Cripto honeypot

O que é um cripto honeypot?

Cripto honeypot é um golpe ou armadilha em que um token, uma carteira, um contrato inteligente ou uma estrutura de investimento em cripto parece lucrativo ou vulnerável a exploração, mas foi criado para roubar fundos ou impedir que os usuários retirem valor.

No significado mais comum, relacionado a tokens, um golpe de honeypot permite que os usuários comprem um token, mas os impede de vendê-lo depois.

O token pode parecer normal em um gráfico, em uma carteira ou em uma interface de negociação descentralizada.

No entanto, o contrato inteligente pode conter regras ocultas que permitem vender apenas ao golpista, a carteiras privilegiadas ou a endereços incluídos em uma whitelist.

Quem compra o token pode ver o saldo aparecer na carteira, mas o token acaba praticamente sem valor porque o usuário não consegue sair da posição.

O termo honeypot vem da cibersegurança, em que um honeypot é um sistema-isca projetado para atrair invasores.

Em golpes com criptomoedas, a ideia é usada contra usuários comuns: o token ou contrato parece atraente, mas esconde a verdadeira armadilha.

Um honeypot clássico de contrato inteligente pode parecer conter uma falha que permite ao usuário roubar fundos, mas a lógica oculta faz com que ele perca dinheiro.

Um honeypot moderno de token pode parecer um token meme em rápida valorização, um lançamento DeFi ou uma oportunidade de baixa capitalização de mercado, mas o contrato bloqueia as vendas, acrescenta taxas extremas ou altera as regras depois que os usuários compram.

O cripto honeypot é perigoso porque explora tanto a complexidade técnica quanto as emoções humanas.

Como funciona um honeypot de cripto

Um honeypot de cripto geralmente começa com um contrato inteligente ou contrato de token malicioso.

O golpista lança um token que parece negociável e cria liquidez inicial para que os compradores possam adquiri-lo.

Em seguida, o golpista pode promover o token nas redes sociais, por mensagens privadas, publicações pagas, comunidades falsas, gráficos em alta ou grupos de negociação automatizada.

Os compradores veem o preço subir e acreditam ter encontrado uma oportunidade inicial.

A transação de compra é concluída, o que faz o token parecer legítimo.

A armadilha aparece quando o comprador tenta vender.

A transação de venda pode falhar, ser revertida, ser bloqueada por uma blacklist oculta, estar sujeita a uma taxa de venda próxima de cem por cento ou depender de condições que usuários comuns não conseguem cumprir.

Alguns honeypots permitem que apenas certas carteiras vendam, enquanto todos os demais ficam presos.

Alguns permitem pequenas vendas de teste, mas bloqueiam vendas maiores depois.

Outros alteram as taxas ou as regras de transferência depois que um número suficiente de usuários compra.

O objetivo é sempre o mesmo.

O golpista quer que os usuários coloquem criptomoedas reais no sistema, dificultando ou impossibilitando que retirem valor.

Por que os golpes de cripto honeypot são eficazes

Os golpes de cripto honeypot funcionam porque muitos usuários se concentram na variação do preço, não no comportamento do contrato.

Um gráfico pode mostrar uma rápida valorização do token mesmo que a maioria dos compradores não consiga vender.

Isso acontece porque carteiras controladas pelo golpista podem vender, enquanto as carteiras comuns ficam presas.

O resultado pode fazer o gráfico parecer indicar uma demanda real.

Novos usuários podem ver candles verdes, liquidez crescente e volume de negociação ativo sem perceber que as vendas estão restritas.

O golpe também funciona porque as transações de cripto costumam ser rápidas e não podem ser revertidas facilmente.

As orientações do FBI IC3 para vítimas de golpes com criptomoedas recomendam que as vítimas denunciem esses golpes rapidamente e desconfiem de qualquer pessoa que afirme poder recuperar os fundos.

Depois que o usuário compra um token honeypot ou assina uma transação maliciosa, recuperar os fundos pode ser extremamente difícil.

Os golpistas também se aproveitam do medo de ficar de fora (FOMO).

Quando os usuários acreditam que um token pode se valorizar dez ou cem vezes, podem deixar de fazer verificações básicas.

Por isso, os honeypots não são apenas armadilhas técnicas.

Também são armadilhas psicológicas.

Tipos comuns de golpes de cripto honeypot

O primeiro tipo comum é o honeypot que bloqueia a venda.

Esse golpe permite a compra, mas bloqueia a venda para usuários comuns.

