Token honeypot: la truffa senza uscita

Cos'è un token honeypot?

Un honeypot è un token costruito perché tu possa comprarlo ma non rivenderlo. Il nome viene dall'immagine del barattolo di miele: l'ingresso è invitante, l'uscita non esiste. Il grafico sale, i tuoi numeri nel wallet crescono, e nel momento in cui provi a vendere la transazione fallisce, ogni volta, con un errore che sembra tecnico.

È diverso da un rug pull. In un rug pull il progetto ritira la liquidità e il prezzo va a zero: ci hai rimesso, ma potevi uscire prima. In un honeypot non è mai esistita una via d'uscita, nemmeno il primo minuto.

Come funziona su Solana

Chi arriva da Ethereum si aspetta un contratto scritto su misura, con un blocco cucito dentro la funzione di trasferimento. Su Solana quasi tutti i token usano lo stesso programma standard, quindi il trucco non sta in un contratto personalizzato. Sta altrove, e i modi sono principalmente tre.

Freeze authority attiva. Chi la detiene può congelare l'account token di qualsiasi indirizzo, uno per uno. Compri, e quando provi a vendere scopri che il tuo account è stato congelato. Il resto del mercato continua a funzionare, quindi il grafico non tradisce nulla. È il metodo più usato, perché non richiede scrivere una riga di codice.

Estensioni Token-2022. Il nuovo standard permette funzioni aggiuntive, e alcune sono fatte apposta per il controllo: un transfer hook che esegue un programma a ogni movimento e può rifiutarlo, oppure una commissione di trasferimento portata a livelli che rendono la vendita priva di senso.

Liquidità finta. Il pool esiste ma è controllato da chi ha lanciato il token, che lo prosciuga appena la somma raccolta vale la pena. Tecnicamente puoi vendere, ma non c'è niente dall'altra parte che ti compri.

I segnali che lo tradiscono

Nessuno di questi da solo è una prova. Insieme sono un quadro piuttosto chiaro.

La freeze authority non è stata revocata. Su un token pensato per essere scambiato liberamente non serve, e i progetti seri la revocano prima del lancio. Se è ancora attiva su una moneta che si presenta come una meme coin da comprare subito, la domanda su chi ne ha bisogno e perché resta senza risposta.

Nessuno ha mai venduto. È il segnale più forte e il più facile da controllare. Se nella cronologia degli scambi trovi solo acquisti, non stai guardando un token che tutti vogliono tenere: stai guardando un token che nessuno riesce a mollare.

La supply è concentrata. Se un pugno di wallet possiede quasi tutto e quei wallet sono nati la settimana scorsa, il mercato che vedi è una messa in scena. Lo strumento di snapshot degli holder classifica ogni riga e ti dice quanta parte della supply è realmente in circolazione.

I compratori sono tutti collegati. Trenta indirizzi finanziati dallo stesso wallet la stessa mattina non sono trenta persone interessate. Con l'analisi in blocco di una lista di wallet i cluster di finanziamento vengono fuori subito, insieme all'età di ogni indirizzo.

Il token è Token-2022 e nessuno lo dichiara. Lo standard nuovo non è sospetto in sé, anzi è utile per casi legittimi. Diventa un segnale quando un progetto lo usa e non spiega quali estensioni ha attivato.

Il controllo pratico prima di entrare

La sequenza che uso, e che si fa in un paio di minuti.

Primo, guarda lo stato delle authority sull'explorer. Mint authority e freeze authority devono risultare revocate, oppure il progetto deve avere una ragione dichiarata per tenerle.

Secondo, apri la cronologia degli scambi e cerca vendite riuscite, non solo acquisti. Se in centinaia di transazioni non c'è una sola uscita, hai finito: quello è il tuo verdetto.

Terzo, guarda la distribuzione. Un token dove i primi dieci indirizzi hanno il novanta per cento è un rischio a prescindere dall'honeypot.

Quarto, se davvero vuoi provare, entra con una cifra minima e prova subito a uscire. Un giro di prova con lo strumento di swap su Solana ti costa frazioni di centesimo di commissione di rete e ti dice in dieci secondi quello che nessuna analisi ti dice con certezza. Se la vendita fallisce con la liquidità presente, la risposta ce l'hai.

Se ci sei già dentro

Le opzioni sono poche e vanno dette senza giri di parole. Se il tuo account è stato congelato, l'unico che può scongelarlo è chi detiene la freeze authority, e non lo farà. Se il blocco è un transfer hook, non c'è nulla da fare dal lato tuo. Se invece è la liquidità a essere sparita, il token si può ancora trasferire ma non ha un mercato.

Quello che puoi fare è chiudere la partita in modo ordinato: non aggiungere altro capitale sperando in un recupero, non pagare nessuno che promette di recuperare i fondi, perché quella è la seconda truffa che segue sempre la prima. E se ti dà fastidio vedere quella riga nel wallet, puoi liberarti dell'account token vuoto e recuperare il rent che ci sta dentro.

Per continuare, trovi altre guide pratiche su Solana e l'archivio completo sotto gli articoli marcati Solana.

Domande frequenti

Un honeypot si vede dal grafico?

No, e questo è il punto. Il grafico di un honeypot sale in modo pulito, perché ci sono solo acquisti. La cronologia delle transazioni tradisce quello che il grafico nasconde: cerca vendite riuscite, non candele verdi.

Se la freeze authority è attiva è per forza una truffa?

No. Alcuni progetti regolamentati la tengono per obblighi di conformità, e lo dichiarano. Il problema è la combinazione: authority attiva, nessuna spiegazione, supply concentrata e nessuna vendita nella cronologia.

I controlli automatici bastano?

Aiutano a scartare in fretta, ma leggono i casi noti. Un metodo nuovo passa inosservato finché qualcuno non lo aggiunge. Per questo la vendita di prova con una cifra minima resta il controllo più affidabile che hai.

Posso recuperare i soldi persi in un honeypot?

Sulla blockchain no: la transazione è definitiva e non esiste un'autorità che la annulla. L'unica strada realistica è la denuncia, con tutti gli indirizzi e le firme delle transazioni raccolti. Diffida di chiunque prometta un recupero a pagamento.