Криптовалютный honeypot

Что такое криптовалютный honeypot?

Криптовалютный honeypot — это мошенническая схема или ловушка, в которой токен, кошелек, смарт-контракт или инвестиционная возможность выглядят прибыльными либо уязвимыми, но на самом деле созданы для кражи средств или блокировки вывода активов.

В наиболее распространенном случае мошенничества с токенами пользователям позволяют купить токен, но не дают продать его позже.

На графике, в кошельке или в интерфейсе децентрализованной торговли токен может выглядеть совершенно обычно.

Однако смарт-контракт может содержать скрытые правила, позволяющие продавать токен только мошеннику, привилегированным кошелькам или адресам из белого списка.

Покупатель может увидеть токен на балансе кошелька, но он фактически становится бесполезным, поскольку пользователь не может закрыть позицию.

Термин honeypot пришел из кибербезопасности: так называют систему-приманку, предназначенную для привлечения злоумышленников.

В криптовалютных мошеннических схемах эту идею обращают против обычных пользователей: токен или контракт выглядит привлекательно, а настоящая ловушка скрыта.

Классический honeypot в смарт-контракте может выглядеть как уязвимость, позволяющая пользователю украсть средства, но скрытая логика приводит к тому, что деньги теряет сам пользователь.

Современный токен-honeypot может выглядеть как быстро дорожающий мем-токен, запуск DeFi-проекта или возможность купить актив с низкой рыночной капитализацией. Однако контракт блокирует продажу, устанавливает чрезвычайно высокие комиссии или меняет правила после покупки.

Криптовалютные honeypot опасны, поскольку используют и техническую сложность, и человеческие эмоции.

Как работает криптовалютный honeypot

Обычно криптовалютный honeypot начинается со злонамеренного смарт-контракта или контракта токена.

Мошенник выпускает токен, который выглядит доступным для торговли, и создает начальную ликвидность, чтобы покупатели могли его приобрести.

Затем мошенник может рекламировать токен в соцсетях, личных сообщениях, платных публикациях, фальшивых сообществах, на популярных графиках или в автоматизированных торговых группах.

Покупатели видят рост цены и считают, что нашли перспективный актив на раннем этапе.

Транзакция покупки проходит успешно, что создает впечатление легитимности токена.

Ловушка обнаруживается, когда покупатель пытается продать токен.

Транзакция продажи может завершиться ошибкой или откатом, быть заблокирована скрытым черным списком, облагаться налогом на продажу почти в сто процентов или требовать условий, которые обычные пользователи не могут выполнить.

Некоторые honeypot устроены так, что продавать могут только определенные кошельки, а все остальные пользователи оказываются в ловушке.

Некоторые позволяют совершать небольшие тестовые продажи, но блокируют более крупные сделки.

Некоторые меняют ставки комиссий или правила переводов после того, как токен купило достаточное количество пользователей.

Цель всегда одна.

Мошенник хочет, чтобы пользователи внесли в систему реальные криптоактивы, но не могли или не сумели вывести их стоимость.

Почему криптовалютные honeypot эффективны

Мошеннические схемы с криптовалютными honeypot работают, потому что многие пользователи следят за движением цены, а не за поведением контракта.

На графике может отображаться быстрый рост токена, даже если большинство покупателей не могут его продать.

Это происходит потому, что подконтрольные мошеннику кошельки могут продавать токен, тогда как обычные кошельки остаются заблокированными.

Из-за этого график может создавать впечатление реального спроса.

Новички видят зеленые свечи, рост ликвидности и активный объем торгов, не подозревая, что продажа ограничена.

Мошенническая схема срабатывает и потому, что криптовалютные транзакции часто выполняются быстро, а отменить их непросто.

Рекомендации FBI IC3 для пострадавших от криптовалютного мошенничества советуют быстро сообщать о таких случаях и остерегаться тех, кто утверждает, что может вернуть средства.

После покупки токена-honeypot или подписания вредоносной транзакции вернуть средства может быть чрезвычайно сложно.

Мошенники также играют на страхе упустить выгоду.

Если пользователи считают, что цена токена может вырасти в десять или сто раз, они могут пренебречь базовыми проверками.

Поэтому honeypot — это не только технические ловушки.

Это и психологические ловушки.

Распространенные виды криптовалютных honeypot

Первый распространенный тип — honeypot с блокировкой продаж.