O segundo tipo é o honeypot com taxa elevada.

Esse golpe permite a venda, mas cobra uma taxa enorme que elimina a maior parte ou todo o valor do usuário.

O terceiro tipo é o honeypot com blacklist.

Esse golpe permite que o proprietário do contrato inclua as carteiras dos compradores em uma blacklist, impedindo que elas transfiram ou vendam.

O quarto tipo é o honeypot com whitelist.

Esse golpe permite que apenas carteiras aprovadas vendam, geralmente incluindo as carteiras do golpista.

O quinto tipo é o honeypot de falsa vulnerabilidade.

Esse golpe faz o contrato parecer vulnerável para que usuários com curiosidade técnica enviem fundos, mas a lógica oculta os prende.

O sexto tipo é o honeypot de frase de recuperação.

Esse golpe exibe uma frase de recuperação de carteira que parece dar acesso a fundos, mas a carteira é configurada para que as vítimas tenham de enviar gas, que o golpista rouba automaticamente.

O sétimo tipo é o honeypot de painel de investimento falso.

Esse golpe exibe lucros em um site ou aplicativo, mas bloqueia os saques até que o usuário pague mais taxas.

Honeypots de tokens

Um honeypot de token é uma das formas mais comuns de cripto honeypot.

Geralmente, envolve um novo contrato de token com restrições ocultas na lógica de transferência ou venda.

O usuário pode comprar o token por meio de um pool de liquidez descentralizado e ver o saldo aparecer normalmente.

O token pode até ter nome, símbolo, logotipo, gráfico e presença nas redes sociais.

No entanto, o contrato pode incluir permissões controladas pelo proprietário que determinam quem pode transferir, vender ou interagir com o pool.

Alguns honeypots de tokens escondem essas restrições em códigos complexos.

Outros usam contratos proxy ou contratos externos para esconder a lógica real.

Alguns usam funções que parecem normais, mas se comportam de maneira diferente em determinadas condições.

Outros usam regras baseadas em tempo ou blocos para permitir operações de teste iniciais antes de ativar a armadilha.

Um honeypot de token é especialmente perigoso porque o usuário pode não perceber o problema até tentar vender.

Honeypots de contratos inteligentes

Um honeypot de contrato inteligente é um contrato que parece conter uma falha lucrativa, mas, na verdade, prende qualquer pessoa que tente explorá-la.

O artigo acadêmico Desmistificando honeypots em contratos inteligentes da Ethereum descreve contratos honeypot como contratos que atraem vítimas ao parecerem vulneráveis, embora contenham armadilhas ocultas.

Por exemplo, um contrato pode parecer permitir que qualquer pessoa retire fundos depois de enviar uma pequena quantia.

O usuário pode pensar que encontrou uma oportunidade fácil de arbitragem ou exploração.

Quando o usuário envia fundos, uma condição oculta do contrato impede o saque ou envia o valor ao golpista.

Esse tipo de honeypot explora a ganância e o excesso de confiança técnica.

A vítima pode acreditar que está explorando outra pessoa, mas o contrato foi criado para explorá-la.

Os honeypots de contratos inteligentes mostram por que os usuários não devem interagir com contratos desconhecidos só porque parecem vulneráveis.

Códigos desconhecidos podem conter dependências ocultas, nomes de funções enganosos e caminhos de execução difíceis de entender.

Até usuários experientes podem interpretar contratos maliciosos de forma equivocada quando o código é intencionalmente enganoso.

Honeypots de frases de recuperação

Um honeypot de frase de recuperação é um golpe em que invasores publicam ou enviam uma frase de recuperação de carteira que parece dar acesso a fundos.

A vítima importa a carteira e vê tokens ou ativos nela.

A carteira pode não ter tokens nativos suficientes para pagar a taxa de gas necessária para movimentar os ativos.

Então, a vítima envia gas para a carteira para tentar sacar os fundos aparentes.

Um bot controlado pelo golpista retira o gas imediatamente, antes que a vítima possa usá-lo.

Em outras versões, os ativos da carteira são falsos, estão bloqueados, não podem ser transferidos ou são controlados por regras de contratos inteligentes.

Esse golpe funciona porque a vítima pensa ter encontrado uma carteira com dados vazados.

A armadilha consiste em divulgar a carteira intencionalmente para atrair pessoas dispostas a morder a isca.

Uma frase de recuperação nunca deve ser tratada como um presente ou uma oportunidade.

