Token honeypot: kupisz, ale nie sprzedasz
Token honeypot łapie kupujących: zakup działa, sprzedaż nie. Zobacz, jak uprawnienie freeze i Token-2022 budują pułapkę, i poznaj pięć kontroli przed zakupem.
Czym jest token honeypot?
Token honeypot to oszukańcza kryptowaluta zbudowana tak, że kupujący mogą ją swobodnie kupić, ale nie mogą jej odsprzedać. Ich pieniądze zostają uwięzione w tokenie, a twórca zgarnia wpływy. Kupić możesz. Wyjść nie możesz. Te drzwi otwierane w jedną stronę to cały schemat, a wszystko inne w tokenie istnieje po to, żeby je ukryć.
Nazwa myli, bo specjaliści od bezpieczeństwa używają tego słowa na coś zupełnie innego. W cyberbezpieczeństwie honeypot to serwer-przynęta postawiony po to, by złapać atakujących, którzy włamują się do sieci. Token honeypot odwraca role. Łapie kupujących, czyli zwykłych ludzi, którzy próbują wyjść z własnymi pieniędzmi. Większość osób wpisuje w wyszukiwarkę „co to jest honeypot krypto” dopiero po pierwszej nieudanej sprzedaży. To drogi sposób na poznanie nowego pojęcia.
Zanim pójdziemy dalej, kilka definicji. Token to aktywo cyfrowe zapisane w blockchainie. Portfel to aplikacja, która przechowuje twoje tokeny i podpisuje twoje transakcje. Płynność to pula środków, z którą token jest wymieniany; bez niej nikt niczego nie kupi ani nie sprzeda. Każdy honeypot nadużywa co najmniej jednej z tych trzech rzeczy. Nic w tym artykule nie jest poradą inwestycyjną. To praktyczny przewodnik po jednym konkretnym oszustwie.
Jak działa honeypot?
Zakup działa dokładnie tak, jak powinien, i właśnie to jest przynęta. Token pojawia się na stronie do handlu, wykres pnie się w górę, twój zakup przechodzi w kilka sekund. Pułapka zatrzaskuje się przy sprzedaży. Twórca ustawił token tak, że próby sprzedaży kończą się błędem, zostają zablokowane albo gdzieś po drodze tracą całą kwotę.
Wyobraź sobie automat, który przyjmuje pieniądze, ale nie ma okienka wydawczego. Monety wpadają, wyświetlacz się zapala, a na zewnątrz nigdy nic nie wychodzi. Honeypot to taki automat z przykręconym na górze wykresem ceny. Wykres zwykle wygląda imponująco, bo token, którego nikt nie może sprzedać, nie ma żadnej presji sprzedażowej. Każdy sygnał ostrzegawczy chowa się za zieloną świecą.
Mechanizm blokady zależy od blockchainu. W niektórych sieciach to złośliwy kod w samym tokenie. W sieci Solana zwykle jest to uprawnienie albo wbudowane ustawienie, które twórca zostawił sobie; dwie kolejne sekcje omawiają oba przypadki. Efekt jest wszędzie ten sam: drzwi otwierają się tylko do środka. Ofiary odkrywają to zwykle wtedy, gdy wpisują w wyszukiwarkę jakąś wersję pytania „dlaczego nie mogę sprzedać tokena”, kilka minut za późno.
Jak rozpoznać token honeypot?
Przed zakupem sprawdź pięć rzeczy: uprawnienie freeze (pozwolenie, dzięki któremu jego posiadacz może zamrozić twoje tokeny tam, gdzie leżą), aktywne rozszerzenia Token-2022, to, czy prawdziwi posiadacze faktycznie sprzedawali, czy płynność jest prawdziwa i jak zachowują się najwcześniejsi kupujący. Każda kontrola zajmuje mniej więcej minutę. Razem wyłapują typowe schematy, według których buduje się token honeypot, choć żadna lista kontrolna nie wyłapie każdej możliwej pułapki.
