Token honeypot: la truffa senza uscita

Cos'è un token honeypot?

Un honeypot è un token costruito perché tu possa comprarlo ma non rivenderlo. Il nome viene dall'immagine del barattolo di miele: l'ingresso è invitante, l'uscita non esiste. Il grafico sale, il valore nel wallet cresce, e nel momento in cui provi a vendere la transazione fallisce, o ti restituisce quasi niente, con un errore che sembra tecnico.

È diverso da un rug pull. In un rug pull il progetto ritira la liquidità e il prezzo va a zero: ci hai rimesso, ma potevi uscire prima. In un honeypot non è mai esistita una via d'uscita, nemmeno il primo minuto.

Come funziona su Solana

Chi arriva da Ethereum si aspetta un contratto scritto su misura, con un blocco cucito dentro la funzione di trasferimento. Su Solana quasi tutti i token usano lo stesso programma standard, quindi il trucco non sta in un contratto personalizzato. Sta altrove, e i modi sono principalmente tre.

• Freeze authority attiva. Chi la detiene può congelare l'account token di qualsiasi indirizzo, uno per uno. Compri, e quando provi a vendere scopri che il tuo account è stato congelato. Il resto del mercato continua a funzionare, quindi il grafico non tradisce nulla. È un metodo diffuso, perché non richiede scrivere una riga di codice.
• Estensioni Token-2022. Il nuovo standard permette funzioni aggiuntive, e alcune sono fatte apposta per il controllo: un transfer hook che esegue un programma a ogni movimento e può rifiutarlo, oppure una commissione di trasferimento portata a livelli che rendono la vendita priva di senso.
• Liquidità finta. Il pool è minuscolo rispetto al valore dichiarato del token, o è controllato da chi lo ha lanciato. Tecnicamente puoi vendere, ma ricevi pochi spiccioli, perché dall'altra parte non c'è niente che ti compri.

Va detto che buona parte di queste funzioni esiste per motivi onesti, e la maggior parte dei token che le usano è legittima. Ognuna è descritta nella documentazione di Solana sulle estensioni dei token. Per il quadro completo di cosa può e cosa non può fare lo standard esteso, leggi il confronto tra Token-2022 e SPL.

I segnali che lo tradiscono

Nessuno di questi da solo è una prova. Insieme sono un quadro piuttosto chiaro.

La freeze authority non è stata revocata. Su un token pensato per essere scambiato liberamente di solito non serve, e chi lancia in modo corretto la revoca fin dall'inizio. Se è ancora attiva su una moneta che si presenta come una meme coin da comprare subito, la domanda su chi ne ha bisogno e perché resta senza risposta.

Nessuno ha mai venduto. È il segnale più forte e il più facile da controllare. Se nella cronologia degli scambi trovi solo acquisti, non stai guardando un token che tutti vogliono tenere: stai guardando un token che nessuno riesce a mollare.

La supply è concentrata. Se un pugno di wallet possiede quasi tutto e quei wallet sono nati la settimana scorsa, il mercato che vedi è una messa in scena. Lo strumento di snapshot degli holder ti dà la lista completa degli holder con la quota di ciascuno.

I compratori sono tutti collegati. Trenta indirizzi finanziati dallo stesso wallet la stessa mattina non sono trenta persone interessate. Con l'analisi in blocco di una lista di wallet i cluster di finanziamento vengono fuori subito.

Il token è Token-2022 e nessuno lo dichiara. Lo standard nuovo non è sospetto in sé, anzi è utile per casi legittimi. Diventa un segnale quando un progetto lo usa e non spiega quali estensioni ha attivato.

Il controllo pratico prima di entrare

La sequenza che uso richiede un paio di minuti.

Primo, guarda lo stato delle authority sull'explorer. Mint authority e freeze authority devono risultare revocate, oppure il progetto deve avere una ragione dichiarata per tenerle.

Secondo, apri la cronologia degli scambi e cerca vendite riuscite, non solo acquisti. Se in centinaia di transazioni non c'è una sola uscita, hai finito: quello è il tuo verdetto.

Terzo, guarda la distribuzione. Un token dove i primi dieci indirizzi hanno il novanta per cento è un rischio a prescindere dall'honeypot.

Quarto, se vuoi comunque entrare, parti con una cifra minima e prova subito a uscire. Un giro di prova con lo strumento di swap su Solana ti costa frazioni di centesimo di commissione di rete e ti dice in dieci secondi quello che nessuna analisi ti dice con certezza. Se la vendita fallisce pur essendoci liquidità nel pool, la risposta ce l'hai.

Se ci sei già dentro

Le opzioni sono poche e vanno dette senza giri di parole. Se il tuo account è stato congelato, l'unico che può scongelarlo è chi detiene la freeze authority, e difficilmente lo farà. Se il blocco è un transfer hook, non c'è nulla da fare dal lato tuo. Se invece è la liquidità a essere sparita, il token si può ancora trasferire ma non ha un mercato.

Quello che puoi fare è chiudere la partita in modo ordinato: non aggiungere altro capitale sperando in un recupero, non pagare nessuno che promette di recuperare i fondi, perché è la seconda truffa, quella che arriva dopo la prima. Segnala invece il token sull'explorer o sulla piattaforma dove l'hai trovato, così viene contrassegnato prima che arrivi il prossimo compratore.

Un token honeypot e un rug pull condividono la stessa vetrina: entrambi puntano su finto volume iniziale e su wallet nuovi e anonimi, e chi crea un honeypot spesso svuota la liquidità rimasta quando gli acquisti rallentano. Qui abbiamo parlato del lato honeypot; per la lista più ampia dei controlli c'è la guida su come riconoscere un rug pull su Solana con 8 controlli.

Gli honeypot sono una trappola fra tante, e le altre si riconoscono con controlli molto simili. Per approfondire ci sono tutte le nostre guide e tutti gli articoli su Solana.

Domande frequenti

Un honeypot si vede dal grafico?

No, e questo è il punto. Il grafico di un honeypot sale in modo pulito, perché ci sono solo acquisti. La cronologia delle transazioni tradisce quello che il grafico nasconde: cerca vendite riuscite, non candele verdi.

Se la freeze authority è attiva è per forza una truffa?

No. Alcuni progetti regolamentati la tengono per obblighi di conformità, e lo dichiarano. Il problema è la combinazione: authority attiva, nessuna spiegazione, supply concentrata e nessuna vendita nella cronologia.

I controlli automatici bastano?

Aiutano a scartare in fretta, ma leggono i casi noti. Un metodo nuovo passa inosservato finché qualcuno non lo aggiunge. Per questo la vendita di prova con una cifra minima resta il controllo più affidabile che hai.

Posso recuperare i soldi persi in un honeypot?

Sulla blockchain no: la transazione è definitiva e non esiste un'autorità che la annulla. Puoi segnalare il caso, con tutti gli indirizzi e le firme delle transazioni raccolti, per proteggere il prossimo compratore, ma non contare su un recupero. Diffida di chiunque prometta un recupero a pagamento.