Se uma pessoa desconhecida publicar uma frase de recuperação na internet, a opção mais segura é presumir que se trata de uma armadilha.

Honeypots de saque falso

Um honeypot de saque falso é um site ou aplicativo fraudulento que exibe lucros falsos, mas bloqueia o saque.

O usuário pode ser informado de que precisa pagar um imposto, uma taxa de verificação, de liquidez, de gas, de atualização ou de desbloqueio da conta antes de sacar.

Depois que o usuário paga, a plataforma exige outro pagamento.

As orientações da FTC sobre golpes de investimento alertam que golpes de investimento em criptomoedas podem exibir relatórios falsos de crescimento dos fundos enquanto os golpistas pressionam as vítimas a investir mais.

Esse tipo de honeypot nem sempre depende de um contrato de token malicioso.

Pode ser uma plataforma falsa totalmente controlada por golpistas.

O usuário vê números na tela, mas não existe saldo real disponível para saque.

O objetivo do golpista é fazer o usuário continuar pagando, criando a ilusão de que um pagamento maior está quase disponível.

Qualquer plataforma que exija pagamentos adicionais em cripto antes de liberar fundos deve ser tratada com extrema cautela.

Sistemas legítimos devem explicar claramente as taxas antes que os usuários depositem fundos.

Cripto honeypot e rug pulls

Um golpe de honeypot está relacionado a um rug pull, mas os dois nem sempre são a mesma coisa.

Um rug pull geralmente ocorre quando pessoas de dentro do projeto retiram liquidez, despejam tokens que controlam, abandonam o projeto ou usam funções do contrato para extrair valor.

Um honeypot se concentra em prender os usuários, impedindo que vendam, saquem ou saiam da posição.

Alguns golpes combinam os dois métodos.

Um golpista pode lançar um token honeypot, atrair compradores, bloquear as vendas e, em seguida, retirar a liquidez ou vender usando carteiras privilegiadas.

Pesquisas sobre detecção de rug pulls descreveram esquemas em que contratos maliciosos restringem a venda de tokens e deixam os investidores com tokens sem valor.

Os usuários devem entender que as categorias de golpes muitas vezes se sobrepõem.

Um token pode ser um honeypot, um rug pull, um token de utilidade falso e uma isca de phishing ao mesmo tempo.

O rótulo importa menos do que o risco.

Se os usuários não conseguem vender ou sacar, o resultado econômico costuma ser o mesmo.

Cripto honeypot e permissões de contratos inteligentes

As permissões de contratos inteligentes são um dos principais pontos em que o risco de honeypot pode se esconder.

Um contrato de token pode dar ao proprietário o poder de alterar taxas, pausar transferências, incluir carteiras em uma blacklist, aprovar vendedores em uma whitelist, emitir novos tokens, alterar endereços de roteadores ou atualizar a lógica externa.

Algumas permissões são usadas por motivos administrativos legítimos.

No entanto, permissões amplas e mal explicadas também podem ser usadas para prender usuários.

O OWASP Smart Contract Top 10 destaca as principais categorias de risco de contratos inteligentes para desenvolvedores e equipes de segurança.

O controle de acesso é especialmente importante porque permissões inadequadas podem dar poder excessivo a uma carteira privilegiada.

Antes de comprar um token novo, os usuários devem verificar se o proprietário do contrato pode alterar as regras de negociação após o lançamento.

Também devem verificar se a propriedade foi renunciada, transferida para um timelock, controlada por uma carteira multisig ou se ainda está nas mãos de uma única carteira privada.

Renunciar à propriedade não torna automaticamente um token seguro, mas o controle ativo do proprietário é um ponto importante a investigar.

Cripto honeypot e blacklists

Uma blacklist é uma lista de endereços de carteira que um contrato impede de transferir ou vender tokens.

Alguns projetos usam funções de blacklist por motivos de conformidade, segurança ou emergência.

Tokens fraudulentos usam blacklists para prender compradores depois da compra.

O contrato pode incluir automaticamente uma carteira na blacklist depois que ela compra.

O proprietário pode incluir manualmente na blacklist as carteiras que tentam vender.

O contrato pode bloquear todos os endereços, exceto as carteiras privilegiadas.

Isso pode fazer o token parecer ativo porque a compra continua funcionando.

No entanto, usuários comuns não conseguem sair quando querem.

Os usuários devem ter muito cuidado quando um contrato de token contém funções de blacklist, blocklist, controle de bots, anti-whale ou controle de transferências.

