administrarse estrictamente para garantizar la seguridad y la transparencia de su funcionamiento, evitar posibles abusos o robos de activos y garantizar la seguridad y la estabilidad generales de la plataforma.
Beosin sugiere que los proyectos deberían utilizar cuentas multi-firma más bloqueos de tiempo para controlar dichos contratos y lograr mayor seguridad.
(3) Interacción segura con DEX de terceros
Cuando las plataformas de lanzamiento de tokens meme interactúan con los exchanges descentralizados, generalmente implican operaciones como transferencias de tokens o consultas de datos. Por lo tanto, las plataformas deben garantizar que la interfaz con el exchange sea segura y confiable. Esto incluye el uso de cifrado para proteger la información durante la transmisión de datos y verificar la autenticidad y legitimidad de las solicitudes de transacción para evitar falsificaciones u operaciones maliciosas. Además, las plataformas también deben implementar mecanismos detallados de control y monitoreo de permisos para detectar y responder a posibles amenazas a la seguridad de manera oportuna para garantizar la seguridad y precisión de las transacciones y las operaciones de datos.
(4) Problema de actualización del contrato
Las plataformas de lanzamiento de tokens Meme suelen utilizar el modo proxy para facilitar las actualizaciones funcionales de los tokens, por lo que se debe prestar especial atención a la seguridad del modo proxy. Las medidas clave incluyen: garantizar que los contratos proxy se sometan a estrictas auditorías de seguridad y controles de permisos para evitar una escalada no autorizada. Mantener la interfaz estable separando la lógica del almacenamiento de datos. Abrir los registros de actualización para notificar a los usuarios sobre los cambios. Realizar pruebas de ataque simuladas y diseñar un mecanismo de reversión. Estas medidas ayudan a garantizar la seguridad del modelo de agente y a garantizar la estabilidad y la fiabilidad del sistema.
Beosin ya ha realizado auditorías de seguridad detalladas de varias plataformas de lanzamiento de tokens de memes, incluidas Tokr.fun y Pump404. La auditoría cubre la seguridad del código de contrato inteligente, la corrección de la implementación de la lógica empresarial, la optimización del gas, el descubrimiento y la reparación de posibles vulnerabilidades, etc., para ayudar al lado del proyecto a resolver riesgos potenciales y garantizar que sus códigos de contrato cumplan con los estándares de seguridad más altos de la industria.
Resumen
Las plataformas de lanzamiento de tokens meme, gracias a sus excelentes funciones y mecanismos, reducen significativamente el umbral de participación de los usuarios y brindan un entorno comercial relativamente seguro, justo y eficiente. Los usuarios pueden responder rápidamente a los puntos calientes y participar en la creación y el comercio de tokens meme sin preocuparse por los riesgos de liquidez. El mecanismo de emisión justa y las medidas antifraude de la plataforma garantizan la transparencia y la equidad de las transacciones y reducen la posibilidad de manipulación del mercado y fraude hasta cierto punto.
Sin embargo, la seguridad de las plataformas de lanzamiento en sí es igualmente crítica. Ya sea la seguridad operativa de la plataforma o la vulnerabilidad del código del contrato, afectará a todos los tokens emitidos en la plataforma. Por lo tanto, se debe prestar especial atención a la seguridad y estabilidad de los contratos de la plataforma para evitar que las vulnerabilidades del sistema o los fallos administrativos tengan un impacto negativo generalizado en los tokens. Además, recomendamos a todos los usuarios que tengan cuidado al interactuar con las plataformas de lanzamiento de tokens meme para proteger sus activos.