Honeypot (ang. honeypot, dosł. „garnek miodu”) to w kryptowalutach token lub smart kontrakt skonstruowany tak, że można go kupić, ale nie da się go sprzedać – albo sprzedaż jest obłożona opłatą zabierającą praktycznie całą kwotę. Wykres rośnie, bo wszyscy mogą tylko kupować, co przyciąga kolejne ofiary. Twórca, który jako jedyny może sprzedawać, w odpowiednim momencie wypłaca płynność z puli.
Nazwa „honeypot” w bezpieczeństwie IT oznacza też pułapkę na hakerów – system udający podatny cel. W tym haśle chodzi o znaczenie z rynku tokenów.
Jak działa pułapka – typowe mechanizmy
| Mechanizm | Co robi kontrakt |
|---|---|
| Podatek od sprzedaży | przy sprzedaży pobiera 90–100% tokenów lub funkcja podatku pozwala właścicielowi podnieść go w dowolnej chwili |
| Czarna lista (blacklist) | każdy adres, który kupił, zostaje automatycznie lub ręcznie zablokowany |
| Biała lista | sprzedawać mogą tylko adresy wskazane przez twórcę |
| Blokada transferu do puli | transfer do adresu pary na DEX-ie jest odrzucany dla wszystkich poza właścicielem |
| Limit transakcji | maksymalna kwota sprzedaży ustawiona na niemal zero |
| Proxy z podmianą kodu | kontrakt jest „uczciwy” przy starcie, a potem właściciel podmienia logikę |
Przykład kodu
Uproszczony fragment funkcji transferu w tokenie typu honeypot może wyglądać tak:
function _transfer(address from, address to, uint256 amount) internal {
if (to == pair && from != owner) {
uint256 fee = amount * sellTax / 100; // sellTax = 99
super._transfer(from, owner, fee);
amount -= fee;
}
super._transfer(from, to, amount);
}Kupno (transfer z puli do Ciebie) przechodzi bez opłat. Sprzedaż (transfer do puli) oddaje 99% tokenów właścicielowi. W prawdziwych oszustwach taki warunek jest ukryty w dziedziczonych kontraktach, nazwany niewinnie albo aktywowany dopiero po kilku godzinach od startu.
Przykład: co zostaje z zakupu
Załóżmy, że kupujesz token za równowartość 1 000 USDC. Wykres pokazuje +300%, więc Twoja pozycja jest „warta” 4 000 USDC. Próbujesz sprzedać, a kontrakt pobiera 99% podatku:
- do puli trafia 1% tokenów, czyli równowartość około 40 USDC według ceny z wykresu,
- w praktyce dostaniesz jeszcze mniej, bo płynność w puli jest niewielka, a twórca mógł ją już wypłacić,
- przy wersji z czarną listą transakcja po prostu się nie wykona, a zapłacisz tylko za gaz.
Wyświetlana wartość portfela to nie pieniądze, które możesz wypłacić.
Honeypot a rug pull
Oba oszustwa kończą się utratą środków, ale różni je mechanizm. W rug pullu token da się sprzedać, lecz twórca wycofuje płynność z puli albo sprzedaje ogromny zapas tokenów – cena spada do zera, a sprzedaż przestaje mieć sens. W honeypocie sprzedaż jest zablokowana od początku przez kod. Honeypot często kończy się rug pullem: gdy napłynie wystarczająco dużo pieniędzy, twórca wypłaca płynność.
Jak sprawdzić token przed zakupem
- Kod zweryfikowany w eksploratorze (Etherscan, BscScan i odpowiedniki). Brak weryfikacji to poważny sygnał ostrzegawczy.
- Skaner kontraktu – narzędzia typu Honeypot.is, Token Sniffer czy GoPlus symulują kupno i sprzedaż oraz pokazują podatki i uprawnienia właściciela. Wynik jest wskazówką, nie gwarancją.
- Historia transakcji – wiele zakupów i brak sprzedaży przez różne adresy to klasyczny sygnał.
- Uprawnienia właściciela – czy kontrakt ma funkcje zmiany podatku, blacklisty, pauzy, mintowania; czy właściciel zrzekł się uprawnień.
- Płynność – czy tokeny LP są zablokowane i na jak długo.
- Test małą kwotą – kup i od razu sprzedaj minimalną ilość. Pamiętaj, że pułapka może być aktywowana później lub działać tylko powyżej pewnej kwoty.
Najczęstsze błędy
- Kupowanie tokena tylko dlatego, że wykres rośnie pionowo, a na czacie wszyscy „trzymają”.
- Zaufanie jednemu skanerowi, który pokazał „OK”.
- Założenie, że udana sprzedaż testowa gwarantuje bezpieczeństwo na zawsze.
- Kupowanie przez link z wiadomości prywatnej zamiast przez zweryfikowany adres kontraktu.
- Zatwierdzanie nielimitowanych uprawnień (approve) dla nieznanych kontraktów.
Perspektywa tradera
Handel świeżo wypuszczonymi tokenami na DEX-ach to środowisko, w którym oszustwa są normą, a nie wyjątkiem. Jeśli w nie wchodzisz, traktuj każdą pozycję jak potencjalną stratę 100% i dobieraj jej wielkość tak, by utrata całości nie miała znaczenia dla rachunku. Używaj osobnego portfela z niewielkim saldem, regularnie odwołuj uprawnienia approve i zawsze sprawdzaj możliwość sprzedaży, zanim dołożysz do pozycji.
Najczęstsze pytania
Czy da się odzyskać środki z honeypota?
Zwykle nie. Transakcje w blockchainie są nieodwracalne, a kontrakt celowo blokuje sprzedaż.
Czy skaner honeypotów daje pewność?
Nie. Wykrywa typowe wzorce, ale nie wszystkie – zwłaszcza pułapki aktywowane później lub ukryte w kontraktach proxy.
Czym honeypot różni się od rug pulla?
W honeypocie nie możesz sprzedać z powodu kodu. W rug pullu możesz sprzedać, ale twórca zabrał płynność i cena spadła do zera.
Czy honeypoty występują na dużych giełdach?
Rzadko. Głównie spotyka się je na zdecentralizowanych giełdach, gdzie każdy może bez weryfikacji utworzyć token i pulę.
Co to znaczy, że właściciel zrzekł się kontraktu?
Adres właściciela ustawiono na adres zerowy, więc nikt nie wywoła funkcji administracyjnych. Pułapka wpisana na stałe w kod nadal jednak działa.
Tekst ma charakter edukacyjny i nie stanowi rekomendacji inwestycyjnej.
