文章目录1.Web3 骗局1.1 Rug Pull1.1.1 三种类型1.1.2 典型流程1.1.3 如何识别和防范查验流动性锁定情况审查智能合约代码考察团队透明度警惕不合理的高收益承诺1.1.4 真实案例参考1.1.5 小结1.2 貔貅盘1.2.1 貔貅盘是如何运作的1.2.2 真实案例2021 年假 MetaMask 代币事件1.2.3 如何识别和防范貔貅盘检查合约代码最重要使用第三方安全工具1.2.4 警惕以下危险信号1.2.5 总结1.Web3 骗局1.1 Rug PullRug Pull拉地毯 是 Web3 / 加密货币领域中最常见、也最具破坏性的骗局之一。拉地毯形象地比喻为你正站在一块地毯上突然有人用力把地毯从你脚下抽走让你瞬间摔倒在地损失一切。在加密世界里这指的是项目方开发者在骗取大量投资者资金后突然卷款跑路的行为。投资者手中的代币瞬间归零或失去流动性无法卖出血本无归。1.1.1 三种类型根据作案手法的不同Rug Pull 可以分为以下三类类型作案方式典型特征危害程度流动性抽干 (Liquidity Stealing)项目方在去中心化交易所DEX如 Uniswap中创建了交易池并投入了大量资金作为“流动性”。随后项目方突然撤走所有流动性导致该代币无法再卖出价格瞬间归零。最常见的一种。项目方会先创建代币并配上 ETH 或 USDT 建立交易对吸引用户购买然后一次性提取所有流动性池中的资产。⭐⭐⭐⭐⭐最致命恶意代码后门 (Malicious Code)项目方在智能合约中预先埋藏了恶意代码允许他们随时无限增发代币或阻止特定地址卖出。等到时机成熟触发后门让代币变得一文不值。普通投资者难以从代码层面发现。通常在代币上线后一段时间才爆发具有极强的隐蔽性。⭐⭐⭐⭐⭐哄抬价格后倾销 (Pump Dump / Token Dump)项目方通过虚假宣传、名人站台、拉高价格制造热度吸引大量散户高价买入。随后项目方将手中大量低位筹码砸向市场套现离场价格暴跌散户被套牢。这种手法在传统股票市场也存在。在 Web3 中项目方通常会大量持有未锁仓的代币在价格高点一次性卖出。⭐⭐⭐⭐1.1.2 典型流程以“流动性抽干”为例下面是一个标准 Rug Pull 骗局的完整时间线项目启动项目方创建一个新的代币通常名称和标志会模仿知名项目并在去中心化交易所DEX上建立交易池注入初始流动性比如 10 ETH 大量代币。炒作与推广项目方通过 Twitter、Telegram、Discord 等渠道进行大规模宣传承诺高额回报如“持币分红”、“自动回购销毁”等吸引散户 FOMO害怕错过入场购买。价格拉升大量散户买入推高代币价格项目方可能还会用机器人制造交易量营造出“项目火爆”的假象。收割时刻当池子中的 ETH / USDT 积累到足够多时项目方调用合约中的removeLiquidity()函数一次性抽走所有流动性。池子中的 ETH 被全部提走但池子中仍有大量项目方的垃圾代币。归零与消失代币价格瞬间暴跌超过 99%。由于池子中没有 ETH 了任何人都无法卖出手中代币。项目方注销社交媒体账号人间蒸发。1.1.3 如何识别和防范虽然 Rug Pull 手法多样但通过以下几个维度的检查可以极大降低被骗的风险查验流动性锁定情况检查流动性是否被锁定在去中心化交易所上查看项目方是否将流动性池中的代币锁定在第三方托管平台如 Unicrypt、Team Finance。关注锁定时间锁定时间越长通常建议至少 1 年以上项目方跑路成本越高安全性相对较好。工具推荐使用Dextools、Token Sniffer或RugDoc等工具可以快速分析代币合约中是否存在风险代码或流动性锁定情况。审查智能合约代码查看是否开源如果合约源代码没有在区块链浏览器如 Etherscan上开源验证这本身就是巨大的危险信号。检查是否具备常见风险函数mint()是否包含无限增发功能blacklist()是否有拉黑或冻结用户地址的功能approve()/transferFrom()是否有后门可以转移用户资产工具推荐使用VSCode Solidity 插件或在线工具如ContractCheck进行合约安全审计。考察团队透明度团队是否公开身份完全匿名的团队风险极高但也并非绝对许多顶级项目也匿名需要综合判断。是否有领英、Twitter 历史记录新创建的社交账号、没有过往背景记录是危险信号。是否有第三方审计报告是否聘请过知名安全公司如 CertiK、OpenZeppelin、SlowMist进行合约审计并公开审计报告。警惕不合理的高收益承诺“日息 1%”以上的高回报承诺通常是庞氏结构用来掩盖后门的存在。“无限回购/销毁”却没有任何透明机制可能只是吸引你买入的噱头。