Cos’è un honeypot crypto e come riconoscere questo rischio nei token?

Cos’è un honeypot nel crypto?

Un honeypot nel crypto è di solito un token fraudolento che puoi comprare su una DEX, ma poi non puoi vendere, o quasi. Quindi pensi di aver fatto un bel guadagno, ma nel momento in cui vuoi vendere scopri che non è possibile. Per esempio, mandi ETH o una stablecoin in un pool di liquidità e ricevi in cambio il nuovo token. Quando provi a vendere, però, la transazione viene bloccata oppure, a causa di costi estremi, non ti torna praticamente nulla.

Spesso questo tipo di token sembra del tutto normale, come un comune token ERC-20. ERC-20 è uno standard tecnico molto usato su Ethereum. Per questo una crypto wallet riesce a riconoscere il token e, in un’interfaccia DEX, spesso puoi comprarlo senza problemi. Le regole fastidiose sono nascoste nella logica extra dello smart contract, cioè il programma che esegue le regole del token.

Importante da sapere: un token che scende molto, ha poca liquidità o in cui uno swap fallisce non è automaticamente un honeypot. In un vero honeypot si tratta in modo specifico di regole che limitano acquisti, vendite o trasferimenti. Soprattutto l’uscita viene resa impossibile o economicamente inutile.

In breve

• Un honeypot è di solito un token che puoi comprare, ma non vendere normalmente.
• Le regole che bloccano possono essere nascoste nello smart contract del token.
• Un nome normale, un ticker o un pool DEX visibile non significano che un token sia sicuro.
• Controlla sempre l’indirizzo esatto del contratto, la chain giusta e la coppia di trading giusta.
• Combina una simulazione di acquisto e vendita con il controllo dei diritti del contratto e della liquidità.

Come funziona un honeypot nel crypto?

Un honeypot funziona perché il creatore inserisce regole che colpiscono soprattutto i normali acquirenti quando vogliono vendere. Prima viene creato un token e viene aperto un pool di liquidità con, per esempio, ETH o una stablecoin. Gli acquirenti possono mettere nel pool la loro crypto di valore e ricevere in cambio il nuovo token.

La trappola scatta spesso solo quando vuoi rivendere. Per esempio, il token può permetterti di riceverlo, ma bloccare un trasferimento verso l’indirizzo del pool. Tecnicamente, la transazione di vendita viene quindi annullata prima di essere eseguita.

Un modello noto è quello in cui, dopo l’approvazione, un acquirente finisce in blacklist. Un approval è il permesso che dai a uno smart contract per spostare token dal tuo crypto wallet. Se poi il tuo indirizzo finisce in blacklist, un trasferimento di ritorno verso il pool può fallire.

Ci sono altri modi in cui può succedere:

• Whitelist: solo gli indirizzi autorizzati in anticipo possono fare trading. Il creatore può vendere, mentre tu vieni bloccato.
• Pulsante di pausa: chi ha i diritti admin può disattivare i trasferimenti temporaneamente o del tutto.
• Tassa modificabile: la tassa di vendita può essere alzata in seguito fino a livelli estremi. Con il 100%, in pratica, alla vendita non ricevi nulla.
• Limite massimo di vendita: puoi vendere solo una quantità molto piccola, quindi uscire diventa quasi impossibile.
• Logica proxy: dietro lo stesso indirizzo del token può essere inserita un’altra logica. Un proxy è, in parole semplici, uno strato intermedio che permette al funzionamento di un token di cambiare in seguito.

Non ogni blacklist, whitelist, pulsante di pausa o proxy significa automaticamente frode. A volte i token hanno queste funzioni per uno scopo legittimo. Il rischio sta soprattutto nel capire chi ha questi diritti e se quella persona può impedire ai normali holder di vendere.

A volte, dopo gli acquisti, i truffatori tolgono anche la liquidità dal pool. Questo si chiama un rug pull. Un rug pull e un honeypot possono presentarsi insieme, ma non sono esattamente la stessa cosa: in un honeypot resti bloccato dalle regole del token, in un rug pull è soprattutto la liquidità a sparire dal pool.

Come puoi controllare se un token è un honeypot?

Puoi ridurre il rischio di un honeypot controllando il contratto, le possibilità di trading e i diritti del creatore. Fallo idealmente subito prima di comprare, perché impostazioni e liquidità possono cambiare.

