Токени-honeypot: чому купити можна, а продати — ніколи

Токен-honeypot — це шахрайський токен, смартконтракт якого дозволяє купити, але не дає продати: або повністю блокує продажі, або робить їх настільки дорогими, що ви майже нічого не отримуєте назад. Графік виглядає так, ніби ціна лише зростає, бо продавати може тільки творець, — і саме цей односторонній графік заманює нових покупців.

Honeypot часто трапляються на децентралізованих біржах (DEX), де будь-хто за кілька хвилин і без жодної перевірки може створити токен і торговий пул. Їхня мета — люди, які поспіхом купують, побачивши трендовий токен, пост про «наступний 100x» або кол у Telegram. Розуміючи, як вони влаштовані, ви зможете розпізнати більшість із них ще до того, як щось витратите.

Як працюють токени-honeypot

У блокчейнах на кшталт Ethereum і BNB Smart Chain токен — це смартконтракт. Його функція переказу вирішує, чи дозволено переказ і скільки дійде до отримувача. Honeypot ховає в цій функції додаткові умови.

Поширені прийоми:

1. 1Блокування продажів. Перекази до пулу DEX (а продаж — це саме такий переказ) не проходять у всіх, кого немає в списку дозволених.
2. 2Чорні списки. Власник може внести будь-який гаманець до чорного списку, і контракт відхилятиме його перекази. Деякі контракти автоматично вносять туди кожного покупця.
3. 3Регульовані податки. Після того як люди купили, власник може підняти комісію за продаж до 99% або 100%, і продаж майже нічого не принесе.
4. 4Приховані ліміти продажу. Контракт дозволяє продати лише крихітну кількість за одну транзакцію або на день.
5. 5Вимикачі торгівлі. Прапорець «торгівлю ввімкнено», який власник може вимкнути для всіх, крім себе.

Оскільки творець і далі може продавати, він може зафіксувати прибуток або просто вивести ліквідність (пул парних активів, завдяки якому можлива торгівля). Часто це поєднується з rug pull.

Тривожні сигнали до купівлі

Найпоказовіший сигнал — список транзакцій. В оглядачі блоків перегляньте перекази токена на адресу пулу. Якщо десятки гаманців купили й жоден (крім однієї-двох конкретних адрес) не продав, виходьте з того, що це honeypot.

Як перевірити токен крок за кроком

1. 1Підтвердьте адресу контракту за офіційними джерелами. Наш посібник про те, як перевірити офіційну адресу контракту токена, показує, як це зробити.
2. 2Відкрийте контракт в оглядачі блоків і перевірте, чи верифіковано вихідний код. Неверифікований код означає, що ви не бачите, що він робить.
3. 3Шукайте ризиковані функції: setFee, setTax, blacklist, setMaxTx, pause або функції, що додають адреси до списку винятків. Їхня наявність не доводить шахрайства, але важливо, хто може їх викликати. Наша стаття про те, як перевірити податки токена та обмеження на перекази, пояснює, на що дивитися.
4. 4Перевірте володіння. Чи є адреса власника і чи було здійснено відмову від володіння? Зважайте, що відмова від володіння не допоможе, якщо в коді вже жорстко прописані пастки. Див. статтю про відмову від володіння контрактом.
5. 5Вивчіть історію угод у пошуках успішних продажів зі звичайних гаманців.
6. 6Запустіть сервіс перевірки на honeypot як додатковий сигнал. Такі сервіси симулюють купівлю й продаж і повідомляють результат і податки.
7. 7Проведіть тест на крихітну суму, лише якщо все інше виглядає чисто, — і змиріться з тим, що навіть це можна обійти.

Чому сервіси перевірки й тестові продажі можна обдурити

Шахраї знають про ці інструменти. Деякі honeypot:

• Дозволяють продажі в перші хвилини чи блоки, а потім вмикають обмеження.
• Вносять до білого списку адреси, з яких зазвичай виконують симуляцію сервіси перевірки.
• Пропускають дрібні продажі, але блокують великі.
• Зберігають функцію власника, що дає змогу пізніше підняти податки, — так токен сьогодні проходить перевірки, а завтра замикає покупців.

Тому повноваження власника важливіші за будь-який окремий тест. Якщо один гаманець може змінити правила після вашої купівлі, ви повністю довіряєте цьому гаманцю.

Як honeypot знаходять своїх жертв

Honeypot рідко покладаються на випадок. Типові канали просування:

• «Кол»-групи в Telegram і Discord, які оголошують новий токен наступним великим хітом і часто керуються самими творцями.
• Списки трендів на сайтах із даними DEX, де творці раз у раз купують власний токен, щоб піднятися в рейтингу.
• Назви-підробки під реальні проєкти чи популярні теми, щоб люди, які шукають справжній токен, знаходили фальшивий.
• Платні пости й штучний ажіотаж у соцмережах зі скриншотами зростаючого графіка.

Якщо ви знайшли токен одним із цих шляхів, пригальмуйте. Поспіх — частина пастки.

Що робити, якщо ви потрапили в пастку

Якщо ви купили токен, який не можете продати:

• Припиніть надсилати кошти. Не платіть тим, хто стверджує, що може «розблокувати» токен або повернути його за комісію, — це афери з поверненням коштів.
• Відкличте дозволи, надані токену або пов’язаним контрактам.
• Повідомте про токен в інтерфейсі DEX, в оглядачі блоків (багато з них дозволяють позначати токени) і нам через нашу форму для повідомлень, щоб попередити інших покупців.
• Збережіть дані (адресу контракту, хеші транзакцій, де ви знайшли токен) на випадок звернення до правоохоронних органів.

Підсумок

Honeypot працює тому, що покупці бачать зростаючий графік і вважають, що зможуть вийти будь-коли. Перш ніж купувати новий токен, підтвердьте адресу контракту, пошукайте в історії угод реальні продажі, перевірте, що може змінювати власник, і ставтеся до сервісів перевірки як до доповнення, а не до вироку. Якщо код або власник можуть завадити вам продати, не купуйте.