Tokeny honeypot: dlaczego możesz kupić, ale nigdy nie sprzedasz

Token honeypot to oszukańczy token, którego smart kontrakt pozwala ci kupić, ale nie pozwala sprzedać – albo całkowicie blokując sprzedaż, albo czyniąc ją tak kosztowną, że prawie nic nie odzyskujesz. Wykres wygląda, jakby szedł tylko w górę, bo sprzedawać może wyłącznie twórca, i właśnie ten jednokierunkowy wykres przyciąga nowych kupujących.

Honeypoty są powszechne na zdecentralizowanych giełdach (DEX), gdzie każdy może w kilka minut, bez żadnej weryfikacji, stworzyć token i pulę handlową. Celują w osoby, które kupują w pośpiechu po zobaczeniu modnego tokena, posta o „kolejnym 100x” albo calla na Telegramie. Znajomość ich mechanizmu pozwala rozpoznać większość z nich, zanim cokolwiek wydasz.

Jak działają tokeny honeypot

Na blockchainach takich jak Ethereum i BNB Smart Chain token jest smart kontraktem. Jego funkcja transferu decyduje, czy przelew jest dozwolony i ile dociera do odbiorcy. Honeypot ukrywa w tej funkcji dodatkowe warunki.

Typowe techniki to:

1. 1Blokada sprzedaży. Transfery do puli DEX (bo tym właśnie jest sprzedaż) kończą się niepowodzeniem dla każdego, kogo nie ma na liście dozwolonych.
2. 2Czarne listy. Właściciel może dodać dowolny portfel do czarnej listy, a kontrakt odrzuca jego transfery. Niektóre kontrakty automatycznie dodają do niej każdego kupującego.
3. 3Zmienne podatki. Po tym, jak ludzie kupią, właściciel może podnieść opłatę od sprzedaży do 99% lub 100%, więc sprzedaż nie przynosi prawie nic.
4. 4Ukryte limity sprzedaży. Kontrakt pozwala sprzedać tylko znikomą ilość w jednej transakcji lub w ciągu dnia.
5. 5Przełączniki handlu. Flaga „handel włączony”, którą właściciel może wyłączyć dla wszystkich poza sobą.

Ponieważ twórca nadal może sprzedawać, może zrealizować zyski albo po prostu wycofać płynność (pulę sparowanych aktywów, która umożliwia handel). Często łączy się to z rug pullem.

Sygnały ostrzegawcze przed zakupem

Najbardziej wymownym sygnałem jest lista transakcji. W eksploratorze bloków sprawdź transfery tokena na adres puli. Jeśli dziesiątki portfeli kupiły, a żaden (poza jednym lub dwoma konkretnymi adresami) nie sprzedał, załóż, że to honeypot.

Jak sprawdzić token krok po kroku

1. 1Potwierdź adres kontraktu w oficjalnych źródłach. Nasz poradnik jak sprawdzić oficjalny adres kontraktu tokena pokazuje, jak to zrobić.
2. 2Otwórz kontrakt w eksploratorze bloków i sprawdź, czy kod źródłowy jest zweryfikowany. Niezweryfikowany kod oznacza, że nie widzisz, co on robi.
3. 3Szukaj ryzykownych funkcji, takich jak setFee, setTax, blacklist, setMaxTx, pause, lub funkcji dodających adresy do listy wyłączeń. Ich obecność nie dowodzi oszustwa, ale liczy się to, kto może je wywołać. Nasz artykuł o sprawdzaniu podatków i ograniczeń transferu tokena wyjaśnia, na co zwracać uwagę.
4. 4Sprawdź własność. Czy istnieje adres właściciela i czy zrzeczono się własności? Pamiętaj, że zrzeczenie się własności nic nie da, jeśli kod już zawiera zaszyte na stałe pułapki. Zobacz zrzeczenie się własności w prostych słowach.
5. 5Przejrzyj historię transakcji pod kątem udanych sprzedaży ze zwykłych portfeli.
6. 6Użyj narzędzia do wykrywania honeypotów jako dodatkowego sygnału. Takie narzędzia symulują kupno i sprzedaż oraz podają wynik i podatki.
7. 7Przetestuj bardzo małą kwotą tylko wtedy, gdy wszystko inne wygląda czysto – i pogódź się z tym, że nawet to można zmanipulować.

Dlaczego narzędzia i testowe sprzedaże można oszukać

Oszuści znają te narzędzia. Niektóre honeypoty:

• Pozwalają sprzedawać przez pierwsze minuty lub bloki, a potem włączają ograniczenia.
• Dodają do białej listy adresy, z których narzędzia zwykle przeprowadzają symulacje.
• Przepuszczają małe sprzedaże, ale blokują większe.
• Zachowują funkcję właściciela, która pozwala później podnieść podatki, więc token dziś przechodzi kontrole, a jutro więzi kupujących.

Dlatego uprawnienia właściciela znaczą więcej niż jakikolwiek pojedynczy test. Jeśli jeden portfel może zmienić zasady po twoim zakupie, ufasz mu całkowicie.

Jak honeypoty znajdują ofiary

Honeypoty rzadko zdają się na przypadek. Typowe kanały promocji to:

• Grupy z „callami” na Telegramie i Discordzie, które ogłaszają nowy token jako kolejny wielki hit i często są prowadzone przez samych twórców.
• Listy trendów w serwisach z danymi DEX, gdzie twórcy wielokrotnie kupują własny token, by wspiąć się w rankingu.
• Podrobione nazwy prawdziwych projektów lub modnych tematów, by osoby szukające prawdziwego tokena trafiały na fałszywy.
• Płatne posty i sztuczny hype w mediach społecznościowych, ze zrzutami ekranu rosnącego wykresu.

Jeśli trafiłeś na token którąś z tych dróg, zwolnij. Pośpiech jest częścią pułapki.

Co zrobić, jeśli wpadłeś w pułapkę

Jeśli kupiłeś token, którego nie możesz sprzedać:

• Przestań wysyłać środki. Nie płać nikomu, kto twierdzi, że za opłatą „odblokuje” token lub go odzyska – to oszustwa „na odzyskanie”.
• Cofnij zgody udzielone tokenowi lub powiązanym kontraktom.
• Zgłoś token w interfejsie DEX, w eksploratorze bloków (wiele z nich pozwala oznaczać tokeny) i nam przez nasz formularz zgłoszeniowy, aby ostrzec innych kupujących.
• Zapisz szczegóły (adres kontraktu, hashe transakcji, miejsce, w którym znalazłeś token) na wypadek zgłoszenia sprawy organom ścigania.

Podsumowanie

Honeypot działa, bo kupujący widzą rosnący wykres i zakładają, że mogą wyjść, kiedy zechcą. Przed zakupem nowego tokena potwierdź adres kontraktu, poszukaj w historii transakcji prawdziwych sprzedaży, sprawdź, co może zmienić właściciel, i traktuj narzędzia do wykrywania jako uzupełnienie, a nie wyrok. Jeśli kod lub właściciel mogą uniemożliwić ci sprzedaż, nie kupuj.