O que é uma honeypot em criptomoedas e como reconhecer este risco nos tokens?

O que é uma honeypot em criptomoedas?

Uma honeypot em criptomoedas é, na maioria dos casos, um token fraudulento que pode comprar numa DEX, mas depois não consegue, ou quase não consegue, vender. Ou seja, pensa que tem lucros interessantes, mas, no momento em que quer vender, percebe que isso não é possível. Por exemplo, envia ETH ou uma stablecoin para uma pool de liquidez e recebe o novo token em troca. Numa venda, verifica-se depois que a transação é bloqueada, ou que, devido a custos extremos, praticamente não recebe nada de volta.

Este tipo de token parece muitas vezes um normal token ERC-20. ERC-20 é uma norma técnica muito utilizada na Ethereum. Por isso, uma carteira de criptomoedas consegue reconhecer o token e, numa interface de DEX, muitas vezes pode comprá-lo sem problemas. As regras problemáticas estão escondidas em lógica adicional do smart contract, o programa que executa as regras do token.

Importa saber o seguinte: um token que cai fortemente, tem pouca liquidez ou em que uma swap falha não é automaticamente uma honeypot. Numa honeypot verdadeira, trata-se especificamente de regras que limitam a compra, a venda ou o envio. Em especial, a saída é então tornada impossível ou economicamente inútil.

Pontos principais

• Uma honeypot é, na maioria dos casos, um token que pode comprar, mas não vender normalmente.
• As regras de bloqueio podem estar escondidas no smart contract do token.
• Um nome normal, ticker ou pool visível na DEX não significa que um token seja seguro.
• Verifique sempre o endereço exato do contrato, a chain correta e o par de negociação correto.
• Combine uma simulação de compra e venda com a verificação dos direitos do contrato e da liquidez.

Como funciona uma honeypot em criptomoedas?

Uma honeypot funciona porque o criador incorpora regras que afetam sobretudo os compradores comuns assim que estes querem vender. Primeiro, é criado um token e surge uma pool de liquidez com, por exemplo, ETH ou uma stablecoin. Os compradores podem colocar a sua criptomoeda valiosa nessa pool e recebem em troca o novo token.

A armadilha muitas vezes só se fecha quando quer vender de volta. O token pode, por exemplo, permitir que o receba, mas bloquear uma transferência para o endereço da pool. Tecnicamente, a transação de venda é então revertida antes de ser executada.

Um padrão conhecido é um comprador, após uma approval, ficar numa blacklist. Uma approval é a autorização que dá a um smart contract para mover tokens da sua carteira de criptomoedas. Se o seu endereço ficar depois na blacklist, uma transferência de volta para a pool pode falhar.

Há mais formas de isto acontecer:

• Whitelist: apenas endereços previamente autorizados podem negociar. O criador pode vender, enquanto o utilizador é bloqueado.
• Botão de pausa: alguém com direitos de admin pode desativar temporária ou totalmente as transferências.
• Imposto ajustável: o imposto de venda pode ser definido mais tarde para um valor extremamente elevado. A 100%, na prática, não recebe nada na venda.
• Limite máximo de venda: só pode vender um montante muito pequeno, o que torna a saída quase impossível.
• Lógica proxy: por trás do mesmo endereço do token pode ser colocada outra lógica. Um proxy é, de forma simples, uma camada intermédia que permite alterar mais tarde o funcionamento de um token.

Nem toda a blacklist, whitelist, botão de pausa ou proxy significa fraude de imediato. Por vezes, os tokens têm estas funções para um fim legítimo. O risco está sobretudo na questão de quem tem estes direitos e se essa pessoa pode impedir os detentores comuns de vender.

Por vezes, os fraudadores também retiram a liquidez da pool depois das compras. Isso chama-se um rug pull. Um rug pull e uma honeypot podem ocorrer em conjunto, mas não são exatamente a mesma coisa: numa honeypot, fica preso pelas regras do token; num rug pull, desaparece sobretudo a liquidez da pool.

Como pode verificar se um token é uma honeypot?

Pode reduzir o risco de uma honeypot ao verificar o contrato, as possibilidades de negociação e os direitos do criador. Faça isso, de preferência, pouco antes de comprar, porque as definições e a liquidez podem mudar.

