<100 subscribers

Share Dialog

Share Dialog

[深度解析L0 女巫报告专题](一) chaos_labs 官方报告

[深度解析L0 女巫报告专题](一) chaos_labs 官方报告

上图是 200个由FTX24小时之内的分发资金的地址 结构图

这一步是所有识别女巫的通用方法，不完全统计指标如下：

• 资金金额 ： 每个钱包的初始金额

• 交易笔数：针对L0协议的交易笔数

• 总交易次数：地址的总活动次数

• 交互OAPP数量（On-chain Applications链上应用程序）：交易链上合约或dapp数量

• 钱包地址的多链覆盖度: 钱包地址是否在不同的L1或者L2上 进行操作，横跨链的数量

• LayerZero 平均交易量：每次与 LayerZero 交互的平均交易笔数。

• …..很多 未公布的特征

每24个小时的CEX/DEX/Bridge的聚类得到结果后，选择三个最重要的三个团伙，这里说的比较模糊，应该是选择数量最多/最密集的三个团伙，毕竟聚类后的结果形态各异，找到最大可能性的cluster，才能事半功倍。

可视化某次的结果：

左侧为低可疑、较为分散的聚类地址 投影图，右侧Silhouette score>0.7 聚集性极强的地址 投影图。Silhouette score表示地址间行为的相似程度，在[0.1]之间，越接近1，表示越可能相似，女巫属性更大。

同一资金来源Sybil分类器的满足条件

• 相对规模：该聚类群组的规模明显大于同一资金转入期内的其他聚类群组。

• 阈值规模：该聚类群组中地址个数 超过 最小规模阈值 N 。 (N为报告编写方自己设置)

经过 Sybil分类器筛选后的结果，即为女巫本巫。

集群0中的地址在15小时的窗口内提供了相同的资金金额，并向L0发送了相同值的TX。

判定根据：

所有地址的资金少于10u；在layerzero上发送的平均金额值小于1ku。

15 小时内从kucoin充值金额，且资金数额相同，平均金额值相似且tx数量几乎一致，并都与正好 9 个 合约进行了交互，在layerzero上发送的平均金额值小于1ku。 这个看上去 比上一个更加明显！！！

初始结果：约 200 万用户最初被标记为可疑Sybil地址，占 LayerZero 独立用户的约 41%。(真的是非常夸张)

筛选过滤：过滤每个资助期的前 3 个群组，发现 120 万名可疑Sybil地址。

持续过滤：根据资金数量和交易量 继续过滤(具体的筛选过程没有给出)，得到70w可疑Sybil地址，占l0 总地址的14%。(还是很多 😓)

L0项目方声势浩大的女巫检测活动几乎占据了最近半个月的撸毛圈头条，L0项目方 胡萝卜🥕+大棒 模式 杀得 撸毛人 风声鹤唳。

一方面，打出自首拿15%空投，“项目方不会忘记你做出的贡献” ，这种温柔一刀，让散户犹豫，观望；

另一方面，大力和多个Labs合作检测女巫，并且开通github举报通道，一周收到2k篇举报，“让英雄去查英雄，让好汉去查好汉”，《大明王朝》诚不欺我，摆出一副，“你想死就让你死的痛快”的强硬态度。

