2024年5月13日晚间，CertiK团队监测到Solana链上一可疑地址：9ZmcRsXnoqE47NfGxBrWKSXtpy8zzKR847BWz6EswEaU（后文统称“小九”）

小九从5月12日到13日，一共在链上发起了约64笔rug pull（退出骗局），每几分钟就有一个。在这短短不到24小时里，小九共计损失金额272个SOL，价值约4.59万美元。

01高投入低回报：揭秘小九的操作手法

那么小九究竟是怎么操作的呢？我们以小九部署的最后一个meme TWS为例。UTC时间5月13日4点05分，小九铸造了99,999,999个TWS。13点18分，小九在Raydium上部署了一个TWS/SOL的流动性池，注入98,999,999.99个TWS和1个SOL；随后，又立即用4个SOL拉盘。

13点22分，也就是4分钟以后，小九将80,160,319.64个TWS换回0.018个SOL后离场。这样的交易每隔几分钟就会发生一次，而小九一直“高投入低回报”，每个池子投入5到10个SOL，最后收回远小于成本的SOL，近半数交易的亏损率都在90%以上。

而从交易记录中，我们不难看出，小九是有意而为之，因为其每次操作，甚至操作的代币数量都一模一样。

02资金谜题：谁在从中获利？

如果小九在亏钱，那谁在赚钱？ 追踪小九的“交易流水”

为了找到答案，首先，我们对小九所有的transfer进行了统计和分析，得到了一份“交易流水”。在这份流水中，找到了小九资金主要流向的地址：

6kt6xT6nZGGmPzJPrQtKPqNrdj5CoiVCuD2xuGQvxJ5Q（小六）

A1bQt2v8NUi3DghZRu8cC6LcpdXHPURDKkrV6v9mCtVC（A1） 操作账户：小六

小六是小九资金的主要流向地址，累计从小九处获得了约272个SOL。然而，小六是小九的子账户（SOL Token Account）。小九通过小六来为meme池加流动性，炒交易量。

下图是一笔小六和小九的关联交易，小九发起交易（为池子添加流动性），通过小六付款，将LP token mint给了另一个地址（5eHgh9QnFTnRQYnCHoc3fzfW6rztkq5GjsuLYpDvDBSa）。而这个5eHgh，根据链上分析，也是由小九创建的，只用于临时持有LP token。在对应的meme被rug pull之后，5eHgh也被销毁。

继任者：A1

A1是资金流入第二大的地址，也比较特殊。A1是小九的继任者，小九在链上的最后一笔交易是发给A1的。而A1不仅继承了小九的6.4个SOL，也继承了小九的事业。在5月13日至15日期间，A1不断在链上制造rug pull（共计83起）。