Token honeypot Solana là gì: mua được, không bán được

Token honeypot Solana là token lừa đảo được dựng sao cho người mua vào được thoải mái nhưng không bán ra được, tiền kẹt lại trong token còn người tạo thì thu về số tiền người mua đã bỏ vào.

Token honeypot Solana là gì?

Nói gọn lại, bạn mua vào thoải mái nhưng không bán lại được, còn tiền thì kẹt trong token và chảy về túi người tạo. Bạn vào được. Bạn không ra được. Cánh cửa một chiều đó chính là toàn bộ chiêu lừa này, mọi thứ khác của token chỉ để che giấu nó.

Cái tên gây nhầm lẫn vì dân an ninh mạng dùng đúng từ đó cho một thứ hoàn toàn khác. Trong an ninh mạng, honeypot là máy chủ mồi nhử dựng ra để bẫy kẻ đột nhập. Honeypot trong crypto đảo ngược mục tiêu: nó bẫy người mua, tức người bình thường đang cố rút tiền của chính mình ra. Phần lớn người gõ "token lừa đảo không bán được" vào ô tìm kiếm chỉ làm vậy sau lần bán hỏng đầu tiên, và đó là cách học thuật ngữ này đắt nhất.

Vài từ cần định nghĩa trước. Token là tài sản số ghi trên blockchain. Ví là ứng dụng giữ token và ký giao dịch cho bạn. Thanh khoản là số vốn trong pool mà token được mua bán cùng; không có nó thì không ai mua bán được gì. Mọi token honeypot đều lợi dụng ít nhất một trong ba thứ này. Bài này không phải lời khuyên đầu tư; nó là cẩm nang nhận diện một kiểu lừa cụ thể.

Token honeypot hoạt động thế nào?

Lệnh mua chạy đúng như phải chạy, và đó chính là mồi. Token hiện lên trên trang giao dịch, biểu đồ đi lên, lệnh mua khớp trong vài giây. Bẫy sập ở lệnh bán. Người tạo đã thiết kế token sao cho lệnh bán thất bại, bị chặn, hoặc bị nuốt sạch số tiền giữa chừng.

Hình dung một máy bán hàng tự động nhận tiền nhưng không có khe nhả hàng. Xu đi vào, màn hình sáng lên, chẳng có gì rơi ra. Token honeypot là cái máy đó gắn thêm một biểu đồ giá lên nóc. Biểu đồ thường rất đẹp, bởi vì token không ai bán được thì áp lực bán bằng không. Mọi dấu hiệu cảnh báo đều nấp sau một cây nến xanh.

Cơ chế chặn tùy theo từng blockchain. Ở một số chuỗi, nó là mã độc nằm ngay trong token. Trên Solana, nó thường là một quyền hoặc một tính năng cài sẵn mà người tạo giữ lại cho riêng mình; hai phần sau nói kỹ cả hai. Kết quả thì ở đâu cũng như nhau: cửa chỉ mở vào trong. Nạn nhân thường phát hiện ra điều này trong lúc gõ một biến thể nào đó của câu "vì sao tôi không bán được token" vào ô tìm kiếm, khi đã muộn vài phút.

Làm sao biết một token Solana có phải honeypot không?

Kiểm tra năm thứ trước khi mua: freeze authority (quyền cho phép người giữ nó khóa token của bạn tại chỗ), các extension Token-2022 đang bật, holder thật đã bán được chưa, thanh khoản có thật không, và những ví mua sớm nhất hành xử ra sao. Mỗi mục mất khoảng một phút. Gộp cả năm mục lại sẽ bắt được các mẫu honeypot thường gặp, dù không danh sách nào bắt hết mọi cái bẫy có thể có.

Năm thứ cần kiểm tra

Hai mục trong năm mục này làm thủ công rất mệt. Để đọc danh sách holder đầy đủ và xác nhận có người ngoài đội ngũ thật sự đã bán, lấy một bản snapshot holder bằng Holder Snapshot của j.tools, miễn phí và tải về được dưới dạng file Excel; cách đọc số liệu trong bản snapshot ấy nằm ở bài cách đọc phân bổ holder của token Solana.

Để xem những ví mua sớm có phải một người đeo năm mươi cái mặt nạ hay không, vẽ sơ đồ nhóm ví đó bằng bản đồ cụm ví J Map rồi nhìn chúng kết cụm ra sao, cũng miễn phí và không cần kết nối ví. Muốn lần dòng tiền của riêng một ví thì dùng công cụ phân tích ví Wallet Scope.