Такая схема позволяет обычным пользователям покупать токен, но блокирует его продажу.

Второй тип — honeypot с высоким налогом.

Продажа разрешена, но взимается огромная комиссия, которая отнимает у пользователя большую часть или всю стоимость активов.

Третий тип — honeypot с черным списком.

Владелец контракта может добавить кошельки покупателей в черный список, после чего они не смогут переводить или продавать токены.

Четвертый тип — honeypot с белым списком.

Продавать могут только одобренные кошельки, обычно включая кошельки мошенника.

Пятый тип — honeypot с фальшивой уязвимостью.

Контракт выглядит уязвимым, чтобы технически любознательные пользователи отправляли туда средства, но скрытая логика заманивает их в ловушку.

Шестой тип — honeypot с сид-фразой.

В такой схеме показывают фразу восстановления кошелька, на котором якобы есть средства. Однако для их вывода жертва должна внести комиссию за газ, которую мошенник автоматически крадет.

Седьмой тип — honeypot с фальшивой инвестиционной панелью.

На сайте или в приложении отображается прибыль, но вывод блокируется, пока пользователь не заплатит дополнительные комиссии.

Токены-honeypot

Токен-honeypot — один из самых распространенных видов криптовалютных honeypot.

Обычно это новый контракт токена со скрытыми ограничениями в логике переводов или продаж.

Пользователь может купить токен через децентрализованный пул ликвидности и увидеть его на балансе как обычно.

У токена могут быть название, тикер, логотип, график и страницы в соцсетях.

Однако контракт может предоставлять владельцу права определять, кто может переводить токены, продавать их или взаимодействовать с пулом.

В некоторых токенах-honeypot ограничения спрятаны в сложном коде.

В других используются прокси-контракты или внешние контракты, скрывающие настоящую логику.

Некоторые контракты содержат функции, которые выглядят обычными, но при определенных условиях ведут себя иначе.

Другие используют правила, привязанные ко времени или номеру блока, чтобы разрешить ранние тестовые сделки, а затем активировать ловушку.

Токен-honeypot особенно опасен тем, что пользователь может не заметить проблему, пока не попытается продать его.

Honeypot в смарт-контрактах

Honeypot в смарт-контракте — это контракт, который выглядит как источник прибыли благодаря уязвимости, но на самом деле заманивает в ловушку всех, кто пытается ее использовать.

В научной работе «Разоблачение honeypot в смарт-контрактах Ethereum» такие контракты описываются как контракты, которые заманивают жертв видимой уязвимостью, скрывая при этом ловушки.

Например, может показаться, что контракт позволяет любому пользователю вывести средства после отправки небольшой суммы.

Пользователь может решить, что нашел простую возможность для арбитража или эксплуатации уязвимости.

Но после отправки средств скрытое условие контракта блокирует вывод или переводит средства мошеннику.

Такие honeypot рассчитаны на жадность и чрезмерную уверенность в своих технических знаниях.

Жертва может считать, что использует кого-то другого, хотя на самом деле контракт создан, чтобы использовать ее.

Honeypot в смарт-контрактах показывают, почему не следует взаимодействовать с неизвестными контрактами лишь потому, что они кажутся уязвимыми.

В незнакомом коде могут быть скрытые зависимости, вводящие в заблуждение названия функций и сложные для понимания пути выполнения.

Даже опытные пользователи могут неверно прочитать вредоносный контракт, если его код намеренно запутан.

Honeypot с сид-фразой

Honeypot с сид-фразой — это мошенническая схема, в которой злоумышленники публикуют или отправляют фразу восстановления кошелька, якобы открывающую доступ к средствам.

Жертва импортирует кошелек и видит в нем токены или другие активы.

В кошельке может не хватать нативного токена для оплаты газа, необходимого для перемещения активов.

Тогда жертва отправляет в кошелек газ, чтобы вывести якобы доступные средства.

Бот под контролем мошенника немедленно забирает газ, прежде чем жертва успевает им воспользоваться.

В других вариантах схемы активы в кошельке фальшивые, заблокированные, непередаваемые или подчиняются правилам смарт-контракта.

Схема работает, потому что жертва думает, что нашла кошелек с утекшими данными доступа.

На деле фразу восстановления намеренно раскрыли, чтобы привлечь людей, готовых клюнуть на приманку.

Сид-фразу никогда не следует считать подарком или возможностью заработать.