Essas funções nem sempre são maliciosas, mas têm poder suficiente para criar um honeypot se forem usadas de forma abusiva.

Cripto honeypot e taxas de venda

Uma taxa de venda é cobrada quando os usuários vendem ou transferem um token.

Alguns tokens usam taxas pequenas para financiar liquidez, recompensas, queimas ou o tesouro do projeto.

Um honeypot pode usar taxas de venda extremamente altas para prender os usuários economicamente, em vez de tecnicamente.

Por exemplo, o contrato pode permitir a venda, mas ficar com a maior parte do valor da venda como taxa.

O usuário pode achar que o token pode ser vendido porque a transação não falha.

Na realidade, a venda retorna quase nada.

Alguns contratos permitem que o proprietário altere as taxas a qualquer momento.

Um token pode começar com uma taxa de venda baixa e depois aumentá-la quando os compradores já estiverem envolvidos.

Os usuários devem verificar se as taxas são fixas, têm um limite, podem ser alteradas ou são controladas pela carteira do proprietário.

Um token com taxas alteráveis pode se tornar um honeypot mesmo que não fosse um no lançamento.

Cripto honeypot e pools de liquidez

Muitos tokens honeypot são negociados por meio de pools de liquidez.

Um pool de liquidez mantém dois ativos para que os usuários possam trocá-los entre si.

Um golpista pode criar um pool com um token novo e um ativo valioso e, depois, promover o token novo como uma oportunidade inicial.

Ao comprar o token novo, os compradores colocam ativos valiosos no pool.

Se a venda estiver bloqueada, os compradores presos não conseguem recuperar o ativo valioso que gastaram.

Mais tarde, o golpista pode retirar a liquidez se controlar os tokens do pool.

Os usuários devem verificar se a liquidez está bloqueada, por quanto tempo, quem controla os tokens do provedor de liquidez e se o próprio contrato do token pode bloquear as negociações.

Bloquear a liquidez pode reduzir um tipo de risco de rug pull.

Isso não elimina o risco de honeypot se o contrato do token bloquear as vendas.

Um pool bloqueado com um token que não pode ser vendido ainda pode prender os usuários.

Cripto honeypot e volume falso

O volume falso pode fazer um honeypot parecer mais legítimo do que realmente é.

Os golpistas podem negociar entre as próprias carteiras para criar atividade.

Também podem usar bots para gerar muitas pequenas compras e vendas por meio de carteiras privilegiadas.

Podem criar um gráfico que pareça mostrar demanda orgânica.

Também podem coordenar publicações nas redes sociais afirmando que muitos usuários estão comprando.

O volume falso é especialmente perigoso para tokens novos porque os usuários muitas vezes se baseiam em gráficos e contagens de negociações quando não entendem o código do contrato.

Um gráfico em alta não prova que compradores comuns podem vender.

Um grande número de negociações não prova que a liquidez é segura.

Um token pode parecer ativo enquanto a maioria dos usuários está presa.

Os usuários devem combinar a análise do gráfico com a análise do contrato e pequenas transações de teste.

Cripto honeypot e golpes nas redes sociais

As redes sociais são um importante canal de divulgação de golpes de cripto honeypot.

Os golpistas podem criar comunidades falsas, capturas de tela falsas, publicações falsas de influenciadores, páginas falsas de pré-venda, airdrops falsos e contas falsas de suporte.

O alerta da SEC sobre golpes com criptoativos adverte que fraudadores exploram a popularidade dos criptoativos para atrair investidores de varejo para golpes.

Os golpistas também podem criar uma falsa sensação de urgência para levar os usuários a comprar antes de verificar o contrato.

Entre as frases comuns estão “lançamento stealth”, “última chance”, “joia rara”, “propriedade renunciada”, “liquidez bloqueada” e “tomada pela comunidade”.

Algumas dessas expressões podem ser usadas de forma legítima, mas os golpistas as usam para reduzir o ceticismo dos usuários.

Os usuários não devem confiar em um token apenas porque muitas contas estão falando dele.

A prova social pode ser falsificada com bots, promoções pagas e grupos coordenados.

Uma análise cuidadosa de verdade exige verificar o contrato, a liquidez, a propriedade e a possibilidade de venda.

Como identificar um token cripto honeypot

O primeiro sinal de alerta é o token ser novo, muito promovido e difícil de pesquisar.

O segundo é a maior parte da atividade do gráfico mostrar compras e pouquíssimas vendas comuns.