Siga estes passos:

1. Procure o endereço exato do contrato

Verifique o endereço do contrato através dos canais oficiais do projeto. Um nome e um ticker não chegam: podem existir tokens imitadores com exatamente o mesmo nome ou abreviatura.

2. Escolha a chain correta e o par de negociação correto

O mesmo nome pode existir em várias blockchains. Por isso, confirme se está mesmo a verificar a chain, o token e a pool pretendidos. O par de negociação também é importante, porque a liquidez e as regras podem variar de pool para pool.

3. Veja o código num block explorer

Um block explorer mostra, entre outros elementos, o endereço do contrato, os detentores do token e as interações do contrato. Se o código-fonte estiver verificado com um Exact Match, o código publicado corresponde totalmente ao código que foi colocado. Sem código verificado, torna-se muito mais difícil ver o que um token pode fazer exatamente.

4. Preste atenção a direitos e definições de risco

Veja o imposto de venda e de transferência, impostos alteráveis, funções de blacklist e whitelist, um botão de pausa para transferências, direitos de mint e limites de venda. Direitos de mint significam que alguém pode criar novos tokens. Preste também atenção a direitos para alterar saldos e ao poder do proprietário ou do admin.

5. Verifique se é um proxy

Num proxy, não deve olhar apenas para o endereço do token, mas também para a implementação por trás dele. A implementação contém a lógica real. Se essa lógica puder ser atualizada, o funcionamento do token pode mudar mais tarde.

6. Use pelo menos dois tipos de verificação

Combine uma simulação de token com uma verificação do código, das permissões, da liquidez e dos grandes detentores. Uma ferramenta que não apresenta aviso não é prova de que mais tarde conseguirá vender sem problemas.

Uma swap falhada também não é, de imediato, prova absoluta. Slippage demasiado baixo, gás insuficiente, um prazo expirado, taxas do token ou um router que não funciona bem com o token também podem fazer uma transação falhar.

Além disso, nunca dê approvals ilimitados a um site desconhecido só para fazer um pequeno teste. Com uma approval, um smart contract pode mover tokens da sua carteira de criptomoedas. Sempre que possível, escolha um montante limitado e revogue novamente os approvals de que já não precisa.

Como funciona uma simulação de token?

Uma simulação de token permite verificar se uma compra e, sobretudo, uma venda parecem executáveis naquele momento para um par de negociação específico. Para isso, a ferramenta analisa as regras atuais do token e da pool, sem que seja necessária uma transação real on-chain a partir da sua carteira de criptomoedas.

Uma verificação deste tipo pode, por exemplo, mostrar se a simulação foi bem-sucedida, qual foi a mensagem de erro, se existirem, e se há indícios de uma honeypot. Por vezes, também vê uma estimativa do imposto de compra, venda e transferência, do uso de gás e dos montantes máximos de compra ou venda.

A chain e a pool escolhidas fazem aqui muita diferença. Uma ferramenta pode escolher uma pool com a maior liquidez, mas essa nem sempre é a pool que está prestes a utilizar. Por isso, confirme sempre se o par de negociação selecionado corresponde à swap que planeou.

Exemplo: Suponha que quer trocar 100 euros em ETH por um token. A simulação pode mostrar que a compra funciona, mas que uma venda de volta para ETH é bloqueada ou tem um imposto de venda extremamente elevado. Isso é um sinal de alerta claro.

Ainda assim, uma simulação continua a ser uma fotografia de um momento. Mais tarde, um proprietário pode alterar uma blacklist, mudar fees, fazer uma atualização ou alterar a liquidez. Regras anti-bot também podem influenciar o resultado. Por isso, veja uma simulação bem-sucedida como uma verificação adicional, não como uma garantia.

Que ferramentas de blockchain pode usar?

Pode usar várias ferramentas de blockchain em paralelo, porque cada ferramenta verifica algo diferente. Em conjunto, dão uma imagem melhor do que uma única pontuação de risco ou um único visto verde.

