SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场meme-coin-audit

meme-coin-audit

安全与审计

查看项目

更新于 10-15 13:58

技能介绍

用途

Meme Coin Audit 是一个面向迷因币（meme coin）与代币的安全审计技能，覆盖 EVM 与 Solana 两条链。其目标是快速识别拉地毯（rug pull）风险，并对代币合约做深度安全分析。技能定位为“快速击杀式”的拉地毯检测与代币安全审查，主要服务于投资前尽职调查，也可作为漏洞赏金提交前的初步筛查环节。

主要能力

预检击杀信号

技能要求在阅读任何代码之前先检查一组信号。若命中“硬击杀”条件，则直接跳过审计，包括：合约未在 Etherscan/Solscan 验证；部署者钱包有拉地毯历史；代币上线不足 1 小时且无已知团队；Solana 上保留铸币权限且无上限；Solana 迷因币保留冻结权限；Token-2022 存在可变 hook 程序的转账钩子；Token-2022 存在永久委托扩展。

“软击杀”条件则要求极度谨慎：最大持仓者超过供应量 20%（排除 DEX 池）；LP 未销毁或未锁入已验证合约；合约可升级/代理且保留管理员；池中流动性低于 5K 美元；无社交存在或匿名部署者无历史。

8 类代币专属漏洞

技能归纳了 8 类代币相关漏洞，并给出对应的快速 grep 命令与判定标准：

  1. 隐藏铸币/无限供应：部署者在发行后铸币并砸盘。EVM 与 Solana 各有对应 grep。若每条铸币路径都强制 MAX_SUPPLY 或铸币函数被完全移除，则可排除。
  2. 蜜罐/转账限制：买入正常、卖出被阻止。检查黑名单、maxTxAmount、tradingEnabled 等；Solana 侧检查 freeze_authority、transfer_hook、permanent_delegate。
  3. 费用操纵：初始买入后把卖出费设为 99%。检查 setFee/setSellFee 等，若费用设置器有 require(fee <= MAX_FEE) 且 MAX_FEE <= 10% 则可排除。
  4. 流动性池抽干：LP 移除、迁移或操纵导致价格崩盘。检查 migrateLP、emergencyWithdraw、.sync()、setPair、setRouter。
  5. 联合曲线操纵：pump.fun 式联合曲线的漏洞。检查 virtualReserve、setCurve、graduate、bonding_curve。
  6. 权限保留（Solana）：保留铸币/冻结/更新权限。检查 mint_authority、freeze_authority、update_authority、close_authority，以及 set_authority 置 None 的撤销迹象。
  7. 虚假放弃/隐藏所有权：所有权看似放弃但保留后门控制。检查 renounceOwnership 重写、_shadowAdmin、_backupOwner、selfdestruct。
  8. 设计层面的三明治放大：合约使持仓者最大程度可被三明治攻击。检查 swapExactTokensForETH 的 0 滑点、swapThreshold、_rebase、mandatoryPool。

快速红旗扫描

技能提供 8 组 grep 命令，可在源码树中快速检测红旗，覆盖直接铸币/余额操纵、黑名单与转账限制、无上限费用设置器、LP 迁移与紧急提取、虚假放弃重写、零滑点自动兑换、所有 Solana 权限模式、Token-2022 危险扩展。同时明确源码 grep 不检查链上状态、持仓分布、LP 锁仓状态与部署者钱包历史，这些需另行验证。

Foundry PoC 模板

技能提供一个 Foundry 测试模板，用于代币漏洞的概念验证，包含隐藏铸币拉地毯、蜜罐黑名单、费用操纵三类测试用例，使用主网分叉与 Uniswap V2 路由地址。

Solana 链上快速检查

在无源码时，技能给出链上检查步骤：铸币权限应为 null；冻结权限应为 null；LP 状态（是否销毁、是否锁入无后门验证合约、是否由部署者持有）；前 10 持仓集中度（排除池）应低于 30%；程序可升级性（不可变程序升级权限应为 None）；Token-2022 扩展（转账钩子、永久委托）。

使用方式

技能以清单、grep 命令、Foundry 测试模板和链上检查命令的形式组织。使用者按“预检击杀信号 → 8 类漏洞 grep → 链上交叉验证”的流程操作。技能还给出 5 分钟投资前尽调的六问快速过滤：铸币权限是否为 null、冻结权限是否为 null、更新权限是否为 null、LP 是否锁入验证合约超过 6 个月、前 10 持仓集中度是否低于 30%、联合曲线是否完成且完成后铸币权限为 null。

适用场景

适用于迷因币与代币的投资前尽职调查、漏洞赏金提交前的初步筛查，以及 EVM 与 Solana 代币合约的安全审查。技能说明其与 web3-audit（目标为 DeFi 协议时）、triage-validation（判断拉地毯发现是否构成赏金提交）、report-writing（撰写 Immunefi 报告）、offensive-osint（链下基础设施与部署者背景调查）、bb-methodology（确认参与模式）等技能的衔接关系。

限制

源码 grep 无法检查链上状态、持仓分布、LP 锁仓状态与部署者钱包历史，需借助 Etherscan/Solscan、DEXTools/Birdeye、Unicrypt/PinkLock 等外部工具交叉验证。技能强调不应信任单一来源，rug-checker 可能被延迟恶意模式欺骗。LP 锁仓徽章需链上验证，包括解锁日期、锁仓所有者、是否允许缩短锁仓、锁仓合约字节码是否为规范合约。技能还提示低流动性代币的三明治/MEV 风险及缓解手段（Jito bundles、Flashbots Protect RPC、MEV 保护聚合器、拆分订单）。