Если незнакомец публикует в интернете фразу восстановления, безопаснее всего считать это ловушкой.

Honeypot с фальшивым выводом средств

Honeypot с фальшивым выводом — это мошеннический сайт или приложение, где пользователю показывают несуществующую прибыль, но блокируют вывод средств.

Пользователю могут сказать, что перед выводом нужно уплатить налог, комиссию за верификацию, ликвидность, газ, обновление или разблокировку аккаунта.

После оплаты платформа требует внести еще деньги.

Рекомендации FTC по инвестиционным мошенническим схемам предупреждают, что в схемах с инвестициями в криптовалюту могут показывать фиктивные отчеты о росте средств и убеждать жертв вкладывать еще больше.

Такая схема не всегда связана с вредоносным контрактом токена.

Это может быть фальшивая платформа, полностью контролируемая мошенниками.

Пользователь видит цифры на экране, но реального баланса, доступного для вывода, не существует.

Мошенник стремится заставить пользователя платить снова и снова, создавая иллюзию, что крупная выплата уже почти доступна.

К любой платформе, которая требует дополнительную оплату в криптовалюте перед выдачей средств, следует относиться с крайней осторожностью.

Легитимные системы должны четко объяснять комиссии до того, как пользователь внесет средства.

Криптовалютные honeypot и rug pull

Honeypot связан с rug pull, но эти понятия не всегда означают одно и то же.

Rug pull обычно происходит, когда инсайдеры проекта выводят ликвидность, распродают свои токены, бросают проект или используют функции контракта для вывода стоимости.

Honeypot направлен на то, чтобы не дать пользователям продать токены, вывести средства или закрыть позицию.

Некоторые мошеннические схемы сочетают оба метода.

Мошенник может выпустить токен-honeypot, привлечь покупателей, заблокировать их продажи, а затем вывести ликвидность или продать токены с привилегированных кошельков.

В исследованиях методов выявления rug pull описаны схемы, в которых вредоносные контракты ограничивают продажу токенов, оставляя инвесторов с бесполезными активами.

Следует понимать, что категории мошенничества часто пересекаются.

Токен одновременно может быть honeypot, частью rug pull, токеном с фиктивной полезностью и приманкой для фишинга.

Название схемы менее важно, чем связанный с ней риск.

Если пользователи не могут продать токены или вывести средства, экономический результат обычно один и тот же.

Криптовалютные honeypot и разрешения смарт-контрактов

Разрешения смарт-контракта — одно из основных мест, где может скрываться риск honeypot.

Контракт токена может давать владельцу право менять комиссии, приостанавливать переводы, заносить кошельки в черный список, добавлять продавцов в белый список, выпускать новые токены, менять адреса роутеров или обновлять внешнюю логику.

Некоторые разрешения используются для легитимного администрирования.

Однако широкие и плохо объясненные полномочия также могут применяться для ловушки пользователей.

OWASP Smart Contract Top 10 выделяет основные категории рисков смарт-контрактов для разработчиков и специалистов по безопасности.

Контроль доступа особенно важен: неверно настроенные разрешения могут дать привилегированному кошельку чрезмерные полномочия.

Перед покупкой нового токена следует выяснить, может ли владелец контракта менять правила торговли после запуска.

Также нужно проверить, отказался ли владелец от прав на контракт, передал ли их timelock-контракту, контролируются ли они кошельком с мультиподписью или по-прежнему принадлежат одному приватному кошельку.

Отказ владельца от прав сам по себе не делает токен безопасным, однако контроль со стороны активного владельца требует особого внимания.

Криптовалютные honeypot и черные списки

Черный список — перечень адресов кошельков, которым контракт запрещает переводить или продавать токены.

Некоторые проекты используют функции черного списка в целях соблюдения требований, безопасности или реагирования на чрезвычайные ситуации.

В мошеннических токенах черные списки применяют, чтобы поймать покупателей после покупки.

Контракт может автоматически занести кошелек в черный список после покупки токена.

Владелец может вручную блокировать кошельки пользователей, пытающихся продать токены.

Контракт может заблокировать все адреса, кроме привилегированных кошельков.

Из-за этого токен может выглядеть активным, поскольку покупка по-прежнему работает.

Но обычные пользователи не могут выйти из позиции, когда захотят.

Следует проявлять особую осторожность, если в контракте токена есть функции черного списка, блокировки, контроля ботов, защиты от крупных держателей или ограничения переводов.