| Co sprawdzić | Jak wygląda zła odpowiedź |
|---|---|
| Czy uprawnienie freeze jest otwarte, czyli czy ktoś nadal je ma? | Nieznany portfel zachowuje możliwość zamrożenia twojego salda w chwili, gdy kupisz. W uczciwym tokenie uprawnienie jest standardowo odwołane. |
| Które rozszerzenia Token-2022 są aktywne? Token-2022 to rozszerzony standard tokenów Solana z opcjonalnymi wbudowanymi funkcjami. | Włączony jest permanent delegate (portfel, który może wyciągać tokeny z twojego portfela), transfer hook albo opłata od transferu bliska całej kwocie. |
| Czy prawdziwi posiadacze faktycznie sprzedawali? Szukaj autentycznych transakcji sprzedaży ze zwykłych portfeli. | Historia handlu pokazuje same zakupy albo każda sprzedaż prowadzi do portfeli powiązanych z twórcą. |
| Czy płynność jest prawdziwa i da się ją wycofać? | Pula jest malutka w porównaniu z deklarowaną wartością tokena, więc nawet działająca sprzedaż zwróciłaby grosze. |
| Czy nieznane portfele kupiły w tym samym momencie? | Dziesiątki świeżych portfeli kupiły w ciągu jednej minuty, co wskazuje na jednego operatora udającego tłum. |
Dwie z tych kontroli są żmudne, gdy robisz je ręcznie. Żeby przejrzeć pełną listę posiadaczy i potwierdzić, że ludzie spoza zespołu naprawdę sprzedawali, pobierz listę z narzędzia Snapshot posiadaczy. Żeby sprawdzić, czy wcześni kupujący to jeden operator w pięćdziesięciu maskach, zmapuj za darmo portfele kupujących w narzędziu Wallet Scope i zobacz, jak się grupują.
Najbardziej praktyczny test kosztuje kilka centów: zanim zaangażujesz prawdziwe pieniądze, sprzedaj symboliczną ilość przez narzędzie Swap do wymiany tokenów. Jeśli mała sprzedaż się nie uda, nigdy nie składaj dużego zakupu.
Czy honeypot jest w ogóle możliwy w sieci Solana?
Tak, ale buduje się go inaczej niż w sieci Ethereum. Solana nie ma klasycznego kontraktu blokującego sprzedaż, bo tokeny Solana nie niosą własnego kodu transferu, tak jak robią to tokeny Ethereum. Pułapkę składa się więc z uprawnień i rozszerzeń, czyli pozwoleń i opcjonalnych funkcji, które twórca dołącza przy tworzeniu tokena.
W sieci Ethereum klasyczny honeypot to złośliwy kontrakt. Każdy token Ethereum ma własny kod, więc oszust może napisać logikę transferu, która po cichu odrzuca sprzedaże albo obciąża je podatkiem 100%, a ścieżkę zakupu zostawia czystą. Przynęta i pułapka siedzą w tym samym programie i różnicę ujawnia dopiero przegląd kodu.
Solana wytrąciła oszustom ten konkretny nóż z ręki: każdy standardowy token działa na wspólnym, audytowanym kodzie. Twórcom zostaje za to zestaw dźwigni, a cztery z nich pozwalają odbudować pułapkę:
- Otwarte uprawnienie freeze. Pozwala jego posiadaczowi zamrozić twoje konto tokena, czyli miejsce w portfelu, w którym leży ten konkretny token. Zamrożone tokeny nie mogą się ruszyć, więc nie da się ich sprzedać.
- Permanent delegate. W Token-2022, rozszerzonym standardzie tokenów Solana, twórca może wyznaczyć stałego delegata (permanent delegate): portfel z trwałym prawem do wyciągnięcia tokenów z twojego portfela w dowolnej chwili, bez twojego podpisu.
- Złośliwy transfer hook. Transfer hook to mały program uruchamiany przy każdym transferze tokena. Może odrzucać te transfery, które nie podobają się jego autorowi, na przykład wszystko, co zmierza do puli handlowej.
- Konfiskacyjna opłata od transferu. Token-2022 obsługuje też wbudowaną opłatę od każdego transferu. Ustawiona blisko 100% sprawia, że sprzedaż technicznie się udaje, ale prawie nic nie wraca.
Większość tych funkcji istnieje z uczciwych powodów i większość tokenów, które z nich korzystają, jest w porządku. Każdą z nich opisuje oficjalna dokumentacja rozszerzeń tokenów Solana. Pełny obraz tego, co rozszerzony standard potrafi, a czego nie, daje nasze porównanie standardów Token-2022 i SPL.
Masz w portfelu token honeypot. Co teraz?
Najpierw uczciwa odpowiedź: pieniądze zwykle nie wracają. Transakcje w blockchainie są ostateczne, za oszukańczym tokenem nie stoi żaden support i nikt, łącznie z giełdą czy aplikacją, przez którą kupowano, nie zmusi tokena, żeby pozwolił ci sprzedać. Planuj z tą rzeczywistością, a nie wbrew niej.
Co nadal możesz zrobić:
- Przestań dokładać pieniądze. Niektóre ofiary dokupują w nadziei, że świeży wolumen jakoś uwolni token. Nie uwolni. Blokada jest celowa.
