Czym jest honeypot crypto i jak rozpoznać to ryzyko w tokenach?

Czym jest honeypot w krypto?

Honeypot w krypto to zwykle oszukańczy token, który można kupić na DEX, ale później nie da się go sprzedać albo da się to zrobić tylko w bardzo ograniczonym zakresie. Myślisz więc, że osiągnąłeś świetny zysk, ale w chwili sprzedaży okazuje się, że to niemożliwe. Na przykład wysyłasz ETH lub stablecoin do puli płynności i otrzymujesz nowy token. Przy sprzedaży okazuje się jednak, że transakcja jest blokowana albo że przez ekstremalne opłaty praktycznie nic nie odzyskujesz.

Taki token często wygląda jak zwykły token ERC-20. ERC-20 to powszechnie używany standard techniczny w sieci Ethereum. Dzięki temu portfel kryptowalutowy może rozpoznać token, a w interfejsie DEX często da się go kupić bez problemu. Nieprzyjemne reguły są ukryte w dodatkowej logice smart contractu, czyli programu, który wykonuje zasady działania tokena.

Warto wiedzieć: token, który mocno spada, ma mało płynności albo przy którym jedna transakcja swap się nie udaje, nie jest automatycznie honeypotem. W przypadku prawdziwego honeypota chodzi konkretnie o reguły ograniczające kupno, sprzedaż lub transfer. Szczególnie wyjście z pozycji jest wtedy uniemożliwione albo staje się ekonomicznie bezsensowne.

Najważniejsze informacje

• Honeypot to zwykle token, który można kupić, ale nie da się go normalnie sprzedać.
• Blokujące reguły mogą być ukryte w smart contractcie tokena.
• Zwykła nazwa, ticker lub widoczna pula DEX nie oznaczają, że token jest bezpieczny.
• Zawsze sprawdzaj dokładny adres kontraktu, właściwy chain i właściwą parę handlową.
• Łącz symulację kupna i sprzedaży z kontrolą uprawnień kontraktu oraz płynności.

Jak działa honeypot w krypto?

Honeypot działa dlatego, że twórca wbudowuje reguły, które uderzają głównie w zwykłych kupujących, gdy ci chcą sprzedać token. Najpierw token zostaje utworzony i pojawia się pula płynności, na przykład z ETH lub stablecoinem. Kupujący mogą wpłacić swoją wartościową kryptowalutę do tej puli i otrzymują w zamian nowy token.

Pułapka zamyka się często dopiero wtedy, gdy chcesz sprzedać token z powrotem. Token może na przykład pozwalać na jego otrzymanie, ale blokować transfer na adres puli. Technicznie transakcja sprzedaży jest wtedy cofana, zanim zostanie wykonana.

Znanym schematem jest sytuacja, w której kupujący po approval trafia na blacklistę. Approval to zgoda, którą dajesz smart contractowi na przenoszenie tokenów z Twojego portfela kryptowalutowego. Jeśli Twój adres znajdzie się potem na blacklistcie, transfer z powrotem do puli może się nie powieść.

Może się to odbywać także na inne sposoby:

• Whitelist: tylko wcześniej zatwierdzone adresy mogą handlować. Twórca może sprzedawać sam, podczas gdy Ty jesteś blokowany.
• Przycisk pauzy: osoba z uprawnieniami administratora może tymczasowo lub całkowicie wyłączyć transfery.
• Modyfikowalny podatek: podatek od sprzedaży można później ustawić na ekstremalnie wysoki poziom. Przy 100% przy sprzedaży w praktyce nic nie odzyskasz.
• Maksymalny limit sprzedaży: możesz sprzedać najwyżej bardzo małą kwotę, przez co wyjście z pozycji jest prawie niemożliwe.
• Logika proxy: za tym samym adresem tokena można podmienić inną logikę. Proxy to najprościej warstwa pośrednia, dzięki której działanie tokena może się później zmienić.

Nie każda blacklista, whitelist, przycisk pauzy ani proxy oznacza od razu oszustwo. Czasem tokeny mają takie funkcje w uzasadnionym celu. Ryzyko polega przede wszystkim na tym, kto ma te uprawnienia i czy może zablokować zwykłych posiadaczy przy sprzedaży.

Czasem oszuści po zakupach wycofują też płynność z puli. Nazywa się to rug pull. Rug pull i honeypot mogą występować razem, ale nie są dokładnie tym samym: w honeypocie blokują Cię reguły tokena, a przy rug pullu z puli znika przede wszystkim płynność.

Jak sprawdzić, czy token jest honeypotem?

Ryzyko honeypota możesz zmniejszyć, sprawdzając kontrakt, możliwości handlu i uprawnienia twórcy. Najlepiej zrób to tuż przed zakupem, ponieważ ustawienia i płynność mogą się zmieniać.