O terceiro é que as transações de venda falham para carteiras comuns.

O quarto é o contrato ter funções de blacklist, whitelist, controle de transferências, pausa ou alteração de taxas.

O quinto é a propriedade continuar nas mãos de uma única carteira sem uma justificativa clara.

O sexto é a liquidez estar desbloqueada, ser controlada pelo deployer ou estar bloqueada por um período muito curto.

O sétimo é o token ter uma auditoria falsa, um site copiado ou um white paper vago.

O oitavo é a comunidade atacar qualquer pessoa que faça perguntas sobre segurança.

O nono é o projeto prometer lucros fáceis ou garantidos.

O décimo é o usuário não conseguir encontrar informações claras sobre a equipe, o contrato, a tokenomics e os riscos.

Por que detectores de honeypot não são suficientes

Ferramentas de detecção de honeypot podem ajudar, mas não são perfeitas.

Um detector pode simular compras e vendas para verificar se é possível vender um token.

Isso pode identificar honeypots simples.

No entanto, honeypots avançados podem permitir pequenas vendas de teste e bloquear vendas maiores depois.

Podem se comportar de maneira diferente dependendo do endereço da carteira, do número do bloco, da quantidade de gas, do tamanho da negociação ou do estado de um contrato externo.

Podem alterar as regras depois que o teste do detector for aprovado.

Também podem usar contratos proxy ou dependências ocultas que o detector não analisa por completo.

Pesquisas acadêmicas e do setor continuam estudando a detecção de honeypots porque os contratos fraudulentos não param de evoluir.

O resultado de um detector deve ser tratado como um sinal, não como garantia.

Sempre que possível, os usuários ainda devem analisar manualmente as permissões do contrato, a liquidez, a propriedade e o comportamento das negociações.

Cripto honeypot e verificação de contratos

A verificação de contrato significa que o código-fonte é publicado e corresponde ao bytecode implantado em um explorador de blockchain ou sistema de verificação.

É mais fácil inspecionar um contrato verificado do que um contrato não verificado.

No entanto, um código verificado não significa automaticamente que ele é seguro.

Um golpista pode verificar um código malicioso.

Um contrato também pode chamar outros contratos que não são óbvios para iniciantes.

As considerações oficiais de segurança do Solidity explicam que as orientações de segurança para contratos inteligentes não podem ser completas e que os desenvolvedores precisam compreender cuidadosamente as armadilhas.

Os usuários devem tratar o código verificado como um ponto de partida para a análise.

Ainda devem verificar se o contrato contém chamadas externas, controles exclusivos do proprietário, possibilidade de atualização, lógica oculta de taxas e restrições de transferência.

Contratos não verificados são ainda mais arriscados, pois os usuários não conseguem inspecionar facilmente as regras.

Um token novo com contrato não verificado deve ser tratado como de alto risco.

Cripto honeypot e contratos proxy

Um contrato proxy pode permitir que a lógica seja atualizada ou delegada a outro contrato.

Padrões proxy podem ser úteis para aplicativos atualizáveis legítimos.

Também podem esconder comportamentos de honeypot se os usuários inspecionarem apenas o endereço proxy, e não o contrato de implementação.

Um golpista pode lançar um token que parece normal e depois atualizar a implementação para bloquear as vendas.

Um proxy também pode chamar contratos externos que determinam se uma transferência é permitida.

Isso dificulta a análise porque a lógica perigosa pode não estar no contrato do token visível.

Os usuários devem verificar se um token pode ser atualizado e quem controla as chaves de atualização.

Também devem verificar se o contrato de implementação está verificado.

A possibilidade de atualização nem sempre é ruim, mas cria pressupostos de confiança.

Um token cujas regras podem ser alteradas depois que os usuários compram pode se tornar um honeypot posteriormente.

Cripto honeypot e aprovações de carteira

Alguns golpes de honeypot envolvem aprovações maliciosas de carteira, em vez de apenas tokens impossíveis de vender.

O usuário pode acessar uma página falsa de resgate e aprovar que um contrato gaste seus tokens.

Depois, o contrato pode retirar da carteira os ativos aprovados.

Isso não é o mesmo que um honeypot de token que bloqueia a venda, mas usa o mesmo padrão de isca e armadilha.

O usuário pensa que está resgatando uma recompensa, corrigindo um problema na carteira ou participando de um lançamento.

Na realidade, está concedendo permissão a um contrato malicioso.