Segui questi passaggi:

1. Trova l’indirizzo esatto del contratto

Controlla l’indirizzo del contratto tramite i canali ufficiali del progetto. Un nome e un ticker non bastano: possono esistere token imitazione con esattamente lo stesso nome o la stessa abbreviazione.

2. Scegli la chain giusta e la coppia di trading giusta

Lo stesso nome può esistere su più blockchain. Quindi verifica che tu stia controllando davvero la chain, il token e il pool corretti. Anche la coppia di trading è importante, perché liquidità e regole possono cambiare da un pool all’altro.

3. Guarda il codice in un block explorer

Un block explorer mostra, tra le altre cose, l’indirizzo del contratto, i holder del token e le interazioni del contratto. Se il codice sorgente è verificato con un Exact Match, il codice pubblicato corrisponde completamente al codice inserito. Senza codice verificato, è molto più difficile capire cosa possa fare davvero un token.

4. Fai attenzione ai diritti e alle impostazioni rischiose

Controlla la tassa di vendita e di trasferimento, le tasse modificabili, le funzioni blacklist e whitelist, un pulsante di pausa per i trasferimenti, i diritti di mint e i limiti sulle vendite. I diritti di mint significano che qualcuno può creare nuovi token. Fai attenzione anche ai diritti di modificare i saldi e al potere del proprietario o dell’admin.

5. Controlla se è un proxy

Con un proxy non devi guardare solo l’indirizzo del token, ma anche l’implementazione dietro di esso. L’implementazione contiene la logica reale. Se può essere aggiornata, il funzionamento del token può cambiare in seguito.

6. Usa almeno due tipi di controlli

Combina una simulazione del token con un controllo del codice, dei permessi, della liquidità e dei grandi holder. Uno strumento che non mostra alcun avviso non è la prova che in seguito potrai vendere senza problemi.

Anche uno swap fallito non è subito una prova certa. Uno slippage troppo basso, gas insufficiente, una deadline scaduta, fee del token o un router che non funziona bene con il token possono far fallire comunque una transazione.

Inoltre, non dare mai approval illimitati a un sito sconosciuto solo per fare un piccolo test. Con un approval, uno smart contract può spostare token dal tuo crypto wallet. Quando possibile, scegli un importo limitato e revoca gli approval che non ti servono più.

Come funziona una simulazione del token?

Una simulazione del token serve a controllare se un acquisto e soprattutto una vendita sembrano eseguibili in quel momento per una coppia di trading specifica. Lo strumento guarda le regole attuali del token e del pool, senza che questo debba essere una vera transazione on-chain dal tuo crypto wallet.

Un controllo del genere può mostrare, per esempio, se la simulazione è riuscita, quale messaggio di errore è eventualmente apparso e se ci sono segnali di un honeypot. A volte vedi anche una stima delle tasse di acquisto, vendita e trasferimento, del gas usato e degli importi massimi di acquisto o vendita.

La chain e il pool scelti contano molto. Uno strumento può scegliere il pool con più liquidità, ma non è sempre il pool che stai per usare tu. Controlla quindi sempre che la coppia di trading selezionata corrisponda allo swap che hai in mente.

Esempio: Supponiamo che tu voglia scambiare 100 euro di ETH per un token. La simulazione può mostrare che l’acquisto riesce, ma che una vendita di ritorno in ETH viene bloccata oppure ha una tassa di vendita estremamente alta. Questo è un chiaro segnale di allarme.

Una simulazione resta comunque una fotografia di quel momento. Un proprietario può in seguito modificare una blacklist, cambiare le fee, fare un upgrade o cambiare la liquidità. Anche le regole anti-bot possono influenzare il risultato. Quindi considera una simulazione riuscita come un controllo in più, non come una garanzia.

Quali blockchaintools puoi usare?

Puoi usare più blockchaintools insieme, perché ogni strumento controlla qualcosa di diverso. Insieme danno un quadro migliore rispetto a un solo punteggio di rischio o a una sola spunta verde.