Postępuj według tych kroków:

1. Znajdź dokładny adres kontraktu

Sprawdź adres kontraktu w oficjalnych kanałach projektu. Sama nazwa i ticker nie wystarczą: mogą istnieć tokeny imitujące z dokładnie taką samą nazwą lub skrótem.

2. Wybierz właściwy chain i właściwą parę handlową

Ta sama nazwa może istnieć na wielu blockchainach. Sprawdź więc, czy analizujesz naprawdę właściwy chain, token i pulę. Ważna jest też para handlowa, ponieważ płynność i zasady mogą się różnić w zależności od puli.

3. Sprawdź kod w block explorerze

Block explorer pokazuje między innymi adres kontraktu, posiadaczy tokena i interakcje z kontraktem. Jeśli kod źródłowy został zweryfikowany jako Exact Match, opublikowany kod w pełni odpowiada kodowi, który został wdrożony. Bez zweryfikowanego kodu znacznie trudniej zobaczyć, co dokładnie może robić token.

4. Zwróć uwagę na ryzykowne uprawnienia i ustawienia

Sprawdź podatek od sprzedaży i transferów, podatki możliwe do zmiany, funkcje blacklist i whitelist, przycisk pauzy dla transferów, prawa mintowania oraz limity sprzedaży. Prawa mintowania oznaczają, że ktoś może tworzyć nowe tokeny. Zwróć też uwagę na uprawnienia do zmiany sald oraz na władzę właściciela lub administratora.

5. Sprawdź, czy to proxy

W przypadku proxy nie wystarczy patrzeć tylko na adres tokena, ale trzeba też sprawdzić implementację stojącą za nim. Implementacja zawiera właściwą logikę. Jeśli można ją aktualizować, działanie tokena może się później zmienić.

6. Użyj co najmniej dwóch rodzajów kontroli

Połącz symulację tokena ze sprawdzeniem kodu, uprawnień, płynności i dużych posiadaczy. Jedno narzędzie bez ostrzeżenia nie jest dowodem, że później bez problemu sprzedasz token.

Nieudany swap też nie jest od razu twardym dowodem. Zbyt niska slippage, niewystarczający gas, wygasły deadline, tokenfees albo router, który nie współpracuje dobrze z tokenem, również mogą spowodować niepowodzenie transakcji.

Poza tym nigdy nie dawaj nieograniczonych approvali nieznanej stronie tylko po to, by wykonać mały test. Approval daje smart contractowi możliwość przenoszenia tokenów z Twojego portfela kryptowalutowego. Jeśli to możliwe, wybieraj ograniczoną kwotę i cofaj approvale, których już nie potrzebujesz.

Jak działa symulacja tokena?

Symulacja tokena pozwala sprawdzić, czy kupno, a zwłaszcza sprzedaż, wydają się w danym momencie możliwe dla konkretnej pary handlowej. Narzędzie analizuje przy tym aktualne zasady tokena i puli, bez konieczności wykonywania prawdziwej transakcji on-chain z Twojego portfela kryptowalutowego.

Taka kontrola może na przykład pokazać, czy symulacja się powiodła, jaki ewentualnie pojawił się komunikat błędu oraz czy są oznaki honeypota. Czasem zobaczysz też szacunkowy podatek od kupna, sprzedaży i transferu, zużycie gas oraz maksymalne kwoty kupna lub sprzedaży.

Duże znaczenie ma tutaj wybrany chain i pula. Narzędzie może wybrać pulę z największą płynnością, ale nie zawsze jest to pula, z której zamierzasz skorzystać. Dlatego zawsze sprawdzaj, czy wybrana para handlowa odpowiada planowanemu swapowi.

Przykład: Załóżmy, że chcesz wymienić ETH o wartości 100 euro na token. Symulacja może pokazać, że zakup się udaje, ale sprzedaż z powrotem na ETH jest blokowana albo obciążona ekstremalnie wysokim podatkiem od sprzedaży. To wyraźny sygnał ostrzegawczy.

Symulacja pozostaje jednak tylko migawką z danego momentu. Właściciel może później zmienić blacklistę, zmodyfikować opłaty, przeprowadzić aktualizację albo zmienić płynność. Reguły antybotowe również mogą wpływać na wynik. Traktuj więc udaną symulację jako dodatkową kontrolę, a nie gwarancję.

Jakich narzędzi blockchain możesz użyć?

Możesz korzystać z kilku narzędzi blockchain jednocześnie, ponieważ każde sprawdza coś innego. Razem dają lepszy obraz niż jeden wynik ryzyka albo jeden zielony znacznik.