Os usuários devem ler atentamente as solicitações da carteira antes de assinar.

Devem evitar aprovações ilimitadas quando uma aprovação limitada é suficiente.

Após interações de alto risco, devem revogar as aprovações desnecessárias.

Uma boa regra é nunca aprovar um contrato que você não entende.

Cripto honeypot e armadilhas de gas

Uma armadilha de gas é um golpe em que os usuários são induzidos a enviar tokens de gas para uma carteira ou contrato, mas não conseguem sacar os fundos anunciados.

Isso é comum em honeypots de frases de recuperação.

Também pode acontecer com contratos falsos de arbitragem ou de resgate.

O usuário vê um valor que parece poder ser sacado, mas precisa adicionar gas primeiro.

Depois que o usuário envia gas, um bot ou contrato o retira antes que ele possa agir.

As armadilhas de gas exploram o fato de que muitas blockchains exigem tokens nativos de gas para movimentar ativos.

Também exploram a ganância, pois a vítima acredita ter encontrado dinheiro grátis.

Os usuários nunca devem enviar gas para uma carteira só porque ela parece conter ativos.

Uma carteira com frase de recuperação pública não é uma oportunidade.

Quase sempre é uma isca.

Cripto honeypot e lançamentos de novos tokens

Novos lançamentos de tokens são um ambiente comum para honeypots porque os usuários esperam alto risco e movimentos rápidos.

Os golpistas aproveitam esse ambiente para esconder comportamentos maliciosos em meio ao caos do lançamento.

Um token novo pode ter pouco histórico de negociação, poucos holders, liquidez pouco clara e análise limitada do contrato.

Os usuários podem correr para comprar antes que o preço suba.

Essa urgência ajuda os honeypots a se espalharem.

Antes de comprar um token novo, os usuários devem verificar se carteiras comuns conseguem vender.

Devem inspecionar as permissões do contrato.

Devem verificar o status da liquidez.

Devem analisar a distribuição de holders e a atividade do deployer.

Devem evitar comprar apenas porque o gráfico está se movimentando rapidamente.

Cripto honeypot e tokens meme

Tokens meme são frequentemente alvo de golpes de honeypot porque esses mercados se movimentam rapidamente e dependem muito da atenção.

Um golpista pode criar rapidamente um token com nome engraçado, site simples e contas ativas nas redes sociais.

Os compradores podem se concentrar na energia da comunidade, em vez de analisar o código.

Isso faz dos lançamentos de tokens meme um terreno fértil para honeypots.

Nem todo token meme é um honeypot.

No entanto, essa categoria é de alto risco porque muitos projetos têm utilidade limitada, equipes anônimas e liquidez que muda rapidamente.

Os usuários devem ter cuidado especial com tokens meme sem contrato verificado, estrutura de propriedade clara ou evidências de que podem ser vendidos.

Também devem desconfiar quando o único argumento para comprar é que outras pessoas estão comprando.

Um meme pode atrair atenção, mas isso não garante regras de transferência seguras.

A segurança do contrato deve ser verificada separadamente do entusiasmo da comunidade.

Cripto honeypot e golpes de mineração de liquidez

Alguns golpes no estilo honeypot se apresentam como oportunidades falsas de mineração de liquidez.

O golpista pode dizer aos usuários que conectem uma carteira a uma plataforma que promete retornos diários.

O alerta do FBI IC3 sobre golpes de mineração de liquidez adverte que golpistas podem convencer vítimas a conectar carteiras de criptomoedas a aplicativos fraudulentos de mineração de liquidez e, em seguida, esvaziar os fundos.

Nesses golpes, a armadilha pode ser uma aprovação maliciosa, um painel falso ou um contrato que retira ativos.

O usuário pode acreditar que está recebendo rendimento passivo.

Em vez disso, a plataforma foi criada para extrair fundos.

Promessas de alto retorno diário são um grande sinal de alerta.

O rendimento real de DeFi envolve riscos e deve ser explicável.

Um site que promete retornos diários garantidos e solicita permissões para a carteira deve ser tratado como extremamente perigoso.

A lógica de honeypot pode aparecer tanto em lançamentos de tokens quanto em produtos falsos de rendimento.

Como testar o risco de honeypot com segurança

O teste mais seguro é evitar interagir totalmente com tokens suspeitos.

Se ainda assim decidir testar, o usuário deve usar uma carteira separada, sem ativos valiosos.

Deve começar com uma quantia muito pequena que possa perder.