Такие функции не всегда являются вредоносными, но их возможностей достаточно, чтобы при злоупотреблении превратить токен в honeypot.

Криптовалютные honeypot и налог на продажу

Налог на продажу — это комиссия, взимаемая при продаже или переводе токена.

Некоторые токены взимают небольшие комиссии на обеспечение ликвидности, вознаграждения, сжигание токенов или пополнение казначейства.

Honeypot может использовать чрезвычайно высокий налог на продажу, чтобы поймать пользователя финансово, а не технически.

Например, контракт может разрешать продажу, но удерживать в виде комиссии большую часть ее стоимости.

Пользователь может считать токен доступным для продажи, поскольку транзакция не завершается ошибкой.

На деле после продажи почти ничего не остается.

В некоторых контрактах владелец может в любой момент изменить ставки комиссий.

Сначала налог на продажу может быть низким, а после того, как покупатели войдут в рынок, его могут повысить.

Следует проверять, являются ли комиссии фиксированными или ограниченными, можно ли их менять и контролируются ли они кошельком владельца.

Токен с изменяемыми налогами может превратиться в honeypot, даже если при запуске таковым не был.

Криптовалютные honeypot и пулы ликвидности

Многие токены-honeypot торгуются через пулы ликвидности.

Пул ликвидности содержит два актива, между которыми пользователи могут совершать обмен.

Мошенник может создать пул с новым токеном и ценным активом, а затем рекламировать токен как раннюю возможность для покупки.

Покупая новый токен, покупатели вносят в пул ценные активы.

Если продажа заблокирована, покупатели, попавшие в ловушку, не могут вернуть потраченный ценный актив.

Позже мошенник может вывести ликвидность, если контролирует токены поставщиков ликвидности.

Следует проверить, заблокирована ли ликвидность, на какой срок, кто контролирует токены поставщиков ликвидности и может ли сам контракт токена блокировать торговлю.

Блокировка ликвидности может снизить один из видов риска rug pull.

Но она не устраняет риск honeypot, если контракт токена блокирует продажу.

Даже пул с заблокированной ликвидностью может заманить пользователей в ловушку, если токен невозможно продать.

Криптовалютные honeypot и фиктивный объем торгов

Фиктивный объем торгов может придать honeypot более убедительный вид.

Мошенники могут торговать между собственными кошельками, чтобы создать видимость активности.

Они могут использовать ботов для множества небольших покупок и продаж с привилегированных кошельков.

Также они могут создать график, который выглядит как отражение органического спроса.

Кроме того, мошенники могут координировать публикации в соцсетях и утверждать, что токен покупают многие пользователи.

Фиктивный объем особенно опасен для новых токенов: пользователи часто ориентируются на графики и количество сделок, не разбираясь в коде контракта.

Рост графика не доказывает, что обычные покупатели могут продать токен.

Большое количество сделок не доказывает безопасность ликвидности.

У токена может быть видимая активность, хотя большинство пользователей оказались в ловушке.

Нужно сочетать анализ графика с анализом контракта и небольшими тестовыми транзакциями.

Криптовалютные honeypot и мошенничество в соцсетях

Соцсети — один из основных каналов распространения криптовалютных схем с honeypot.

Мошенники могут создавать фальшивые сообщества, скриншоты, публикации инфлюенсеров, страницы предпродажи, аирдропы и аккаунты поддержки.

В предупреждении SEC для инвесторов о мошенничестве с криптоактивами говорится, что злоумышленники используют популярность криптоактивов, чтобы заманивать розничных инвесторов в мошеннические схемы.

Мошенники также создают искусственную срочность, чтобы пользователи покупали токен, не проверив контракт.

К распространенным фразам относятся «скрытый запуск», «последний шанс», «ранний гем», «права на контракт отозваны», «ликвидность заблокирована» и «проект перешел под управление сообщества».

Некоторые из этих фраз могут использоваться добросовестно, но мошенники прибегают к ним, чтобы снизить бдительность пользователей.

Не следует доверять токену только потому, что о нем говорят многие аккаунты.

Социальное доказательство можно подделать с помощью ботов, платной рекламы и скоординированных групп.

Для полноценной проверки нужно изучить контракт, ликвидность, права собственности и возможность продажи токена.

Как распознать криптовалютный токен-honeypot

Первый тревожный признак — новый токен, который активно рекламируют, но о котором трудно найти информацию.

