De explosieve groei van het DeFi-ecosysteem van Solana heeft ideale omstandigheden geschapen voor geraffineerde tactieken van marktmanipulatie. Nu de handelsvolumes stijgen, zijn de spelers simpele methoden ontgroeid en overgestapt op verspreide strategieën met meerdere wallets die traditionele detectiemethoden (waaronder Bubblemaps) ontwijken.

Vandaag presenteren we een flinke stap vooruit in de bescherming van traders: Aegis 2.0 (de doorontwikkeling van de oude DIVINE Anti-Jeet-stack), met als speerpunt onze zelf ontwikkelde op Leiden gebaseerde coördinatieanalysator. Dit systeem betekent een paradigmaverschuiving in het opsporen van manipulatie: het gaat verder dan een simpele analyse per wallet en legt de complexe, verspreide netwerken bloot die pump-and-dumps en andere illegale activiteiten aansturen.

De evolutie van marktmanipulatie: van losse wallets naar verspreide netwerken

De kern van het probleem is het verspreide karakter van moderne manipulatie. In plaats van te werken via duidelijke afzonderlijke zwakke plekken, gebruiken geraffineerde spelers nu netwerken van ogenschijnlijk losse wallets:

  • In de tijd verspreide acties: trades die op verschillende momenten worden uitgevoerd om detectie op basis van tijdcorrelatie te ontwijken
  • Sporen over meerdere tokens: activiteiten die over verschillende tokens worden verspreid om de relaties in het netwerk te verhullen
  • Afgeschermde operaties: zo weinig mogelijk overlap tussen de activiteiten van wallets om geloofwaardig te kunnen ontkennen

Deze strategieën maken conventionele detectiemethoden grotendeels ineffectief, waardoor traders worden blootgesteld aan kunstmatig opgedreven prijzen, plotselinge koersinstortingen en flinke financiële verliezen.

Onze netwerktheoretische aanpak: de op Leiden gebaseerde coördinatieanalysator

De op Leiden gebaseerde analysator van DIVINE past netwerktheorie en analyse van gedrag in de tijd toe om manipulatiesignaturen te vinden die voor traditionele tools onzichtbaar zijn. Ons systeem gaat uit van een principe: ook al lijken afzonderlijke acties onschuldig, collectieve gedragspatronen verraden gecoördineerde opzet.

Detectiemechanismen in meerdere lagen

De analysator gebruikt een geavanceerd detectiekader in meerdere lagen:

  1. Analyse van tijdcorrelatie: spoort statistische afwijkingen op in hoe synchroon trades over verschillende wallets plaatsvinden. Onze algoritmen detecteren verdacht geclusterde koop- of verkooporders die de waarschijnlijkheidsdrempels voor organische marktactiviteit overschrijden.
  2. Detectie van concentratie op één token: onderzoekt de handelspatronen binnen afzonderlijke tokens en spoort geconcentreerde pogingen op om prijs of volume te manipuleren via verspreide maar onderling verbonden wallets.
  3. Analyse van netwerkgrafen: bouwt relatiegrafen op waarin wallets knooppunten zijn en gecoördineerde handelsactiviteit (op basis van timing en gemeenschappelijke tokens) gewogen verbindingen vormt. We gebruiken nu de Leiden-methode (via onze crate fa-leiden-cd) om dicht verbonden groepen wallets (community's) te identificeren, met gegarandeerde samenhang en snellere convergentie dan de oude Louvain-werkwijze. Zo komen mogelijke samenzweringen aan het licht, inclusief complexe structuren die verder gaan dan eenvoudige stervormige netwerken.
  4. Detectie van clusters van gecoördineerde verkopen: richt zich op gesynchroniseerde uitverkopen over meerdere tokens binnen krappe tijdvensters, een kenmerk van pump-and-dumps die door bots worden aangestuurd. In recente tests spoorde dit mechanisme een netwerk op van 38 wallets dat actief was op 12 tokens en aan conventionele detectiemethoden was ontsnapt.

Volledige dekking in de tijd: handel en de hele holderbasis

Onze architectuur met twee systemen biedt een ongekende dekking in tijd en gedrag:

  • Realtime analyse van de handel: volgt de huidige marktactiviteit met een vertraging van minder dan een seconde en spoort gecoördineerde koopgolven of verkoopcascades op terwijl ze plaatsvinden.
  • Diepe historische analyse van holders: onderzoekt patronen in de hele holderbasis, niet alleen in recente trades. Deze cruciale vernieuwing vangt gecoördineerde groepen die in recente vensters niet hebben gehandeld, maar wel een flink manipulatiepotentieel behouden. In ons onderzoek naar gevestigde tokens ontdekten we dat zonder deze volledige analyse van holders tot 27% van de walletclusters met een hoog risico volledig zou worden gemist.