Phép thử thiết thực nhất chỉ tốn vài cent: mua một lượng rất nhỏ rồi bán thử trước khi bỏ tiền thật vào. Nếu lệnh bán nhỏ đã hỏng thì đừng bao giờ đặt lệnh mua lớn.

Trên Solana có dựng được token honeypot không?

Có, nhưng dựng theo kiểu khác Ethereum. Solana không có hợp đồng chặn bán kiểu cổ điển, vì token Solana không mang mã chuyển token riêng như token Ethereum. Cái bẫy được lắp từ các quyền và extension, tức là những đặc quyền và tính năng tùy chọn mà người tạo gắn vào lúc phát hành.

Trên Ethereum, honeypot cổ điển là một hợp đồng độc hại. Mỗi token Ethereum tự mang mã của nó, nên kẻ lừa đảo viết được logic chuyển token âm thầm từ chối lệnh bán hoặc đánh thuế 100% lên lệnh bán, trong khi đường mua vẫn sạch. Mồi và bẫy nằm chung một chương trình, và chỉ đọc mã mới thấy khác biệt.

Solana loại bỏ con dao đó bằng cách cho mọi token chuẩn chạy trên cùng một đoạn mã dùng chung đã được kiểm định. Thứ người tạo còn giữ lại là một bộ công cụ điều khiển, và bốn thứ trong đó dựng lại được cái bẫy:

• Freeze authority còn mở. Quyền này cho người giữ nó đóng băng tài khoản token của bạn, tức là ô chứa riêng token đó bên trong ví. Token bị đóng băng thì không di chuyển được, nên cũng không bán được.
• Permanent delegate. Theo chuẩn Token-2022, người tạo chỉ định được một permanent delegate: một ví có quyền thường trực rút token ra khỏi ví bạn bất cứ lúc nào, không cần chữ ký của bạn.
• Transfer hook độc hại. Transfer hook là một chương trình nhỏ chạy mỗi lần token được chuyển, và nó có thể từ chối những lần chuyển mà tác giả của nó không muốn cho qua, chẳng hạn mọi lệnh hướng về pool giao dịch.
• Phí chuyển kiểu tịch thu. Token-2022 cũng hỗ trợ phí cài sẵn trên mỗi lần chuyển. Đặt sát 100%, nó để lệnh bán chạy thành công về mặt kỹ thuật nhưng trả về gần như không có gì.

Phần lớn các tính năng này tồn tại vì lý do chính đáng, và phần lớn token dùng chúng đều đàng hoàng. Chúng được mô tả trong tài liệu Token-2022 của Solana, đọc thẳng ở đó là chắc nhất.

Lỡ mua phải token honeypot rồi thì làm gì?

Nói thật trước: tiền thường không quay lại. Giao dịch trên blockchain không thể đảo ngược, đằng sau một token lừa đảo không có bộ phận hỗ trợ nào, và không ai, kể cả sàn hay ứng dụng bạn mua qua, ép được token cho phép bạn bán. Hãy lập kế hoạch dựa trên thực tế đó thay vì cố chống lại nó.

Những việc còn làm được:

1. Ngừng bỏ thêm tiền. Có người mua thêm, hy vọng lượng giao dịch mới sẽ gỡ khóa cho token. Không đâu. Việc chặn bán là cố ý.
2. Coi vị thế đó là khoản lỗ ngay hôm nay. Chờ người tạo bỗng có lương tâm chỉ lùi cùng một kết luận sang ngày khác.
3. Báo token đó trên block explorer hoặc trên nền tảng nơi bạn tìm thấy nó, để nó bị gắn cờ trước khi có người mua tiếp theo.
4. Cảnh báo cộng đồng nơi token được quảng bá. Honeypot chết khi mồi hết tác dụng.

Còn một cái bẫy nữa nằm sau cái thứ nhất. Những "dịch vụ thu hồi" sẽ chào mời lấy lại số tiền bị kẹt của bạn với một khoản phí trả trước. Họ không làm được điều đó, vì không bên thứ ba nào ghi đè được luật của chính token đó. Ai chủ động nhắn tin với lời hứa như vậy đang diễn màn hai của cùng một vở lừa.

Token honeypot và rug pull khác nhau ở đâu?