Второй — на графике много покупок, но почти нет обычных продаж.

Третий — транзакции продажи с обычных кошельков завершаются ошибкой.

Четвертый — в контракте есть функции черного или белого списка, контроля переводов, приостановки операций или изменения налогов.

Пятый — права на контракт остаются у одного кошелька без понятного объяснения.

Шестой — ликвидность не заблокирована, контролируется создателем контракта или заблокирована лишь на очень короткий срок.

Седьмой — у токена поддельный аудит, скопированный сайт или расплывчатый white paper.

Восьмой — сообщество нападает на всех, кто задает вопросы о безопасности.

Девятый — проект обещает легкую или гарантированную прибыль.

Десятый — невозможно найти четкую информацию о команде, контракте, токеномике и рисках.

Почему одних детекторов honeypot недостаточно

Инструменты для обнаружения honeypot могут быть полезны, но они несовершенны.

Детектор может имитировать покупку и продажу, чтобы проверить, можно ли продать токен.

Это помогает выявить простые honeypot.

Однако продвинутые honeypot могут разрешать небольшие тестовые продажи, а затем блокировать более крупные.

Их поведение может зависеть от адреса кошелька, номера блока, количества газа, размера сделки или состояния внешнего контракта.

Правила могут измениться уже после того, как токен успешно прошел проверку детектора.

Также могут использоваться прокси-контракты или скрытые зависимости, которые детектор анализирует не полностью.

Научные и отраслевые исследования продолжают изучать методы обнаружения honeypot, поскольку мошеннические контракты постоянно меняются.

Результат детектора следует считать одним из сигналов, а не гарантией.

По возможности пользователям все равно нужно вручную проверять разрешения контракта, ликвидность, права собственности и характер торговли.

Криптовалютные honeypot и верификация контрактов

Верификация контракта означает, что его исходный код опубликован и сопоставлен с развернутым байт-кодом в обозревателе блокчейна или системе верификации.

Проверить верифицированный контракт проще, чем неверифицированный.

Однако верификация кода не означает автоматически, что он безопасен.

Мошенник тоже может верифицировать вредоносный код.

Кроме того, контракт может вызывать другие контракты, что не всегда очевидно новичкам.

В официальных рекомендациях по безопасности Solidity сказано, что рекомендации по безопасности смарт-контрактов не могут быть исчерпывающими и разработчики должны внимательно изучать возможные ошибки.

Верифицированный код следует считать отправной точкой для анализа.

Нужно также проверить наличие внешних вызовов, элементов управления только для владельца, возможности обновления, скрытой логики налогов и ограничений переводов.

Неверефицированные контракты представляют еще больший риск, поскольку пользователи не могут легко проверить правила.

Новый токен с неверифицированным контрактом следует считать высокорискованным.

Криптовалютные honeypot и прокси-контракты

Прокси-контракт позволяет обновлять логику или делегировать ее другому контракту.

Прокси-паттерны могут быть полезны для легитимных приложений с возможностью обновления.

Но они также могут скрывать honeypot, если пользователь проверяет только адрес прокси, а не контракт реализации.

Мошенник может развернуть токен, который выглядит обычным, а позже обновить контракт реализации и заблокировать продажи.

Прокси также может вызывать внешние контракты, определяющие, разрешен ли перевод.

Это усложняет анализ: опасная логика может находиться не в видимом контракте токена.

Следует выяснить, можно ли обновлять токен и кто контролирует ключи обновления.

Также нужно проверить, верифицирован ли контракт реализации.

Возможность обновления не всегда плоха, но она создает дополнительные предположения о доверии.

Токен, правила которого можно менять после покупки, впоследствии может превратиться в honeypot.

Криптовалютные honeypot и разрешения кошелька

Некоторые схемы с honeypot связаны не только с токенами, которые невозможно продать, но и с вредоносными разрешениями кошелька.

Пользователь может перейти на фальшивую страницу получения награды и разрешить контракту тратить токены.

Позже контракт может вывести из кошелька активы, на которые получил разрешение.

Это не то же самое, что токен-honeypot с блокировкой продаж, но используется та же схема с приманкой и ловушкой.

Пользователь думает, что получает награду, устраняет проблему кошелька или участвует в запуске проекта.

На деле он предоставляет разрешение вредоносному контракту.

Перед подписанием нужно внимательно читать запросы кошелька.

Не следует давать неограниченные разрешения, если достаточно ограниченного.