Geavanceerde beoordeling van de impact op liquiditeit

Onze misschien wel belangrijkste vernieuwing is dat we verder gaan dan simpele procentuele bezitscijfers en de realistische impact op de markt analyseren:

  • Modellering van de impact ten opzichte van het paar: we beoordelen de mogelijke marktimpact van een groep niet alleen ten opzichte van het totale tokenaanbod, maar vooral ten opzichte van de huidige liquiditeit van het paar. Zo vinden we groepen die de markt flink kunnen verstoren, zelfs met ogenschijnlijk bescheiden bezitspercentages. In omgevingen met weinig liquiditeit zagen we dat wallets met amper 2% van het aanbod de prijs met meer dan 30% kunnen bewegen, afgezet tegen de beschikbare liquiditeit.
  • Analyse van samengetelde drempels: het systeem analyseert het gecombineerde bezit van mogelijk gecoördineerde wallets, zowel gewone adressen als bekende adressen op de blacklist. Deze groepstotalen worden getoetst aan instelbare drempels voor:
    • Het absolute percentage van het aanbod in bezit
    • De impact op de liquiditeit ten opzichte van het paar
    • De historische correlatie van de handel
  • Dynamische aanpassing van drempels: deze drempels passen zich automatisch aan de operationele context aan (bijvoorbeeld met strengere criteria in Lucifer-modus), zodat de gevoeligheid van de detectie is afgestemd op verschillende risicoscenario's en marktomstandigheden.

Integratie in de beveiligingspipeline

De op Leiden gebaseerde analysator is geen losse functie, maar een cruciaal onderdeel dat vroeg in de beveiligingspipeline van Aegis 2.0 is ingebouwd:

  • Eerste screening: hij fungeert als eerste verdedigingslinie en spoort tokens die met verdachte netwerkactiviteit samenhangen snel op en markeert ze.
  • Filtering vooraf: hij maakt het mogelijk om tokens met een hoog risico efficiënt af te wijzen voordat er rekenkracht naar zwaardere analyses gaat.
  • Rapportage op basis van bewijs: als zorgen over coördinatie tot een afwijzing leiden, krijgen gebruikers een duidelijke onderbouwing met concrete cijfers, zodat ze weloverwogen kunnen beslissen.

Deze integratie zorgt ervoor dat de coördinatierisico's worden beoordeeld voor elke token die DIVINE toont, wat een basisniveau van bescherming biedt tegen deze wijdverbreide dreigingen.

Impact in de praktijk: een casestudy

Tijdens de bètatests spoorde ons systeem een geraffineerd netwerk op dat actief was op meerdere tokens en aan conventionele tools was ontsnapt:

In het geval van een token met de ticker "FF" bracht ons systeem een heel netwerk van 27 verbonden wallets in kaart, ondanks dat de aankopen strategisch over verschillende momenten waren verspreid. De wallets overlapten nauwelijks in hun directe handelsactiviteit, maar vertoonden in onze netwerkanalyse duidelijke coördinatiesignaturen. De correlatie werd onmiskenbaar toen onze analyse van de impact van holders liet zien dat deze wallets 48% van de beschikbare liquiditeit in handen hadden, terwijl ze maar 11% van het totale aanbod bezaten. Een dag na onze detectie voerden deze wallets een gesynchroniseerde uitverkoop uit, waardoor de tokenprijs met 79% instortte.

Afbeelding 1: grafiek van het koersverloop van de token "Flying Fuck", met de spectaculaire prijsstijging en daarna een instorting van 79% na de gecoördineerde uitverkoop door het opgespoorde walletnetwerk.

Deze casestudy is maar één voorbeeld van de vele die onze op Leiden gebaseerde analysator aan het licht heeft gebracht, en laat zien hoe breed het scala aan gecoördineerde manipulatiestrategieën is.

Meer veiligheid voor traders op Solana

De lancering van Aegis 2.0 is een belangrijke stap in de strijd tegen marktmanipulatie op Solana. Door verder te gaan dan oppervlakkige controles en te kiezen voor geavanceerde netwerkanalyse, inclusief diepe historische inspectie van holders en beoordeling van de impact ten opzichte van het paar, kunnen we dreigingen opsporen die eerder niet op te sporen waren:

  • Verspreide pump-and-dumpnetwerken: groepen die hun aankopen coördineren om prijzen op te drijven en daarna gesynchroniseerd verkopen.
  • Geavanceerde botactiviteit: geautomatiseerde handelssystemen die met hoge frequentie gecoördineerde, in de tijd verspreide trades uitvoeren.
  • Manipulatieconstructies op lange termijn: netwerken die geduldig posities opbouwen voordat ze een gecoördineerde marktgebeurtenis in gang zetten.
  • Operaties gericht op liquiditeit: groepen die het specifiek op de impact op de liquiditeit gemunt hebben om maximale waarde af te romen, in plaats van op een simpel percentage van het aanbod.

Geen enkel systeem is onfeilbaar, zeker niet in de optimalisatiefase, maar de op Leiden gebaseerde analysator zet samen met de handhaving van ons bestaande walletbeleid een nieuwe standaard voor on-chainbeveiliging.

We blijven deze technologie voortdurend verfijnen op basis van echte data en feedback van de community. We geloven dat deze onderzoeksgedreven aanpak de basis is voor een veiligere, transparantere handelsomgeving waar het hele Solana-ecosysteem baat bij heeft.

Nieuw bij DIVINE? Het platform ondersteunt Solana en Robinhood Chain, met de signaalmodi Jesus en Lucifer en chainspecifieke Aegis-controles. Dit artikel beschrijft de Solana-analysator en historische casestudy's. Ontdek het huidige platform hier.