利用Meme币洗白Rug Pull项目资金，揭秘PEPE操盘手真身

原文 | NFTethics

整理 | Odaily星球日报

如果你是 Meme 币爱好者，一定听过今年最火的项目 PEPE 的大名，并且可能也听过相关的财富神话。比如，一些所谓的「 Smart Money」地址自 PEPE 发行之初花费 100 美元买入且从未下车，最终收益几万倍（链上数据可以证实）。

普通人为什么无法成为最早上车的一波人，抓住「万倍币」？因为，这类项目获利最多有且只有操盘手，他们可以买在谷底并在山顶逃走；甚至于，这类 Meme 项目创立初衷，也只是帮一些黑钱洗白。

最近，X 平台（原 Twitter ）用户 「NFTethics」 刊发了多条长文，通过缜密的链上分析以及各类佐证，确定了 PEPE 背后操盘手的真实身份。总结一下其推文相关要点，如下：

一、 2021 年 11 月 Rug Pull 项目 AnubisDAO 的资金，借助今年大火的 PEPE 项目洗白，而在背后操盘的是匿名且知名 DeFi 投资人 Sisyphus 。

一、Sisyphus 真实身份是 OpenSea Ventures 负责人 Kevin Pawlak，现在生活奢靡；

二、Sisyphus（即 Kevin Pawlak ）是 AnubisDAO 项目背后真正的主导者，其通过黑客手段获得了当时项目管理者私钥并转移了资金，成功找到替罪羊「甩锅」，逍遥法外。

最新的消息是，OpenSea 发言人对此事作出回复：“Kevin Pawlak 于 2023 年 6 月离职，在 OpenSea 期间工作范围有限，担任非管理职位，不知道他是否参与 AnubisDAO Rug 事件。此外，我们与相关项目没有任何联系，也没有相关信息，因为这些项目是在他加入 OpenSea 之前进行的。”

一、Anubis 项目 Rug 资金借助 PEPE 拉盘洗白

时间回到 2021 年 11 月，OlympusDAO 的仿盘项目 AnubisDAO（代币 ANKH）在进行了 LBP（流动性引导池）后筹集了 13256.4 ETH（彼时价值约 5700 万美元）。但很快，管理人员发现这些资金被转至另一个新地址中，此时 LBP 已经进行 20 个小时，尚未到达结束时间。

我们故事的主人公 Sisyphus 在 AnubisDAO 中扮演什么角色呢？明面上是项目的宣传大使，暗地里却是主导者（后文会介绍）。

在 AnubisDAO 资金被卷走前一天，Sisyphus 还在 Discord 社区中大肆鼓吹该项目，并且宣称自己已经买了 42 万美元（记住这个知识点，要考），接下来还会买更多；并且，为了打消大家的后顾之忧，Sisyphus 还表示这个项目永远不会 Rug，即便开发不顺利，最后大家也会拿回本金。

（Sisyphus 社区营销录音）

结果，第二天，项目真的 Rug 了。Sisyphus 第一时间写了长篇小作文，撇清自己的责任，同时表示已经和美国和中国香港的执法机构接触，呼吁黑客尽快还钱。此后，Sisyphus 就没了下文，也不再更新 AnubisDAO 相关动态，似乎 42 万美元真的只是一笔小钱。

当然，黑客也没有归还 AnubisDAO 被盗资金。在过去近两年中，这些被盗不断转入各类混币器以及无需 KYC 的平台进行洗白。其中一个钱包（Anubis Rug 3）地址，就与塞席尔一家无需 KYC 的平台 FixedFloat 进行交互——该钱包 Gas 由 FixedFloat 发送。如下所示：

（Anubis Rug 3）

有意思的是，PEPE 项目早期持有者的启动资金也是来自 FixedFloat 平台，比如 Zach Testa（账号：DegenHarambe）以及 Max Zim（账户：SumFattyTuna ) 。特别是 Zach Testa，在 4 月 14 日 PEPE 代币合约发布仅仅几分钟就买入了，随后发布项目推文；3 分钟后，Max Zim 立刻转发推文并且同样买入 PEPE。整个过程看起来非常丝滑，似乎一切看起来就像是排练好的。

