柯南侦探：深入调查寿司交换创始人诺米大厨

彼得·卡切尔金斯基中

翻译：莫尼星球日报

10月初，最新的区块链调查竞赛在安猜举行，历时两周。在比赛中，许多玩家深入了解了以太坊区块链交易和智能合约数据。除了许多免费工具外，anchain还为参与者提供CISO区块链分析平台的免费许可证，使区块链分析更加容易。

在这个圈的最后一圈，BlockThreat.net网站威胁分析师彼得·卡切金斯基（Peter kacherginsky）重点关注了传说中的DeFi产业早期寿司交换创始人诺米（chef NOMI）的退出，以及2020年9月资金的回流。事实上，这项赛事也是本次比赛中最困难的挑战之一。本文将提及本次区块链调查竞赛中的一些分析工具、技术和经验教训，并分享有关步骤，以调查NOMI chef在2020年9月退出诈骗和资金返还的情况。

现在让我们让邢星军（微信：o-daily）和您一起揭开这一事件的真相：

2020年9月5日，sushi swap创始人chef NOMI从协议中套现约1400万美元，但随后于2020年9月11日归还。我们可以使用anchain的CISO工具查询涉及关联交易的账户（如下图所示）。如果调查上述事务，chef NOMI在地址0xf942dba4159cb61f8ad88ca4a83f5204e8f4a6bd和0xf73b31c07e3f8ea8f7c59ac58ed1f8708c8a76之间传输38.000 ETH。

上图显示了anchain CISO在2020年9月11日对chef Nomi 38000次ETH转账的跟踪记录。

2020年9月11日，chef NOMI在其致歉微博中提供了确切的交易哈希值（如下图所示），并暗示取出的所有ETH都已返回到Sushswap库存账户：

让我在“0xf942db”的开头找到地址：0xf942dba4159cb61f8ad88ca4a83f5204e8f4a6bd。事实上，从早期的交易历史来看，sushiswap:Sushi token contract从2020年8月26日开始在该地址部署（如下图所示）

事实上，chef NOMI是唯一一个能够部署此合同的人，因此我们可以确定以“0xf942db”开头的地址与chef NOMI有直接联系。另一个以“0xf73b31”（0xf73b31c07e3f8ea8f7c59ac58ed1f878708c8a76）开头的地址更有趣，因为这个地址实际上是在2020年9月3日部署的以“0xf942db”开头的多签名钱包：

上图为多重签名合约的部署，数据来源：ETHerscan。

你觉得现在好玩吗？！是的，chef NOMI将38000以太坊从一个已知的以太坊个人账户转移到他们原来的多重签名钱包中。多重签名合同的优点是可以找到钱包的主人信息。因此，我们可以使用ETHerscan方便的合同阅读功能来查询钱包的主人：

我们可以使用multi-signature getowners（）输出函数，如上图所示，来源：ETHerscan。

从上面的截图可以看出，NOMI的Chef“0xf942db”开头没有地址。但chef NOMI此前曾达成协议，将钱包所有权从以“0xf942db”开头的地址更改为0xd57581d9e42e9032e6f6042fa619b45457ba79。在记录这方面，我们不得不佩服ETHerscan，它为我们提供了详细的事务事件日志：

以太扫描的签名显示了交易的多重所有权。

所以问题是，“0xd57581”开头的地址所有者是谁？如果我们在社交媒体twitter上搜索此地址，chef nomichee的twitter帐户@nomichef一直在加密货币衍生品交易所的FTX交易所CEO@sbf工作过，在twitter上有一个“有趣的”交流：

根据上述沟通记录，我们知道FTX首席执行官@sbf_Alameda同意接管sushiswap项目，并在其官方twitter账户上发布了自己的以太坊钱包地址作为所有权证明。存款后，@sbf_ualameda继续从多签名合同（地址以0xf73b31开头）存入557万张寿司代币，他使用的地址以“0xd57581”开头：