После взаимодействия с высокорисковыми приложениями нужно отзывать ненужные разрешения.

Полезное правило: не разрешайте доступ контракту, которого не понимаете.

Криптовалютные honeypot и ловушки с газом

Ловушка с газом — это мошенническая схема, в которой пользователей обманом вынуждают отправить токены для оплаты газа на кошелек или контракт, но не дают вывести обещанные средства.

Такие ловушки часто встречаются в honeypot с сид-фразой.

Они также могут использоваться в фальшивых арбитражных контрактах или контрактах для получения наград.

Пользователь видит средства, которые, как кажется, можно вывести, но ему нужно сначала пополнить баланс для оплаты газа.

После перевода газа бот или контракт забирает его прежде, чем пользователь успевает что-либо сделать.

Ловушки с газом используют тот факт, что для перемещения активов во многих блокчейнах нужен нативный токен для оплаты газа.

Они также играют на жадности: жертва считает, что нашла бесплатные деньги.

Не следует отправлять газ на кошелек только потому, что на нем якобы есть активы.

Кошелек с публичной сид-фразой — не возможность заработать.

Почти всегда это приманка.

Криптовалютные honeypot и запуски новых токенов

Запуски новых токенов часто становятся местом появления honeypot, поскольку пользователи ожидают высокого риска и резких движений цены.

Мошенники используют эту обстановку, чтобы скрыть вредоносные действия в хаосе запуска.

У нового токена может быть небольшая история торгов, мало держателей, неясная ликвидность и ограниченный анализ контракта.

Пользователи могут спешить с покупкой, пока цена не выросла.

Эта спешка помогает honeypot распространяться.

Перед покупкой нового токена следует проверить, могут ли обычные кошельки его продать.

Нужно изучить разрешения контракта.

Следует проверить статус ликвидности.

Также важно изучить распределение токенов между держателями и действия создателя контракта.

Не стоит покупать токен только потому, что его график быстро растет.

Криптовалютные honeypot и мем-токены

Мем-токены часто становятся мишенью мошенников с honeypot, поскольку рынки мем-токенов быстро меняются и сильно зависят от внимания аудитории.

Мошенник может за короткое время создать токен с забавным названием, простым сайтом и активными аккаунтами в соцсетях.

Покупатели могут обращать внимание на энтузиазм сообщества, а не на код.

Поэтому запуски мем-токенов особенно благоприятны для появления honeypot.

Не каждый мем-токен является honeypot.

Однако эта категория связана с высоким риском: многие проекты имеют ограниченную полезность, анонимные команды и быстро меняющуюся ликвидность.

Нужно проявлять особую осторожность с мем-токенами без верифицированного контракта, прозрачной структуры управления и доказательств того, что токен можно продать.

Также следует быть осторожным, если единственный довод в пользу покупки — то, что другие тоже покупают.

Мем может привлечь внимание, но популярность не гарантирует безопасных правил перевода.

Безопасность контракта нужно оценивать отдельно от энтузиазма сообщества.

Криптовалютные honeypot и мошеннические схемы с майнингом ликвидности

Некоторые мошеннические схемы, похожие на honeypot, маскируются под возможности майнинга ликвидности.

Мошенник может предложить пользователям подключить кошелек к платформе, обещающей ежедневную доходность.

Предупреждение FBI IC3 о мошенничестве с майнингом ликвидности сообщает, что мошенники могут убеждать жертв подключать криптовалютные кошельки к фальшивым приложениям для майнинга ликвидности, после чего опустошать их.

В таких схемах ловушкой может быть вредоносное разрешение, фальшивая панель управления или контракт, который выводит активы.

Пользователь может думать, что получает пассивный доход.

На деле платформа создана для извлечения средств.

Обещание высокой ежедневной доходности — серьезный тревожный признак.

У реальной доходности DeFi есть риски, и ее механизм должен быть объяснимым.

Сайт, который обещает гарантированную ежедневную доходность и запрашивает разрешения кошелька, следует считать крайне опасным.

Логика honeypot может встречаться как при запусках токенов, так и в фальшивых продуктах для получения доходности.

Как безопасно проверить риск honeypot

Самый безопасный способ проверки — вообще не взаимодействовать с подозрительными токенами.

Если пользователь все же решит провести проверку, ему следует использовать отдельный кошелек без ценных активов.

Начинать нужно с очень небольшой суммы, которую пользователь готов потерять.