而 Sisyphus 与 Zach Testa 以及 Max Zim 之间的关系非常密切，有消息称 Zim 是 Sisyphus 的前室友。在 AnubisDAO Rug 之前，Sisyphus 的钱包就曾与 Zim 进行过转账互动；并且，二人还曾一起参与节目访谈——Sisyphus 没有真人出镜。

（钱包互动纪录）

4 月 17 日，Sisyphus 发布推文称，“周末有人用一种名为「pepe」的代币将 0.02 ETH 变成成 63 ETH”，并贴出了 0x 5 DD 开头的某地址。Zim 立即回应了 Sisyphus 的帖子，二人进行了互动。

有意思的是， 0x 5 DD 开头的地址，在 4 月 7 日收到了来自 FixFloat 平台的启动资金。另外， 4 月 7 日这一天，还有另外一个版本的「PEPE」代币（为了区分称为 aPEPE）也进行了首发，与目前大家熟知版本的 PEPE 有着相同的合约以及同一早期批持有者。比如，Zim 就在 4 月 7 日 aPEPE 发售之初入场购买了——但他却在后面的社区采访中说自己此前从没有听过 PEPE。似乎，从一开始，Zim 就知道 PEPE 币要涨。

（Zim 做客节目称自己第一次知道 PEPE）

巧合之处远不止上面这些。当 Anubis Rug 3 钱包转账 3000 ETH 后 2 分钟，Zim 钱包地址开始进行链上交互买入 PEPE；并且调查发现，与 Anubis Rug 关联的钱包处于活跃状态转账时，Zim 钱包似乎都在进行与 PEPE 有关的操作。

（Zim 钱包与 Anubis Rug 钱包同频活跃）

另外，Anubis 资金主要通过 Stake 等平台进行洗钱；而与 PEPE 有关的资金钱包地址，也在 PEPE 上线日（4 月 14 日）后将大量资金转移到 Stake，并从 Stake 转移到 FixFloat。并且，Anubis 被盗资金大部分在今年 3 月～ 7 月转出，与 PEPE 生长周期基本重叠/同步，二者之间存在极深的关联，被盗资金可能通过炒作 PEPE 洗白。

关于 Anubis 被盗资金完整去向，还需要一些 CEX、OTC 平台联手行动——有一部分资金流入了需要 KYC 的平台。Anubis 被盗资金与 PEPE 炒作究竟有没有关联，还需要更多证据验证。

补充一个细节，今年 8 月， PEPE 团队内讧 ，几名前成员私自删除多签权限抛售代币，最后官方发了一张含糊其辞的公告。

二、Sisyphus 主导 Anubis，并设计自行 Rug

博主「NFTethics」获得了 Anubis 资金被盗前几天该团队成员的 内部聊天日志 。

根据调查推理，Sisyphus 似乎是该项目背后真正的首脑，几乎所有事情都需要他的批准和签署，包括每条发布推文的确切措辞以及每个技术/财务问题。而且，项目 Rug Pull 似乎也是 Sisyphus 自导自演，并成功让另一位成员「Beerus」为此背锅。

（团队分工）

在团队分工表中，Sisyphus 对自己的定位是「负责对外公关并帮助将 DAO 成员团结在一起」，但实际上他是负责人进行发号施令。

团队成员「AureliusBTC」在聊天中说：“我们中没人真正了解 LBP（流动性引导池），但只要 Sisyphus 懂就行了。”。当另外一位成员「Beerus」发帖对外官宣有新成员加入 Anubis 时，Sisyphus 立即指示他删除该推文，Beerus 照做了。并且，Sisyphus 还在聊天记录中表示，自己与 Alameda Research（SBF 旗下加密公司）有联系，并且对方也购买了 Anubis 的代币 ANKH。