上述数字是通过anchain CISO_Alameda通过@sbf查询发现的，向多个签名地址存放了556万枚寿司代币。此后不久，@sbf iu Alameda继续提取38000以太坊作为补偿，交易记录如下：

可以看出，以“0xf73b31”开头的地址在寿司掉期生态系统中起着非常重要的作用，但目前尚不清楚这些交易为什么要选择这个地址。为了找出这个问题的答案，我们来看看寿司交换的奖励制度是如何运作的。

第一篇在媒体上宣布寿司交换的文章现在已经被删除。从档案页面，我们发现chef NOMI提到sushiswap有一个项目可持续发展/发展基金（如下图中页截图所示）：

如果我们看一下项目的源代码主厨.SOL执行奖励的逻辑见下图：GitHub存储的发展基金寿司代币奖励源代码：

开发基金的地址信息存储在变量devaddr（developer address）中，并在初始化时在智能合约构造函数中定义。下图显示了GitHub上存储的开发基金地址初始化的源代码：

根据媒体历史文章，MasterChef合同部署在0xc2edad668740f1aa35e4d8f27fb8e17dca888cd上。让我们看一下ETHerscan，第一个事务将帮助我们理解合同在部署时是如何建立的：

很遗憾，很难对输入的数据进行解密，但是我们可以再次找到构造函数初始化数据，如下图所示：

每个构造函数变量都有一个University“uint256”，可以很容易地分成一个参数：

上图显示了构造函数参数。

简而言之，这些参数与源代码匹配，因此我们可以获得devaddr（developeratedaddress）的参数。因此，我们将发现这个地址已显式地设置为NOMI chef的地址。下图位于GitHub上主厨.SOL构造函数变量：

基于以上分析，我们发现，以“0xf942db”开头的地址可以收集所有寿司代币的10%，而厨师NOMI则于2020年9月5日将此地址中的寿司代币兑换成ETH。但是，如果我们查看变量的当前状态，我们将发现一个完全不同的地址，如下面的红色框所示：

地址对应厨师NOMI归还的38张，是ETH的多签名钱包，也就是说，“0xf73b31”开头的地址实际上是寿司互换的新的国库账户，用于收取NOMI厨师在推特帖子中提到的10%的代币奖励，只有一个函数可以更新协议中的devaddr变量，如下图所示（源GitHub）

我们可以扫描它Bloxy.info提供函数调用活动，以快速查找对函数的调用。下图显示了bloxy智能合同函数调用的查询结果：

A6020

从下图可以看出，dev（address）函数只进行了一个函数调用，该函数是厨师Nomi于2020年9月5日执行的，在他将寿司代币扔到Uniswap前几分钟：

Chef NOMI在“0xf73b31”的起始地址调用新的devaddr参数，该参数定义了新的库存帐户或开发基金帐户。

此时，我们可以对所有活动的日程进行梳理，形成一份较为完整的报告，从寿司互换项目的初始创建到2020年9月11日交易等相关事件：

寿司互换调查报告

1Nomichef是一位匿名开发者，于2020年8月26日创建了寿司交换DeFi合同；

2合同包括@nomichef控制的开发人员帐户，该账户收集了所有寿司代币的10%。

32020年9月5日，@诺米奇从开发者账户中提取价值1400万元左右的寿司代币，并在Uniswap上将其转换为38011 ETH。

4Nomichef还建立了一个新的多签名合同，作为新的开发帐户，再次收取寿司代币奖励。

5在强烈的社区抗议之后，@nomichef将38000 ETH移至先前创建的多签名合同上，该合同现在由加密衍生品交易所ualameda control FTX exchange的CEO@SBF所有。

6、 @SBF_uAlameda存下57万寿司代币，并撤回@nomichef’s ETH作为补偿。

7在分析时，多签名开发者账户是最大的“鲸鱼”账户之一，价值约90亿美元。

区块链分析

以下区块链分析图是使用anchain CISO生成的，用于记录与此案例相关的以太坊区块链上的交易

ETH交易：

寿司交易：

事件时间线

与此时间相关的地址信息

1X6b3595068778dd592e39a122f4f5a5cf09c90fe2-寿司代币合约

2它还持有寿司掉期最大的流动性头寸。

30xf942dba4159cb61f8ad88ca4a83f5204e8f4a6bd-@nomichef account/sushiswap:deployer/devshare account（每次分配sushi token将收取10%的代币）。