До внесения дополнительных средств следует попытаться продать токен.

Нельзя полагаться на один успешный тест продажи на небольшую сумму: продвинутые honeypot могут разрешать мелкие сделки.

Нужно проверить, может ли владелец контракта изменить правила после теста.

Следует выяснить, меняется ли налог на продажу в зависимости от суммы или времени.

Нужно проверить, использует ли токен внешние контракты для управления разрешениями на переводы.

Не следует подписывать широкие разрешения с того же кошелька, который используется для долгосрочного хранения активов.

Проверка может снизить некоторые риски, но не способна сделать подозрительный токен безопасным.

Что делать, если вы купили токен-honeypot

Первый шаг — прекратить отправлять дополнительные средства.

Второй — не платить тем, кто обещает разблокировать токен или вернуть его за комиссию.

Третий — сохранить хеши транзакций, адреса кошельков и контрактов, скриншоты, ссылки на сайты и сообщения в соцсетях.

Четвертый — если это безопасно, отозвать подозрительные разрешения у затронутого кошелька.

Пятый — перевести другие ценные активы на чистый кошелек, если сид-фраза или разрешения могли быть скомпрометированы.

Шестой — сообщить о мошенничестве в соответствующие органы или организации в вашей юрисдикции.

Седьмой — изучить поведение контракта, прежде чем взаимодействовать с похожими токенами.

Обычные пользователи могут не иметь возможности продать некоторые токены-honeypot, поэтому вернуть средства может быть невозможно.

Главное — предотвратить дальнейшие потери.

Мошенники, заманившие жертву в ловушку с одним активом, могут попытаться вовлечь ее и в мошеннические схемы якобы по возврату средств.

Как разработчикам не создавать токены, похожие на honeypot

Добросовестным разработчикам следует избегать правил перевода, из-за которых обычные пользователи чувствуют себя в ловушке.

Если в токене есть функции черного или белого списка, приостановки операций, комиссий или защиты от ботов, их нужно четко описать.

Ограничения комиссий должны быть прозрачными, а злоупотреблять ими должно быть сложно.

Необходимо раскрывать информацию о правах владельца и административных полномочиях.

Нужно объяснять разрешения на обновление контракта.

Внешние контракты, используемые для логики переводов, должны быть верифицированы и описаны.

Аудит безопасности должен охватывать именно развернутый контракт и все связанные с ним контракты.

Ограничения торговли должны быть ограничены по времени, разумны и известны пользователям до покупки.

Проектам не следует использовать маркетинговые формулировки, скрывающие ограничения переводов.

Токен может не быть задуман как мошеннический, однако неудачный дизайн все равно способен привести к последствиям, похожим на honeypot.

Тревожные признаки криптовалютного honeypot

Самый очевидный тревожный признак — токен можно купить, но нельзя продать.

Скрытые или изменяемые налоги на продажу — серьезный повод насторожиться.

Полномочия владельца контракта блокировать кошельки — серьезный тревожный признак.

Неверифицированный контракт у активно рекламируемого токена — серьезный тревожный признак.

Токен, по которому с обычных кошельков проходят только покупки, — серьезный тревожный признак.

Токен, который продвигают неизвестные аккаунты с обещаниями гарантированной прибыли, — серьезный тревожный признак.

Сид-фраза, публично опубликованная вместе с якобы доступными средствами, — серьезный тревожный признак.

Платформа, требующая дополнительную оплату в криптовалюте перед выводом средств, — серьезный тревожный признак.

Проект, отказывающийся отвечать на вопросы о контракте, — серьезный тревожный признак.

Сообщество, которое подталкивает пользователей к покупке до проверки безопасности, — серьезный тревожный признак.

Как избежать криптовалютных honeypot

Не покупайте новый токен только потому, что его график быстро растет.

До покупки значительного количества токенов проверьте, могут ли обычные кошельки их продать.

Используйте надежные инструменты анализа контрактов, но не полагайтесь на них полностью.

По возможности изучите разрешения контракта или обратитесь к квалифицированному специалисту по безопасности.

Убедитесь, что права собственности, возможность обновления, налоги, черные списки и ликвидность раскрыты прозрачно.

Для рискованных запусков токенов используйте отдельный кошелек.

Никогда не вводите сид-фразу на сайте или в форме поддержки.

Никогда не считайте раскрытую сид-фразу возможностью заработать.