Deve tentar vender antes de adicionar mais fundos.

Não deve confiar em uma única venda pequena bem-sucedida, porque honeypots avançados podem permitir pequenas vendas.

Deve verificar se o proprietário do contrato pode alterar as regras depois do teste.

Deve verificar se a taxa de venda muda conforme o valor ou o tempo.

Deve verificar se o token usa contratos externos para autorizar transferências.

Deve evitar assinar aprovações amplas na mesma carteira usada para manter ativos de longo prazo.

Os testes podem reduzir alguns riscos, mas não tornam seguro um token suspeito.

O que fazer se você comprou um token honeypot

O primeiro passo é parar de enviar mais fundos.

O segundo é não pagar a ninguém que afirme poder desbloquear ou recuperar o token mediante uma taxa.

O terceiro é guardar hashes de transações, endereços de carteira, endereços de contratos, capturas de tela, links de sites e mensagens das redes sociais.

O quarto é revogar aprovações suspeitas da carteira afetada, se for seguro fazê-lo.

O quinto é transferir outros ativos valiosos para uma carteira limpa se a frase de recuperação ou as aprovações puderem estar comprometidas.

O sexto é denunciar o golpe pelos canais apropriados da sua jurisdição.

O sétimo é aprender com o comportamento do contrato antes de interagir novamente com tokens semelhantes.

Alguns tokens honeypot não podem ser vendidos por usuários comuns, portanto talvez não seja possível recuperar os fundos.

A medida mais importante é evitar perdas adicionais.

Um golpe que já prendeu um ativo também pode tentar atrair a vítima para golpes de recuperação.

Como desenvolvedores podem evitar criar tokens parecidos com honeypots

Desenvolvedores honestos devem evitar regras de transferência que façam usuários comuns se sentirem presos.

Se um token tiver funções de blacklist, whitelist, pausa, taxas ou anti-bot, elas devem ser documentadas com clareza.

Os limites das taxas devem ser transparentes e difíceis de usar de forma abusiva.

Os controles de propriedade e administração devem ser divulgados.

As permissões de atualização devem ser explicadas.

Contratos externos usados para a lógica de transferência devem ser verificados e documentados.

As auditorias de segurança devem abranger o contrato implantado exato e quaisquer contratos relacionados.

As restrições de negociação devem ter prazo limitado, ser razoáveis e estar visíveis antes de os usuários comprarem.

Os projetos devem evitar linguagem promocional que esconda limitações de transferência.

Um token pode não ter sido criado como golpe, mas um design inadequado ainda pode resultar em situações parecidas com honeypots para os usuários.

Sinais de alerta de cripto honeypot

Um token que pode ser comprado, mas não vendido, é o sinal de alerta mais claro.

Um contrato com taxas de venda ocultas ou alteráveis é um grande sinal de alerta.

Um proprietário de contrato com poder para bloquear carteiras é um grande sinal de alerta.

Um contrato não verificado para um token muito promovido é um grande sinal de alerta.

Um token com apenas transações de compra de carteiras comuns é um grande sinal de alerta.

Um token promovido por contas desconhecidas com promessas de lucro garantido é um grande sinal de alerta.

Uma frase de recuperação publicada publicamente com fundos aparentes é um grande sinal de alerta.

Uma plataforma que exige mais criptomoedas antes de liberar saques é um grande sinal de alerta.

Um projeto que se recusa a responder a perguntas sobre o contrato é um grande sinal de alerta.

Uma comunidade que pressiona os usuários a comprar antes de verificar a segurança é um grande sinal de alerta.

Boas práticas para evitar cripto honeypots

Não compre um token novo apenas porque o gráfico está subindo rapidamente.

Antes de comprar quantias significativas, verifique se carteiras comuns conseguem vender.

Use ferramentas confiáveis de análise de contratos, mas não dependa totalmente delas.

Leia as permissões do contrato ou, sempre que possível, peça a avaliação de um profissional qualificado em segurança.

Verifique se a propriedade, a possibilidade de atualização, as taxas, as blacklists e a liquidez são transparentes.

Use uma carteira separada para lançamentos de tokens arriscados.

Nunca insira uma frase de recuperação em um site ou formulário de suporte.

Nunca trate uma frase de recuperação vazada como uma oportunidade.

Desconfie de retornos garantidos, mensagens urgentes sobre lançamentos e serviços falsos de recuperação.

Mantenha grandes posições de longo prazo longe das carteiras usadas para experimentos arriscados.