（Sisyphus 介绍 LBP 相关情况）

让我们把目光收回到 Anubis 被抽干流动性这件事。事件发生后，Sisyphus 对外声称，「DAO 成员同意让 Beerus 部署 LBP，因为他们要么没空，要么不想负责」。但在内部聊天中，没有证据支持这一说法——事实上，Sisyphus 最开始提到他们用的是「有史以来最好的多重签名」，而在后面聊天中他却说自己没办法签字授权——因此，猜测他可能是通过这种方式将原来的多签改成由 Beerus 单独负责，从而为后面攻击埋下伏笔。接下来故事的时间线如下：

• 10 月 28 日深夜，Sisyphus 提到自己要睡觉了，打算睡 6 个小时，最后一条讯息停留在 00: 16 ；

• 第二天早上加入聊天时，时间是上午 07: 18 ，中间还在群里回答了几个问题；

• 07: 20 ，掌握着 LBP 管理权限的「Beerus」的邮箱，收到一封来自 Sisyphus 电子邮件地址的电子邮件——包含一份带有 SAFT（未来代币简单协议）的 PDF——Beerus 在案发后提到，这个 PDF 含有木马病毒，损害了自己电脑并窃取了 LBP 管理权限；

• 07: 26 ，Sisyphus 与 Beerus 沟通交流了一段时间，并提醒后者在 LBP 结束前保持清醒，一直交流到 07: 44 ，此时距离 LBP 结束还有 4 小时；

• 07: 48 ，LBP 资金耗尽，所有 ETH 被管理账户提取到一个新地址，仅留下一堆没有价值的 ANKH 代币。

根据事后调查， Copper 平台和 Balancer 的智能合约均未被攻破或破坏。也就是说，LBP 创建者的 Beerus 钱包帐户要么像他说的一样被入侵，要么就是自导自演。而 Sisyphus 则声称，自己的电子邮箱地址从未发过这个邮件。

（Beerus 称自己收到病毒邮件）

到底谁在说谎？我们从一些侧面信息进行推论。首先，不只有 Beerus 收到邮件，其他 VC 联络人都收到了——所不同的是，Beerus 是在上午 07: 20 收到 PDF 电子邮件，而其他人迟了半小时，有的甚至迟了好几个小时。一个可能的解释是，攻击者群发邮件是为了混淆攻击目标，而且还提前预留了让 Beerus 打开 PDF 攻击计算机的时间。

再者，事后对其他收到的 PDF 进行分析时，没有可见的反欺骗警告。 SPF 不会标记 Gmail 地址，除非该地址实际上并非来自 Gmail；根据照片，该地址很有可能发送了实际的电子邮件。换句话说，这些电子邮件真的是从 Sisyphus 真实电子邮件地址发出的——而 Sisyphus 信誓旦旦说自己没发送过邮件，还在群里装傻地问「这是什么意思」。

另外，对其他人电子邮件分析发现，没有装载木马病毒——实际上可能只有 Beerus 的才有病毒，事后他也向香港警方提交了自己的电脑以证清白（目前没有最新进展，事件似乎不了了之）。

问题来了，攻击者是怎么知道 Beerus 掌握 LBP 管理权限？除了一些内部人士之外，没有人知道 Beerus 是（唯一）拥有控制权的人。事实上，Anubis 团队成员 Convex 就在群聊中提到了这一点：“为什么 Beerus 甚至会收到恶意软件？他成为攻击目标是没有意义的。众所周知，我和 aureliusBTC 才是开发人员，更像是掌握私钥的。外人根本不清楚 Beerus 的具体情况。 ”

有意思的是，Sisyphus 还追问 Beerus：“伙计，你点击了什么？”这时，Beerus 还没有跟大家透露他点击了那个恶意电子邮件 PDF，其他人都不知道，Sisyphus 又是怎么知道的？