1.1.4 真实案例参考项目名称时间损失金额诈骗手法Squid Game (鱿鱼游戏代币)2021年11月约 338 万美元利用 Netflix 同名热剧炒作上线后价格暴涨 2300 倍随后开发者黑名单投资者阻止卖出卷款跑路。ThunderBolt2022年1月约 180 万美元流动性被锁定 7 天锁定期刚过开发者立刻抽走流动性代币归零。AnubisDAO2021年10月约 6000 万美元在去中心化交易所中投入约 6,000 万美元的流动性但开发者仅用 20 分钟就抽走了所有资金。1.1.5 小结核心要点具体建议Rug Pull 的本质项目方利用信息不对称和投资者的 FOMO 情绪骗取资产后逃逸。最大的风险来源流动性未锁定 合约未开源 团队匿名 极高收益率承诺。最佳防御策略使用Dextools / Token Sniffer进行快速风险扫描优先选择流动性锁定时间超过 1 年、合约经过第三方审计、团队实名的项目。投资纪律永远不要将资产投入你不了解其代码和背景的项目。对于知名度较低的新项目初期只投入你可以承受完全损失的资金。最后记住一句在加密圈广为流传的话“如果回报听起来好得不像真的那它通常就是骗局。”在 Web3 的世界里保持怀疑、自己做足功课DYOR - Do Your Own Research是保护自己的第一道防线。1.2 貔貅盘在 Web3 和加密货币领域“貔貅”确实是一种非常典型的骗局本质上属于你之前了解过的“Rug Pull拉地毯”的一种变体。它的名字来源于中国神话中“只进不出”的神兽貔貅在币圈里这类骗局的核心特点就是让你买得进去但绝对卖不出来。1.2.1 貔貅盘是如何运作的这类骗局利用恶意智能合约来设下陷阱技术层面主要有以下几种常见手法来阻止你退出常见手法如何运作受害者遭遇黑名单机制合约内置黑名单功能开发者可随时将你的地址加入黑名单。买入后价格上涨想卖出获利时交易全部失败才发现自己被拉黑了。天价卖出手续费普通地址卖出时被收取极高手续费如 90%-99%而开发者地址不受影响。眼睁睁看着币价暴涨但卖出后几乎全部资金被当作手续费扣走只能拿回零头。直接禁用卖出函数在合约的转账函数中植入恶意代码非白名单地址的卖出行为被永久阻止。发起卖出交易链上显示成功但代币依然躺在钱包里根本没卖掉。抽干流动性项目方从不锁定流动性池在吸引足够资金后直接撤走池中所有 ETH/USDT。买入代币后价格瞬间暴跌 99% 以上池子被掏空手中的币成了废纸。1.2.2 真实案例2021 年假 MetaMask 代币事件这是一个典型的貔貅盘案例骗子创建了一个名为 “MetaMask Token” 的假代币并大肆宣传。早期交易看起来一切正常代币价格稳步上涨。在交易量累积到约100 万美元后合约触发了预设的“貔貅模式”。数百名投资者发现手中的代币完全无法卖出总计被锁死的资金高达近1000 万美元。项目方随后人间蒸发受害者血本无归。1.2.3 如何识别和防范貔貅盘检查合约代码最重要是否开源验证在 Etherscan / BSCScan 上查看合约是否已开源。未开源的合约是巨大的危险信号。搜索高风险函数在合约代码中搜索以下关键词blacklist黑名单onlyOwner/onlyWhiteList仅所有者/白名单pause/pauseTransfer暂停转账setFee/setTax设置手续费且数值可被动态调高使用第三方安全工具工具功能Token Sniffer检测代币合约是否存在貔貅风险代码GoPlus提供代币安全检测 API多家钱包如 OKX、Binance Web3 钱包已集成Dextools / DexScreener查看代币的流动性锁定情况、持币地址分布1.2.4 警惕以下危险信号流动性未锁定项目方的流动性池没有锁定在第三方托管平台如 Unicrypt。如果未锁定项目方可随时撤走资金。极端的持币集中度前 10 名持币地址占比超过 80%说明筹码高度集中项目方随时可以砸盘。过度的 FOMO 氛围社群中全是“冲”“马上暴涨”“不买就错过”这类话术但几乎没有人在讨论项目的实际价值。匿名团队 无审计报告团队完全匿名且没有第三方审计机构如 CertiK、SlowMist出具的审计报告。1.2.5 总结核心要点具体建议貔貅盘的本质利用恶意智能合约阻止投资者卖出从而骗取买入资金。最大的风险来源合约未开源 流动性未锁定 存在黑名单/暂停功能 团队匿名。最佳防御策略买币前务必用 Token Sniffer 或 GoPlus 检测合约安全性检查流动性是否锁定并查看持币地址分布是否健康。投资纪律对于新项目、小市值代币永远只投入你可以承受完全损失的资金。如果某个项目“只涨不让卖”那它大概率就是貔貅盘。记住一句话在 Web3 里如果一笔交易让你“只能买不能卖”那不是技术问题而是有人在设计好的陷阱里等着你跳进去。DYOR自己做足功课永远是保护自己的第一道防线。