С осторожностью относитесь к обещаниям гарантированной доходности, срочным сообщениям о запуске и фальшивым услугам по возврату средств.

Храните значительные долгосрочные активы отдельно от кошельков, которые используете для рискованных экспериментов.

FAQ

Что означает «криптовалютный honeypot»?

Криптовалютный honeypot — это мошенническая схема или ловушка, которая выглядит прибыльной или пригодной для использования, но создана для блокировки, кражи или удержания средств пользователей.

Что такое токен-honeypot?

Токен-honeypot обычно можно купить, но нельзя продать из-за скрытых ограничений в смарт-контракте.

Может ли цена токена-honeypot расти?

Да. Цена токена-honeypot может расти, если покупка работает, а для большинства пользователей продажа заблокирована.

Почему мошенники могут продавать токен, если обычные пользователи не могут?

Мошенники могут настроить контракт так, чтобы привилегированные кошельки были в белом списке, тогда как обычные покупатели заблокированы или облагаются чрезмерно высокими комиссиями.

Honeypot — это то же самое, что rug pull?

Нет. Honeypot не дает пользователям продать токены или вывести средства, а rug pull обычно связан с выводом ликвидности инсайдерами, продажей токенов или отказом от проекта.

Может ли токен стать honeypot после запуска?

Да. Токен может превратиться в honeypot позже, если владелец способен менять налоги, блокировать кошельки, обновлять логику контракта или менять правила переводов.

Надежны ли инструменты для обнаружения honeypot?

Эти инструменты полезны, но несовершенны: продвинутые honeypot могут менять поведение, разрешать небольшие тестовые продажи или скрывать логику во внешних контрактах.

Какой самый серьезный тревожный признак honeypot?

Главный тревожный признак — пользователи могут купить токен, но обычные кошельки не могут успешно его продать.

Можно ли вернуть деньги за токен-honeypot?

Вернуть средства часто сложно или невозможно. Поэтому следует сохранить доказательства, прекратить отправлять средства, отозвать рискованные разрешения и сообщить о мошенничестве в соответствующие органы или организации.

Что такое honeypot с сид-фразой?

Это мошенническая схема, в которой злоумышленники публикуют фразу восстановления кошелька, где якобы есть средства, чтобы украсть любой газ, отправленный жертвами.

Как избежать криптовалютных схем с honeypot?

Снизить риск можно, проверяя возможность продажи, разрешения контракта, ликвидность, права собственности, налоги и разрешения кошелька до взаимодействия с новым токеном или смарт-контрактом.

Означает ли верификация кода контракта, что токен безопасен?

Нет. Верификация лишь упрощает проверку кода, но не гарантирует отсутствия вредоносной логики или опасных разрешений.

Заключение

Криптовалютный honeypot — одна из самых опасных мошеннических схем на рынке цифровых активов, поскольку ловушка выглядит как возможность заработать.

Токен-honeypot может позволять покупку, но блокировать продажу.

Контракт-honeypot может казаться уязвимым, но тайно заманивать в ловушку каждого, кто с ним взаимодействует.

Honeypot с сид-фразой может показывать якобы доступные средства, одновременно крадя весь газ, отправленный жертвами.

Фальшивая платформа для вывода средств может показывать прибыль, но требовать дополнительных платежей для ее получения.

Все эти схемы основаны на одной и той же идее.

Пользователя заманивают внутрь, но система устроена так, чтобы он не мог безопасно выйти.

Лучший способ защиты — тщательно проверять все до подписания транзакции, покупки, выдачи разрешений или отправки средств.

Следует изучать контракты токенов, проверять ликвидность и права собственности, осторожно тестировать возможность продажи, избегать подозрительных сид-фраз и не доверять обещаниям гарантированной доходности.

Также важно помнить, что графики, ажиотаж и социальное доказательство можно подделать.

Токен, который выглядит прибыльным, небезопасен, если его контракт блокирует обычный выход из позиции.

Криптовалютные honeypot напоминают, что прозрачность блокчейна сама по себе не защищает пользователей от вредоносного кода.

Безопасность зависит от понимания того, что разрешает контракт, кто им управляет и могут ли пользователи действительно вывести средства или продать токены.

Для новичков и опытных пользователей правило простое.

Если криптовалютная возможность кажется срочной, простой, секретной или слишком хорошей, чтобы быть правдой, остановитесь и проверьте все детали, прежде чем рисковать средствами.