40xf73b31c07e3f8ea8f7c59ac58ed1f8708c8a76-合同：具有每日限额/新devshare帐户的multisigwallet。

5、 0x80c5e6908368cb9db503ba968d7ec5a565bfb389-扎珀.FiUniswap公司

6、 0xce84867c3c02b05dc570d135103d3fb9cc19433-Uniswap V2

7、 0xD57581D9e42E9032e6f60422fA619b4A4574Ba79-@SBF_ualameda-FTX首席执行官

第0阶段：设置

12020–08–26 12:28:07 UTC-@nomichef（0xf942dba4159cb61f8ad88ca4a83f5204e8f4a6bd）部署寿司代币合约（0x6b3595068778dd592e39a122f4f5a5cf09c90fe2）。https://ETHerscan.io/tx/0x5489c98aa634078471646e32a3a846c8d413f055ce10d06bd2260f4e71d1bc63

22020–08–26 01:00:51 UTC-@nomichef（0xf942dba4159cb61f8ad88ca4a83f5204e8f4a6bd）部署MasterChef LP抵押池（0xc2ed668740f1aa35e4d8f227fb8e17dca888cd），并且构造函数显式设置为devaddrf942dba4159cb61f8ad88ca4a83f5204e4abd：

https://ETHerscan.io/tx/0x3d68b0d8a94838af33070b8f00558e723f073b23772bd1760f1f4032e21e0fb3

32020–09–03 01:16:40 UTC-@nomichef部署了多重签名钱包0xf73b31c07e3f8ea8f7c59ac58ed1f878708c8a76。

https://ETHerscan.io/tx/0x58b4873325c662a043b51f5c479a9cab263f7a4ce80517a109a753d7ee7700f

第一阶段：退出

1UTC 2020–09–05 09:20:10 UTC-@nomichef扎珀.FiUniswap（0x80c5e6908368cb9db503ba968d7ec5a565bfb389）合同启动的交易：

在本次交易中，Uniswap V2（0xce84867c3c02b05dc570d135103d3fb9cc19433）中使用了5024900个寿司代币扎珀.Fi（0x80c5e6908368cb9db503ba968d7ec5a565bfb3890.1）寿司维思流动性对在平台开盘，成交量3886湿。

https://ETHerscan.io/tx/0xc97cac6a9457f73febfd93ca90dd4dfbe128ad1658c3e48d01ad3992d3efd07e

22020–09–05 09:33:19 UTC-@nomichef将devshare帐户地址从0xf942dba4159cb61f8ad88ca4a83f5204e8f4a6bd更改为多重签名钱包0xf73b31c07e3f8ea8f75ac58ed1f878708c8a76：

https://ETHerscan.io/tx/0xe7e811bdc697b6ba7794a3ec795797a6c88181116196256b98695f17d987ea11

32020–09–05 11:57:05 UTC-sushi wETH交易对已结算38011以太坊，资金转回@nomichef（0xf942dba4159cb61f8ad88ca4a83f5204e8f4a6bd）

https://ETHerscan.io/tx/0x419a835b33eb03481e56a5f964c31017ab196cb7bb4390228cabcf50dfd6f1

第二阶段：回归

12020–09–06 06:29:00 UTC-@nomichef达成协议，将资金返还多重签名钱包并将控制权转移到@SBF_ualameda（0xd57581d9e42e9032e6f60422fa619b4a4574ba79）：

https://twitter.com/sbf阿拉米达/状态/1302501004118695936

22020–09–06 07:32:34 UTC-多重签名钱包所有者从@nomichef替换为@SBF_ualameda（0xd57581d9e42e9032e6f60422fa619b4a4574ba79）

https://ETHerscan.io/tx/0xe4fcf8aa90cc42355e2998561759f906ba5bbb50f2aeea161ebd167e3acc5609