Honeypot chặn lệnh bán của bạn; rug pull rút cạn thanh khoản mà bạn định bán vào. Ở honeypot, cửa ra bị hàn kín. Ở rug pull, cửa vẫn mở nhưng mở ra một căn phòng trống, vì người tạo đã rút hết số vốn trong pool từng làm nên giá của token.

Hai kiểu lừa này có chung nhiều thủ đoạn. Cả hai đều dựa vào khối lượng giao dịch mồi ở những giờ đầu và ví ẩn danh mới tinh, và người dựng honeypot thường rút nốt phần thanh khoản còn lại khi lượng mua chậm dần. Bài này nói phần honeypot; danh sách kiểm tra rộng hơn, từ khóa thanh khoản đến lịch sử ví của người tạo, nằm ở bài kiểm tra token Solana lừa đảo.

Câu hỏi thường gặp

Token honeypot trong crypto có giống honeypot bên an ninh mạng không?

Không. Honeypot trong an ninh mạng là máy chủ mồi nhử do bên phòng thủ dựng ra để dụ và nghiên cứu kẻ tấn công. Honeypot trong crypto là token dụ người mua rồi chặn đường ra của họ. Cùng một từ, nạn nhân ngược nhau: một bên bẫy người đang đột nhập, một bên bẫy người đang muốn rời đi.

Tiền mất vì token honeypot có lấy lại được không?

Thường là không. Giao dịch on-chain không đảo ngược được, và kẻ lừa đảo nắm cơ chế duy nhất có thể giải phóng số token đó. Báo cáo giúp bảo vệ người mua sau, và trong vài trường hợp hiếm các sàn giao dịch đóng băng được số tiền kẻ lừa đảo đã rút ra, nhưng đừng tính tới chuyện lấy lại được tiền. Hãy phớt lờ mọi lời chào mời cam kết lấy lại tiền cho bạn.

Bán thử một lượng nhỏ có thật sự hiệu quả không?

Có, và đó là phép thử đơn lẻ thiết thực nhất. Mua một lượng rất nhỏ rồi thử bán ngay. Một honeypot chặn hoặc tịch thu lệnh bán sẽ làm hỏng lệnh nhỏ này y như lệnh lớn. Nếu vài cent không ra được thì tiền thật của bạn cũng vậy.

Token Solana nào còn freeze authority cũng là honeypot phải không?

Không. Freeze authority có công dụng chính đáng: token được quản lý theo quy định và một số stablecoin giữ nó để tuân thủ lệnh trừng phạt và phán quyết của tòa. Freeze authority còn mở trên một meme token ẩn danh là dấu hiệu cảnh báo; cùng quyền đó trên một tài sản đã kiểm định và chịu quản lý lại là thông lệ bình thường. Bối cảnh quyết định.

Token honeypot trên Solana có phổ biến như trên Ethereum không?

Honeypot kiểu mã hợp đồng cổ điển gần như chỉ là chuyện của Ethereum, vì mỗi token Ethereum tự mang mã của nó. Solana ít honeypot thuần hơn nhưng không thiếu chuyện lạm dụng freeze authority và extension, và kết quả với người mua vẫn là bị kẹt tiền như vậy. Trên cả hai chuỗi, cách phòng giống hệt nhau: kiểm tra trước khi mua.

Trước khi mua một token Solana mới nên kiểm tra những gì?

Năm phút là đủ: xác nhận freeze authority đã được thu hồi, xem những extension Token-2022 nào đang bật, lấy một bản snapshot holder để thấy lệnh bán thật từ ví thường, vẽ nhóm ví mua sớm để xem chúng có kết cụm không, rồi bán thử một lượng rất nhỏ. Bảng ở phần trên cho thấy câu trả lời xấu của từng mục trông ra sao.

Bài viết mang tính thông tin, không phải tư vấn tài chính, đầu tư, pháp lý hay thuế. Token trên Solana biến động rất mạnh và phần lớn mất toàn bộ giá trị. Hãy tự nghiên cứu và đừng bỏ vào số tiền bạn không thể chịu mất.

Viết bởi đội ngũ J Tools. Chúng tôi xây và vận hành hơn 40 công cụ Solana trong môi trường thật, từ phát hành token đến phân tích ví on-chain, và viết từ những gì nhìn thấy trên mainnet. Đơn vị phát hành và cách liên hệ nằm ở trang giới thiệu J Tools.