Perguntas frequentes

O que significa cripto honeypot?

Cripto honeypot é um golpe ou armadilha em cripto que parece lucrativo ou utilizável, mas foi criado para bloquear, roubar ou impedir o acesso aos fundos dos usuários.

O que é um token honeypot?

Um token honeypot é um token que os usuários geralmente conseguem comprar, mas não vender, por causa de restrições ocultas no contrato inteligente.

Um token honeypot pode mostrar um preço em alta?

Sim. Um token honeypot pode mostrar um preço em alta porque as compras podem funcionar enquanto as vendas são bloqueadas para a maioria dos usuários.

Por que os golpistas conseguem vender quando os usuários comuns não conseguem?

Os golpistas podem criar o contrato para incluir carteiras privilegiadas em uma whitelist, enquanto bloqueiam ou tributam pesadamente os compradores comuns.

Um honeypot é a mesma coisa que um rug pull?

Não. Um honeypot impede os usuários de vender ou sacar, enquanto um rug pull geralmente envolve pessoas de dentro do projeto retirando liquidez, despejando tokens ou abandonando o projeto.

Um token pode se tornar um honeypot depois do lançamento?

Sim. Um token pode se tornar um honeypot mais tarde se o proprietário puder alterar taxas, bloquear carteiras, atualizar a lógica do contrato ou mudar as regras de transferência.

As ferramentas de detecção de honeypot são confiáveis?

As ferramentas de detecção de honeypot são úteis, mas não são perfeitas, pois honeypots avançados podem mudar de comportamento, permitir pequenas vendas de teste ou esconder lógica em contratos externos.

Qual é o maior sinal de alerta de um honeypot?

O maior sinal de alerta é os usuários conseguirem comprar o token, mas carteiras comuns não conseguirem vendê-lo com sucesso.

Posso recuperar o dinheiro de um token honeypot?

A recuperação costuma ser difícil ou impossível. Por isso, os usuários devem preservar evidências, parar de enviar fundos, revogar aprovações arriscadas e denunciar o golpe, quando apropriado.

O que é um honeypot de frase de recuperação?

Um honeypot de frase de recuperação é um golpe em que invasores publicam uma frase de recuperação de carteira que parece dar acesso a fundos, mas foi criada para roubar o gas enviado pelas vítimas.

Como posso evitar golpes de cripto honeypot?

Você pode reduzir os riscos verificando a possibilidade de venda, as permissões do contrato, a liquidez, a propriedade, as taxas e as aprovações antes de interagir com um token ou contrato inteligente novo.

Um código de contrato verificado significa que o token é seguro?

Não. Um código verificado apenas é mais fácil de inspecionar; isso não significa que o token esteja livre de lógica maliciosa ou permissões perigosas.

Conclusão

O cripto honeypot é um dos padrões de golpe mais perigosos no mercado de ativos digitais porque faz uma armadilha parecer uma oportunidade.

Um token honeypot pode permitir que os usuários comprem, mas bloqueá-los quando tentarem vender.

Um contrato honeypot pode parecer vulnerável, mas prender secretamente qualquer pessoa que interaja com ele.

Um honeypot de frase de recuperação pode mostrar fundos aparentes enquanto rouba todo o gas enviado pelas vítimas.

Uma plataforma falsa de saque pode exibir lucros e exigir mais pagamentos antes de liberá-los.

Todos esses golpes se baseiam na mesma ideia.

O usuário é incentivado a entrar, mas o sistema foi criado para impedir que saia em segurança.

A melhor defesa é verificar tudo cuidadosamente antes de assinar, comprar, aprovar ou enviar fundos.

Os usuários devem inspecionar os contratos dos tokens, verificar a liquidez, analisar a propriedade, testar com cautela se é possível vender, evitar frases de recuperação suspeitas e desconfiar de retornos garantidos.

Também devem lembrar que gráficos, hype e prova social podem ser falsificados.

Um token que parece lucrativo não é seguro se o contrato bloqueia saídas comuns.

O cripto honeypot é um lembrete de que a transparência da blockchain não protege automaticamente os usuários contra códigos maliciosos.

A segurança depende de entender o que o contrato permite, quem o controla e se os usuários realmente conseguem sacar ou vender.

Para iniciantes e usuários avançados, a regra mais segura é simples.

Se uma oportunidade em cripto parecer urgente, fácil demais, secreta ou boa demais para ser verdade, pare e verifique todos os detalhes antes de arriscar seus fundos.