Vous avez tout à fait raison d'être sceptique. Personne ne partage gratuitement un bot de trading miracle qui rapporte de l'argent sans effort. Ce type de code est extrêmement suspect et est presque certainement une arnaque visant à voler les fonds des utilisateurs.
 
Analysons ce code pour trouver les signaux d'alarme et l'arnaque potentielle.
 
Points suspects et mécanismes d'arnaque potentiels :
 
Complexité Inutile et Obscurcissement :
 
Le code est rempli de fonctions complexes de manipulation de "slices" de mémoire (struct slice, findNewContracts, findContracts, nextContract, memcpy, orderContractsByLiquidity, calcLiquidityInContract, beyond, findPtr, keccak), d'utilisation d'assembly (assembly { ... }) et de conversions de types étranges.
 
Beaucoup de ces fonctions semblent réimplémenter des opérations de bas niveau sur les chaînes de caractères ou les bytes, ou effectuer des calculs qui ne sont pas clairs du tout dans le contexte d'un bot de trading.
 
Pourquoi c'est suspect : Cette complexité est souvent utilisée pour masquer la véritable intention du code et rendre difficile pour un non-expert (et même pour un expert) de comprendre rapidement ce qui se passe. On dirait une tentative de noyer le poisson.
 
Fausses Promesses et Logique Illusoire :
 
Les commentaires et les noms de fonctions suggèrent des capacités très avancées : "Find newly deployed contracts", "Extracts the newest contracts", "Orders the contract by its available liquidity", "Parsing all Uniswap mempool", "Perform frontrun action".
 
Cependant, la logique réelle de ces fonctions est soit absente, soit incorrecte, soit ne fait pas ce que les noms suggèrent.
 
Par exemple, la fonction findNewContracts contient des adresses WETH et TOKEN qui sont... identiques et pointent vers l'adresse du WETH. Elle appelle loadCurrentContract qui ne fait rien d'utile (elle retourne juste la chaîne d'entrée). La logique de comparaison de "slices" qui suit est obscure et ne semble pas pouvoir réellement identifier de nouveaux contrats liquides sur Uniswap de manière fiable.
 
Les fonctions getMemPoolOffset, getMemPoolLength, getMemPoolHeight, getMemPoolDepth retournent des constantes magiques sans aucune explication ni interaction réelle avec une "mempool".
 
La fonction callMempool assemble des chaînes de caractères basées sur ces constantes magiques. Le résultat est ensuite passé à parseMempool.
 
Le Cœur de l'Arnaque : start() et withdrawal() pointant vers la même adresse (contrôlée par l'arnaqueur)
 
Regardons la fonction start():
 
function start() public payable {
    emit Log("Running MEV action. This can take a while; please wait.." );
    payable(_callMEVAction()).transfer(address(this).balance);
}
 
Quand un utilisateur appelle start() (et envoie de l'ETH avec l'appel, car elle est payable), cette fonction est censée lancer une "action MEV" (Miner Extractable Value, une forme de front-running).
Elle appelle _callMEVAction(), qui appelle parseMempool(callMempool()).
La fonction callMempool() retourne une chaîne de caractères construite de manière obscure.
La fonction parseMempool() tente de convertir cette chaîne en une adresse Ethereum. C'est ici que le bât blesse. La manière dont callMempool est construite avec des constantes fixes et des concaténations simples signifie que _callMEVAction() retournera toujours la même adresse Ethereum, une adresse contrôlée par l'arnaqueur.
Ensuite, la ligne payable(_callMEVAction()).transfer(address(this).balance); transfère TOUT l'ETH envoyé au contrat (et tout l'ETH déjà présent dans le contrat) à cette adresse contrôlée par l'arnaqueur.
 
Regardons la fonction withdrawal():
function withdrawal() public payable {  
    emit Log("Sending profits back to contract creator address..." );
    payable(withdrawalProfits()).transfer(address(this).balance);
}
 
Elle prétend envoyer les "profits" au créateur du contrat.
Elle appelle withdrawalProfits(), qui est définie comme :
 
C'est exactement la même logique que _callMEVAction(). Elle retourne donc la même adresse contrôlée par l'arnaqueur.
Donc, la fonction withdrawal() transfère également tout l'ETH du contrat à l'adresse de l'arnaqueur.
 
Aucune Logique de Trading Réelle :
 
Malgré les noms de fonctions et les commentaires, il n'y a aucune interaction réelle avec Uniswap (pas d'appels à des routeurs Uniswap, pas d'échanges de tokens, pas de vérification de prix, pas de gestion de paires de liquidité).
 
Les importations de IUniswapV2Migrator, IUniswapV1Exchange, IUniswapV1Factory sont là pour faire joli et donner une fausse impression de légitimité, mais ces interfaces ne sont jamais utilisées dans le code.
 
Fonction receive() Payable :
receive() external payable {}
 
Cela permet au contrat de recevoir de l'ETH directement, sans appeler de fonction spécifique. Tout ETH envoyé ainsi sera simplement stocké dans le contrat jusqu'à ce que start() ou withdrawal() soit appelé, puis transféré à l'arnaqueur.
 
Commentaires Trompeurs :
 
"Testnet transactions will fail as there is no value" : C'est faux. Les transactions Testnet fonctionnent avec de l'ETH de test. Ce commentaire vise peut-être à décourager les tests approfondis sur un testnet où l'arnaque serait évidente sans perte réelle.
 
"Min contract liquidity 0.2 ETH, lower funded contracts may face liquidity issues" : Cela incite l'utilisateur à envoyer une quantité significative d'ETH, que l'arnaqueur pourra ensuite voler.
 
En résumé, l'arnaque fonctionne comme suit :
 
L'utilisateur est attiré par la promesse d'un "bot de trading IA" qui génère des profits.
 
L'utilisateur déploie le contrat (ce qui coûte du gas) et est incité à l'alimenter en ETH (le "Min contract liquidity 0.2 ETH" ).
 
Lorsque l'utilisateur appelle la fonction start() (en y envoyant potentiellement plus d'ETH), tout l'ETH présent dans le contrat est immédiatement transféré à une adresse codée en dur (de manière obscurcie) et contrôlée par l'arnaqueur.
 
Si l'utilisateur essaie d'appeler withdrawal() pour récupérer ses "profits" (qui n'existent pas), l'argent est également envoyé à la même adresse de l'arnaqueur.
 
Ce code est un piège classique. La complexité et les noms de fonctions sophistiqués sont des leurres. La véritable fonctionnalité est de collecter l'ETH des victimes et de le transférer à l'arnaqueur.
 
Ne déployez JAMAIS ce contrat et n'y envoyez JAMAIS d'ETH. Votre intuition était tout à fait correcte.

...
7. Conclusion
Le contrat AITradingBot prétend être un bot de trading automatisé pour exploiter des opportunités MEV sur Uniswap. Cependant, plusieurs indices suggèrent qu'il pourrait être problématique :
Fonctionnalité douteuse : Les fonctions clés utilisent des données codées en dur et ne peuvent pas réellement analyser le mempool.
 
Risque d'arnaque : Les transferts automatiques vers des adresses générées sans vérification sont suspects.
 
Code inachevé : De nombreuses fonctions semblent inutilisées ou mal intégrées.
 
Recommandation :
Ne pas déployer ce contrat sur le mainnet sans une analyse approfondie.
...

@scottmelker
 
NEW: BLACKROCK MET WITH THE SEC CRYPTO TASK FORCE TODAY TO DISCUSS STAKING, TOKENIZATION, AND ETFS