• Honeypot.is: focada em verificações de honeypot. Esta ferramenta pode mostrar simulações de compra e venda, possíveis impostos, dados de gás, limites, indicadores de proxy e análise de holders.
• GoPlus: mostra vários riscos do token, como um possível estado de honeypot, imposto de compra e venda, um botão de pausa para transferências, funções de blacklist ou whitelist e fees ajustáveis. Também pode ver dados sobre pools de DEX e grandes detentores.
• Etherscan e exploradores semelhantes: úteis para investigar por si o endereço do contrato, o código verificado, as interações do contrato, os detentores do token e os dados de proxy. Para outras chains, use um explorador semelhante.
• Token Sniffer: compara o código-fonte e o bytecode com padrões de scam conhecidos e fornece dados sobre o token, os holders e a liquidez, além de uma pontuação de risco automatizada.

Veja estes resultados como sinais, não como uma auditoria completa ou uma recomendação de compra. Uma ferramenta pode não ter dados, apresentar um resultado desconhecido ou encontrar comportamento que só é mostrado temporariamente. Por isso, confirme sempre novamente se a chain, o endereço do contrato e o par de negociação estão corretos.

Porque é que os investidores podem comprar uma honeypot em criptomoedas?

Os investidores podem comprar uma honeypot porque, à superfície, este tipo de token muitas vezes parece normal e negociável. A sua carteira de criptomoedas reconhece o token, existe uma pool de DEX e a compra pode ser concluída sem problemas. Depois, até vê um saldo na sua carteira. Só quando quer vender é que percebe que algo está errado.

Os fraudadores também podem usar transações falsas para fazer parecer que existe muito volume e uma subida rápida do preço. Isso pode atrair pessoas que têm medo de perder uma oportunidade no mercado das criptomoedas, mas não é uma característica de cada novo token.

O nome e o ticker também podem induzir em erro. Um token pode usar o mesmo nome ou abreviatura de um token conhecido, embora se trate de um contrato completamente diferente. Por isso, o endereço do contrato é muito mais importante do que um logótipo ou um nome popular.

A baixa liquidez também pode tornar uma venda difícil e cara. Com pouca liquidez, a sua venda tem mais impacto no preço: a sua ordem empurra o preço fortemente para baixo. Isso não é o mesmo que uma honeypot, mas pode fazer com que um token aparentemente atrativo seja, na prática, difícil de vender.

Um preço em subida, muito volume, uma pool visível ou muitos detentores de tokens não são, portanto, prova de que também consegue sair em segurança.

As coins numa exchange ou broker podem ser uma honeypot?

A honeypot clássica aparece sobretudo numa DEX, porque as regras do token podem bloquear uma venda para uma pool de liquidez. Se negociar numa exchange de criptomoedas centralizada, a compra e a venda decorrem, na maioria dos casos, dentro do sistema interno desse prestador. Aí, não vende diretamente a partir da sua própria carteira de criptomoedas através da função de venda ERC-20 do token.

Por isso, a palavra honeypot encaixa menos diretamente na negociação interna numa exchange de criptomoedas ou num broker. Mas uma listagem não é, de forma alguma, um selo de qualidade. O mesmo token subjacente pode continuar a ser problemático assim que o levantar para a sua própria carteira, o enviar on-chain ou tentar vendê-lo através de uma DEX.

Mesmo sem uma honeypot clássica, existem outros riscos. Pense em liquidez limitada, numa delisting, em pausas de levantamento, numa plataforma fraudulenta ou num produto que apenas dá exposição ao preço em vez do verdadeiro token on-chain.

Por isso, veja sempre com atenção o que está a comprar: o token real, um saldo que o prestador guarda para si, ou um dos instrumentos de investimento que apenas seguem o preço. Essa diferença determina exatamente onde está o seu risco.

Conclusão

Uma honeypot em criptomoedas é, de forma simples, um token em que pode entrar facilmente, mas de onde já não consegue sair normalmente. O truque está, na maioria dos casos, não na compra, mas em regras escondidas ou alteráveis sobre vendas e transferências.

Não pode excluir totalmente o risco, mas pode reduzi-lo bastante. Use sempre o endereço exato do contrato, verifique a chain e a pool corretas, analise os direitos do contrato e combine isso com uma simulação de compra e venda. Se receber avisos pouco claros, faltarem dados ou vir que um admin tem poder a mais, muitas vezes não negociar é a escolha mais segura.