- Potraktuj pozycję jako stratę już dziś. Czekanie, aż twórcy obudzi się sumienie, tylko odsuwa ten sam wniosek w czasie.
- Zgłoś token w eksploratorze blockchain albo na platformie, na której go znaleziono, żeby został oznaczony, zanim przyjdzie następny kupujący.
- Ostrzeż społeczność tam, gdzie token był promowany. Honeypoty umierają, gdy przynęta przestaje działać.
Za pierwszą pułapką czeka jeszcze jedna. „Usługi odzyskiwania” zaproponują wyciągnięcie twoich uwięzionych środków za opłatą z góry. Nie są w stanie tego zrobić, bo żadna strona trzecia nie obejdzie reguł samego tokena. Każdy, kto zgłasza się z taką obietnicą, gra drugi akt tego samego oszustwa.
Czym honeypot różni się od rug pulla?
Honeypot blokuje twoją sprzedaż, a rug pull opróżnia płynność, która miała przyjąć twoją sprzedaż. W honeypocie drzwi wyjściowe są zaspawane. W rug pullu drzwi otwierają się na pusty pokój, bo twórca już wycofał z puli środki, które nadawały tokenowi cenę.
Oba oszustwa mają jednak wspólny przedsionek. Jedno i drugie opiera się na sztucznym wolumenie na starcie i świeżych anonimowych portfelach, a twórca honeypota często wyciąga resztę płynności, gdy zakupy słabną. Ten artykuł zajmuje się stroną honeypota. Szerszą listę kontrolną, od blokad płynności po historię portfela twórcy, znajdziesz w poradniku o tym, jak sprawdzić token pod kątem rug pulla.
Najczęściej zadawane pytania
Czy to ten sam honeypot co w cyberbezpieczeństwie?
Nie. Honeypot w cyberbezpieczeństwie to serwer-przynęta, który obrońcy stawiają, żeby zwabić atakujących i przyjrzeć się ich metodom. Token honeypot wabi kupujących i blokuje im wyjście. To samo słowo, odwrotne ofiary: pierwszy łapie tych, którzy się włamują, drugi tych, którzy próbują wyjść.
Czy pieniądze utracone w honeypocie da się odzyskać?
Zwykle nie. Transakcji on-chain nie da się odwrócić, a oszust kontroluje jedyne mechanizmy, które mogłyby uwolnić tokeny. Zgłoszenie chroni następnego kupującego, a w rzadkich przypadkach giełdy zamrażają środki, które oszust już wypłacił, ale nie wliczaj odzyskania w swoje plany. Ignoruj każdego, kto sprzedaje gwarantowany odzysk.
Czy mała próbna sprzedaż naprawdę coś daje?
Tak, to najbardziej praktyczny pojedynczy test. Kup symboliczną ilość i od razu spróbuj ją sprzedać. Honeypot, który blokuje albo konfiskuje sprzedaż, zablokuje tę transakcję tak samo jak dużą. Jeśli kilka centów nie może wyjść, twoje prawdziwe pieniądze też nie wyjdą.
Czy każdy token z uprawnieniem freeze to token honeypot?
Nie. Uprawnienie freeze ma uczciwe zastosowania: regulowane tokeny i część stablecoinów zachowuje je, żeby przestrzegać sankcji i nakazów sądowych. Otwarte uprawnienie freeze w anonimowym memecoinie to czerwona flaga, a to samo uprawnienie w audytowanym, regulowanym aktywie to standardowa praktyka. Decyduje kontekst.
Czy honeypot krypto jest w sieci Solana tak częsty jak w sieci Ethereum?
Klasyczny honeypot oparty na kodzie kontraktu to głównie problem sieci Ethereum, bo każdy token Ethereum ma własny kod. W sieci Solana czystych honeypotów jest mniej, za to sporo nadużyć uprawnienia freeze i rozszerzeń, które kończą się tak samo: uwięzionym kupującym. W obu sieciach obrona jest identyczna: sprawdź, zanim kupisz.
Co sprawdzić przed zakupem nowego tokena?
Wystarczy pięć minut. Potwierdź, że uprawnienie freeze jest odwołane, przejrzyj aktywne rozszerzenia Token-2022, pobierz snapshot posiadaczy, żeby zobaczyć prawdziwe sprzedaże ze zwykłych portfeli, zmapuj portfele kupujących pod kątem skupisk i zrób małą próbną sprzedaż. Tabela wyżej pokazuje, jak przy każdym punkcie wygląda zła odpowiedź.