在 LBP 资金池被抽干后，Sisyphus 指责 Beerus 对项目实施了 Rug，并说「你把我的名声毁了」。并且，Sisyphus 还发布了攻击者的 IP 位址，并提到它来自 Beerus 居住的香港——实际上，这个 IP 地址来自通过第三方 VPS 供应商，可以租用不同地区服务器，不具备参考价值。后来，Beerus 被投资者人肉出真实身份，系是香港赛马界的知名人物张顺正的儿子，时年 19 岁。

还有一个细节，前文中提到的 PEPE 早期参与者 Max Zim，也参与了 Anubis 这次的发售。事后，他还在 Twitter 上为 Sisyphus 辩护，毕竟二人关系莫逆。

三、Sisyphus 再开小号，真身系 OpenSea Ventures 负责人 Kevin Pawlak

诚如我们前文所说，号称在 Anubis 项目上投资了 42 万美元的 Sisyphus，在项目 Rug 后一点也不失落。在发了一篇小作文撇清自己的责任后，就不再关注后续进展。

11 月 6 日（攻击发生一周），Sisyphus 在 Twitter 上再开了另一个账户，化名「0x Magallan」（现在已注销）。该账户在过去两年中异常活跃，累计发文超过 5000 条，参与各种项目营销，账户包含 ferdinand-magellan.eth 和 ukrainedonations.eth 两个钱包地址。

实际上，Sisyphus（Kevin Pawlak）有争议的地方还有很多。比如，他曾经购买价值昂贵的 NFT Etherrock 72 ，并将其在 NFT 碎片化协议 Fractional 进行碎片化为 PEBBLE 代币，并以极高的溢价出售。以 ETH 计价，PEBBLE 代币据高点跌幅超 99% 。该项目已于 2023 年关停，结束所有业务；PEBBLE 的官网 pebble.xyz 也已经过期，处于售卖阶段。

似乎一直以来，都没人见过 Sisyphus 以及 0x Magallan 的真身，网上也从没有相关资料。不过，「NFTethics」还是通过 各种链上信息 以及多个来源确认了其真实身份，系 OpenSea Ventures 负责人 Kevin Pawlak。

Kevin Pawlak

首先，pawlak.eth 和 sisyphus.eth 地址上的时间戳完全匹配。链上数据显示，他们都在间隔 1 分钟内铸造了 Zorbs (ZORB)，并且他们还在 10 分钟内铸造了 sismo.eth DAO (SDAO），同时其他链上操作间隔时间也很短，账户基本同频活跃。

有意思的是，Kevin Pawlak 还经常用「Sisyphus」这个小号，发表一些对 OpenSea 的批评帖子——也许是想给他们施加一些压力，让 Opensea 能够推出一个他能从中受益最多的项目，也许只是发发牢骚。

包括 The Block 的记者 Tim Copeland 在内的更多人证实，Sisyphus 的真实身份确实是 Kevin Pawlak——实际上他的身份在小圈子里众所周知。现在，他将钱包重命名为 pawlak.eth。钱包地址为： 0xBB5BB336d1Db8471B77F936C210B15fa2A5b3cbb 。

Kevin Pawlak 很聪明，是英特尔科学人才半决赛选手，拥有化学工程学位，想成为外科医生/科学研究人员，但认识他的人提到了他的阴暗面：无情、不道德、反社会，可以毫无良心/悔恨地撒谎。

去年 10 月，Kevin Pawlak 以 330 万美元购买了纽约的另一处房产。据消息人士称，Kevin Pawlak 最近在法国购买了一辆劳斯莱斯和兰博基尼（价值超过 100 万美元），并在私下里炫耀他的财富和奢侈的生活方式。

（Kevin Pawlak 新房）

目前，Kevin Pawlak（Sisyphus）尚未对外界质疑进行正面回应。若有最新动态，Odaily星球日报也将第一时间关注报道。