• Honeypot.is: narzędzie nastawione na sprawdzanie honeypotów. Może pokazywać symulacje kupna i sprzedaży, możliwe podatki, dane o gas, limity, wskaźniki proxy oraz holder analysis.
• GoPlus: pokazuje różne ryzyka tokena, takie jak możliwy status honeypota, podatek od kupna i sprzedaży, przycisk pauzy dla transferów, funkcje blacklist i whitelist oraz podatki możliwe do zmiany. Możesz też sprawdzić dane o pulach DEX i dużych posiadaczach.
• Etherscan i podobne explorery: przydatne do samodzielnego sprawdzenia adresu kontraktu, zweryfikowanego kodu, interakcji z kontraktem, posiadaczy tokena i danych proxy. W przypadku innych chainów użyj podobnego explorera.
• Token Sniffer: porównuje kod źródłowy i bytecode ze znanymi wzorcami scamów oraz pokazuje dane o tokenie, holderach i płynności, a także automatyczny wynik ryzyka.

Traktuj takie wyniki jako sygnały, a nie pełny audyt czy poradę inwestycyjną. Narzędzie może nie mieć wszystkich danych, może zwrócić niejednoznaczny wynik albo napotkać zachowanie widoczne tylko tymczasowo. Dlatego zawsze ponownie sprawdź, czy chain, adres kontraktu i para handlowa są poprawne.

Dlaczego inwestorzy kupują honeypot crypto?

Inwestorzy mogą kupić honeypot, ponieważ taki token z zewnątrz często wygląda normalnie i daje się handlować. Twój portfel kryptowalutowy rozpoznaje token, istnieje pula DEX, a zakup może się po prostu udać. Potem widzisz nawet saldo w portfelu. Dopiero gdy chcesz sprzedać, zauważasz, że coś jest nie tak.

Oszuści mogą też używać fałszywych transakcji, aby pokazać duży wolumen i szybki wzrost ceny. Może to przyciągać osoby, które boją się przegapić okazję na rynku krypto, ale nie jest to cecha każdego nowego tokena.

Także nazwa i ticker mogą wprowadzać w błąd. Token może używać tej samej nazwy lub skrótu co znany token, choć chodzi o zupełnie inny kontrakt. Dlatego adres kontraktu jest znacznie ważniejszy niż logo czy popularna nazwa.

Niska płynność może dodatkowo utrudnić i podrożyć sprzedaż. Przy małej płynności Twoja sprzedaż ma większy wpływ na cenę: Twoje zlecenie samo mocno ją wtedy obniża. To nie jest to samo co honeypot, ale może sprawić, że atrakcyjny token w praktyce będzie trudno sprzedać.

Rosnąca cena, duży wolumen, widoczna pula czy wielu posiadaczy tokena nie są więc dowodem, że można bezpiecznie wyjść z pozycji.

Czy monety na giełdzie lub u brokera mogą być honeypotem?

Klasyczny honeypot występuje głównie na DEX, ponieważ reguły tokena mogą tam blokować sprzedaż do puli płynności. Jeśli handlujesz na scentralizowanej giełdzie kryptowalut, kupno i sprzedaż odbywają się zwykle w wewnętrznym systemie tego dostawcy. Nie sprzedajesz wtedy bezpośrednio ze swojego portfela kryptowalutowego przez funkcję sprzedaży ERC-20 tokena.

Dlatego słowo honeypot mniej bezpośrednio pasuje do handlu wewnętrznego na giełdzie kryptowalut lub u brokera. Ale samo notowanie zdecydowanie nie jest znakiem jakości. Ten sam token bazowy może nadal sprawiać problemy, gdy wypłacisz go do własnego portfela, wyślesz on-chain albo spróbujesz sprzedać przez DEX.

Nawet bez klasycznego honeypota istnieją inne ryzyka. Chodzi na przykład o ograniczoną płynność, delisting, wstrzymanie wypłat, oszukańczą platformę albo produkt, który daje tylko ekspozycję na cenę zamiast rzeczywistego tokena on-chain.

Dlatego zawsze dokładnie sprawdzaj, co kupujesz: rzeczywisty token, saldo przechowywane przez dostawcę czy jeden z instrumentów inwestycyjnych, które jedynie śledzą cenę. Ta różnica decyduje o tym, gdzie dokładnie leży Twoje ryzyko.

Podsumowanie

Honeypot crypto to najprościej token, do którego łatwo wejść, ale z którego nie da się już normalnie wyjść. Sztuczka zwykle nie tkwi w zakupie, lecz w ukrytych lub zmiennych zasadach dotyczących sprzedaży i transferów.

Nie da się całkowicie wykluczyć tego ryzyka, ale można je wyraźnie zmniejszyć. Zawsze używaj dokładnego adresu kontraktu, sprawdzaj właściwy chain i pulę, analizuj uprawnienia kontraktu i łącz to z symulacją kupna i sprzedaży. Jeśli pojawiają się niejasne ostrzeżenia, brakuje danych albo widzisz, że administrator ma zbyt duże uprawnienia, brak transakcji jest często najbezpieczniejszym wyborem.