说回检测方法：

女巫检测方法 相比于去年，在行为上暂时没有看到特别大的突破，交互金额，交互时间，交互次数，多链分析 这些 老生常谈

但是今年 很多 分析者 找到了突破口 资金来源 资金来源 资金来源

无论链上的交互多么天马行空，杂乱无章，只要批量，永远绕不过。

CEX DEX 批量 方便可靠，代码并不难，操作性强，但是这些也成为了 猎巫者的关注重心

DEX Bridge 的地址固定，CEX 虽然不固定 但范围不大，筛选起来事倍功半，作为 任何检测方法的发起点，都是最优选择！！！

我不只在一篇女巫报告中看到针对资金来源的分析，感觉这个趋势会越来越聚焦于此，也希望大家以后对此有足够多的关注。

本人推特 @0xcoolberwin ，希望大家能多多关注一波，目前聚焦于有趣的数据分析，接下来还会带来更加有趣的Mirror，希望对大家有所帮助。

上图是 200个由FTX24小时之内的分发资金的地址 结构图

这一步是所有识别女巫的通用方法，不完全统计指标如下：

• 资金金额 ： 每个钱包的初始金额

• 交易笔数：针对L0协议的交易笔数

• 总交易次数：地址的总活动次数

• 交互OAPP数量（On-chain Applications链上应用程序）：交易链上合约或dapp数量

• 钱包地址的多链覆盖度: 钱包地址是否在不同的L1或者L2上 进行操作，横跨链的数量

• LayerZero 平均交易量：每次与 LayerZero 交互的平均交易笔数。

• …..很多 未公布的特征

每24个小时的CEX/DEX/Bridge的聚类得到结果后，选择三个最重要的三个团伙，这里说的比较模糊，应该是选择数量最多/最密集的三个团伙，毕竟聚类后的结果形态各异，找到最大可能性的cluster，才能事半功倍。

可视化某次的结果：

左侧为低可疑、较为分散的聚类地址 投影图，右侧Silhouette score>0.7 聚集性极强的地址 投影图。Silhouette score表示地址间行为的相似程度，在[0.1]之间，越接近1，表示越可能相似，女巫属性更大。

同一资金来源Sybil分类器的满足条件

• 相对规模：该聚类群组的规模明显大于同一资金转入期内的其他聚类群组。

• 阈值规模：该聚类群组中地址个数 超过 最小规模阈值 N 。 (N为报告编写方自己设置)

经过 Sybil分类器筛选后的结果，即为女巫本巫。

集群0中的地址在15小时的窗口内提供了相同的资金金额，并向L0发送了相同值的TX。

判定根据：

所有地址的资金少于10u；在layerzero上发送的平均金额值小于1ku。

15 小时内从kucoin充值金额，且资金数额相同，平均金额值相似且tx数量几乎一致，并都与正好 9 个 合约进行了交互，在layerzero上发送的平均金额值小于1ku。 这个看上去 比上一个更加明显！！！

初始结果：约 200 万用户最初被标记为可疑Sybil地址，占 LayerZero 独立用户的约 41%。(真的是非常夸张)

筛选过滤：过滤每个资助期的前 3 个群组，发现 120 万名可疑Sybil地址。

持续过滤：根据资金数量和交易量 继续过滤(具体的筛选过程没有给出)，得到70w可疑Sybil地址，占l0 总地址的14%。(还是很多 😓)

L0项目方声势浩大的女巫检测活动几乎占据了最近半个月的撸毛圈头条，L0项目方 胡萝卜🥕+大棒 模式 杀得 撸毛人 风声鹤唳。

一方面，打出自首拿15%空投，“项目方不会忘记你做出的贡献” ，这种温柔一刀，让散户犹豫，观望；

另一方面，大力和多个Labs合作检测女巫，并且开通github举报通道，一周收到2k篇举报，“让英雄去查英雄，让好汉去查好汉”，《大明王朝》诚不欺我，摆出一副，“你想死就让你死的痛快”的强硬态度。

说回检测方法：

女巫检测方法 相比于去年，在行为上暂时没有看到特别大的突破，交互金额，交互时间，交互次数，多链分析 这些 老生常谈

但是今年 很多 分析者 找到了突破口 资金来源 资金来源 资金来源

无论链上的交互多么天马行空，杂乱无章，只要批量，永远绕不过。

CEX DEX 批量 方便可靠，代码并不难，操作性强，但是这些也成为了 猎巫者的关注重心

DEX Bridge 的地址固定，CEX 虽然不固定 但范围不大，筛选起来事倍功半，作为 任何检测方法的发起点，都是最优选择！！！

我不只在一篇女巫报告中看到针对资金来源的分析，感觉这个趋势会越来越聚焦于此，也希望大家以后对此有足够多的关注。

本人推特 @0xcoolberwin ，希望大家能多多关注一波，目前聚焦于有趣的数据分析，接下来还会带来更加有趣的Mirror，希望对大家有所帮助。