32020–09–11 03:25 UTC-@nomichef将38000以太坊转账回寿司多签名钱包（0xf73b31c07e3f8ea8f7c59ac58ed1f878708c8a76）。

https://ETHerscan.io/tx/0xa5179a870734faadbb7abe2cc230436a870f9bda1f869b3f986d65cbfbe57b8

42020–09–11 03:31:00 PM UTC-@nomichef道歉并公开声明38000以太坊已转入sushiswap库存多签名账户。

https://twitter.com/NomiChef/status/1304442495342796800

第三阶段：补偿

12020年9月15日01:13:46 UTC-@SBF_ualameda开始从bittrex（0xfbb1b73c4f0bda4f67dca266ce6ef42f520fbb98）和另一个未知交换（0x964d9d1a532b5c5daeacbac71d4632deseriesa）累积39699.94以太坊。

https://ETHerscan.io/tx/0xcefbd6a9b03522d87915f75ed94c10ed2c87a8456a436ca3f323bf46473bce60

https://ETHerscan.io/tx/0x6db4e66cba8566721e10015c1aa3db0738e4ac373e817aebf7cf3dba3a1cf377

https://ETHerscan.io/tx/0x47bfcb08961f1a80dc58e48cc22e34eda0712f3a8cff76eb4be9583a456dcd3d

https://ETHerscan.io/tx/0xd2c2f5c07oeeb3d1ebbe9897f5047ffc74ca9183ef94c826a36b0b0616d65936

22020年9月15日凌晨02:06，UTC-@SBF_ualameda（0xd57581d9e42e9032e6f4222fa619b4a4574ba79）在Uniswap上完成了以太坊和寿司代币之间的交换。最后一个exchange事务可以在以下链接中找到：

https://ETHerscan.io/tx/0xc901dea31fcc59a68fbd9133f775836f3d59a2f0642835d949a215f09666

32020年9月15日02:15:46 utc-557万张寿司代币来自@SBF_u阿拉米达控制的地址（0xd57581d9e42e9032e6f60422fa619b4a4574ba79）被转移到多重签名钱包（0xf73b31c07e3f8f7c59ac58ed1f8708c8a76）

https://ETHerscan.io/tx/0x8ff45efc77e5d81714f5a2e0a839c16112c2af6242041ef2d46cdf2fe8678f0

https://ETHerscan.io/tx/0x968de6f30b2af08d1c520d20d9c94019152cbac838aabf6c632da02ee0229f

4于2020年9月15日凌晨4点42分，从多重签名钱包（0xf73b31c07e3f8ea8f7c59ac58ed1f8708c8a76）向@SBF转账38000 ETH（0xd57581d9e42e9032e6f60422fa619b4a4574ba79）

https://ETHerscan.io/tx/0x7ef94acf19eaff3517e0675db1d6694b7567e79090cb1192f20ad0ee7892078d

https://ETHerscan.io/tx/0x7d3ab2ea9a4578f9ff08b90a73ec3d262cc6f3a6fc39bf6bd1e7c20e39c1eeb1

BD06624CD0635DCBD15936DCB559DCDC61593DT61593DCDC61593DCDC61593DCB61593DCDC61593DCDC61593DCB61593DCB61593DCDC6159

55： 50 UTC，2020年9月15日-3920000 ETH通过多个交易（4000 ETH、4010 ETH、4020 ETH 4080 ETH、2870 ETH）从@SBF UU5; Alameda传输到0x9F9643C8B413B32C3A31270068487F341E5BE8BFD。以下链接是这些事务的示例：

https://ETHerscan.io/tx/0xd2f19se4961802ff29792e978844691f67e9c37173539cf86d204b68a9e91885

62020年9月15日06:10:03 UTC-1000000个寿司代币从多签名金融账户转移到@SBF_ualameda

https://ETHerscan.io/tx/0xe5a08db5e46cff54ac0bc15e5c307bc68daba03c1ed17e7cb4b4044d79ac435