• Honeypot.is: è focalizzato sui controlli honeypot. Questo strumento può mostrare simulazioni di acquisto e vendita, possibili tasse, dati sul gas, limiti, indicatori proxy e holder analysis.
• GoPlus: mostra diversi rischi del token, come un possibile stato honeypot, tasse di acquisto e vendita, un pulsante di pausa per i trasferimenti, funzioni blacklist o whitelist e fee modificabili. Puoi anche vedere dati sui pool DEX e sui grandi holder.
• Etherscan e explorer simili: utili per analizzare da solo l’indirizzo del contratto, il codice verificato, le interazioni del contratto, i holder del token e i dati del proxy. Per altre chain usa un explorer simile.
• Token Sniffer: confronta il codice sorgente e il bytecode con pattern di scam noti e fornisce dati su token, holder e liquidità, oltre a un punteggio di rischio automatico.

Considera questi risultati come segnali, non come un audit completo o un consiglio d’acquisto. Uno strumento può perdere dati, dare un risultato sconosciuto o incontrare un comportamento mostrato solo temporaneamente. Controlla quindi sempre di nuovo che la chain, l’indirizzo del contratto e la coppia di trading siano corretti.

Perché gli investitori possono comprare un honeypot crypto?

Gli investitori possono comprare un honeypot perché, all’esterno, questo tipo di token spesso sembra normale e scambiabile. Il tuo crypto wallet riconosce il token, c’è un pool DEX e l’acquisto può andare a buon fine. Poi vedi persino un saldo nel tuo wallet. Solo quando provi a vendere ti accorgi che qualcosa non va.

I truffatori possono anche usare transazioni finte per far sembrare alto il volume e rapido l’aumento del prezzo. Questo può attirare persone che hanno paura di perdere un’occasione nel mercato crypto, ma non è una caratteristica di ogni nuovo token.

Anche nome e ticker possono trarre in inganno. Un token può usare lo stesso nome o la stessa abbreviazione di un token noto, mentre in realtà si tratta di un contratto completamente diverso. Per questo l’indirizzo del contratto è molto più importante di un logo o di un nome popolare.

Anche una liquidità bassa può rendere una vendita difficile e costosa. Con poca liquidità, la tua vendita ha un impatto maggiore sul prezzo: il tuo ordine spinge quindi il prezzo verso il basso in modo forte. Non è la stessa cosa di un honeypot, ma può comunque far sì che un token apparentemente interessante sia, nella pratica, difficile da vendere.

Un prezzo in crescita, tanto volume, un pool visibile o molti holder non sono quindi la prova che tu possa uscire in sicurezza.

Le coin su un exchange o broker possono essere un honeypot?

L’honeypot classico si trova soprattutto su una DEX, perché le regole del token possono bloccare una vendita verso un pool di liquidità. Se fai trading su una crypto exchange centralizzata, di solito acquisto e vendita avvengono nel sistema interno di quel servizio. Lì non vendi direttamente dal tuo crypto wallet tramite la funzione di vendita ERC-20 del token.

Per questo la parola honeypot si adatta meno direttamente al trading interno su una crypto exchange o su un broker. Ma una quotazione non è affatto un marchio di sicurezza. Lo stesso token sottostante può comunque creare problemi quando lo ritiri nel tuo wallet, lo invii on-chain o provi a venderlo tramite una DEX.

Anche senza un honeypot classico ci sono altri rischi. Pensa a liquidità limitata, delisting, pause nei prelievi, una piattaforma fraudolenta o un prodotto che offre solo esposizione al prezzo invece del vero token on-chain.

Quindi controlla sempre bene cosa stai comprando: il token reale, un credito che il servizio conserva per te, oppure uno degli strumenti di investimento che seguono solo il prezzo. Questa differenza determina dove si trova esattamente il tuo rischio.

Conclusione

Un honeypot crypto è, in parole semplici, un token in cui puoi entrare facilmente, ma da cui poi non puoi più uscire normalmente. Il trucco di solito non sta nell’acquisto, ma in regole nascoste o modificabili legate alla vendita e ai trasferimenti.

Non puoi escludere del tutto il rischio, ma puoi ridurlo parecchio. Usa sempre l’indirizzo esatto del contratto, controlla la chain e il pool giusti, guarda i diritti del contratto e combina tutto con una simulazione di acquisto e vendita. Se ricevi avvisi poco chiari, mancano dati o vedi che un admin ha troppo potere, spesso la scelta più sicura è non fare nulla.