Truffe Honeypot nel mondo delle criptovalute: come verificare se è possibile vendere un token

Importante: un token che può essere acquistato non è necessariamente un token che può essere venduto. Una truffa "honeypot" nel settore delle criptovalute è progettata proprio per creare questa falsa impressione: l'acquisto sembra funzionare, mentre il contratto blocca la vendita, applica una tassa di vendita esorbitante, limita determinati wallet o lascia una liquidità utilizzabile insufficiente per uscire dall'investimento.

Esempio fittizio a scopo illustrativo: Maya vede un post sui social media che promuove un nuovo token chiamato LumaFox. Il post mostra un grafico in crescita e un indirizzo di contratto, ma lei non ha verificato se l'indirizzo appartiene al progetto reale. Prima di collegare un portafoglio o inviare fondi, vuole rispondere a una domanda specifica: "Un normale portafoglio potrebbe vendere questo token attraverso il canale di trading indicato?". I controlli seguenti mostrano come Maya procederebbe. LumaFox, il post e qualsiasi risultato descritto in questo esempio sono fittizi; non si tratta di un token reale, di una testimonianza o di un test.

Cosa rende un token una trappola per insetti?

In questo contesto, un honeypot è un token le cui regole di trading rendono più facile l'acquisto che la vendita. La restrizione può essere evidente, come un trasferimento non riuscito, o sottile, come una commissione di vendita vicina all'intero valore della transazione. Alcuni contratti consentono inoltre a un amministratore di sospendere i trasferimenti, modificare le tasse, inserire i wallet in una blacklist o modificare il percorso di trading in un secondo momento.

Il termine "honeypot" non descrive ogni token difficile da vendere. Un token legittimo può non essere venduto perché un exchange decentralizzato ha liquidità insufficiente, il percorso scelto è errato, la rete è congestionata, il wallet non dispone del token di gas nativo della rete o il limite di slippage è troppo basso. L'obiettivo pratico, quindi, non è ottenere un'etichetta rassicurante, ma identificare se il problema deriva dal contratto del token, dal mercato o dalla configurazione della transazione.

Uniswap Labs spiega che uno scambio può fallire quando l'output effettivo supera il limite di slippage selezionato e che un token può anche contenere una commissione. La sua guida sui token non vendibili raccomanda di esaminare le transazioni fallite, gli avvisi come un'apparente commissione di vendita del 100% e ulteriori strumenti di analisi dei token. Leggi la guida di Uniswap Labs sulle truffe relative ai token non vendibili per gli avvertimenti specifici dell'interfaccia attualmente in vigore.

Passaggio 1: Confermare l'indirizzo e la catena esatti del token

Maya non dovrebbe limitarsi a cercare "LumaFox" o il suo ticker. I nomi e i simboli dei token possono essere copiati. Dovrebbe invece ottenere l'indirizzo del contratto da un sito web o un account del progetto che possa verificare in modo indipendente, per poi accertarsi che l'indirizzo si trovi sulla blockchain corretta. Incollare un indirizzo Ethereum in un verificatore di blockchain BNB, o associare un indirizzo autentico a una rete falsa, può produrre risultati fuorvianti.

Se possibile, copia direttamente l'indirizzo, confronta i primi e gli ultimi caratteri e verifica la rete mostrata dall'explorer e dall'interfaccia di trading. Non utilizzare un indirizzo fornito solo tramite messaggio privato non richiesto. La Federal Trade Commission (FTC) avverte che i truffatori possono promuovere criptovalute o token fraudolenti attraverso i social media, siti web ben curati e affermazioni convincenti. Una pagina dall'aspetto professionale non è prova di proprietà o legittimità.

Passaggio 2: Eseguire una simulazione di acquisto e vendita

Un verificatore di honeypot in sola lettura può simulare il percorso di trading senza chiedere a Maya di acquistare il token. La documentazione API di Honeypot.is descrive un endpoint che accetta un indirizzo di token o di coppia e può segnalare l'esito della simulazione, il risultato dell'honeypot, le tasse di acquisto e vendita, le stime del gas, gli importi massimi di acquisto o vendita rilevati, l'analisi dei detentori e le informazioni sulla coppia.

Per una lettura pratica del risultato, Maya dovrebbe esaminare il risultato in quest'ordine:

1. Stato della simulazione: se la simulazione non è andata a buon fine, leggere l'errore. "Non riuscito" non significa necessariamente presenza di codice dannoso; anche una liquidità insufficiente o un problema temporaneo di routing possono esserne la causa. Significa comunque che non ha una conferma chiara della vendibilità.
2. Esito della vendita: una simulazione di acquisto e di vendita andata a buon fine è più informativa di un grafico dei prezzi. Il risultato dovrebbe mostrare un percorso di vendita e un importo di output significativo, non semplicemente l'esistenza del token.
3. Imposta sulle vendite: un'imposta nota, elevata o variabile può rendere economicamente inutile una vendita tecnicamente riuscita. Tratta un'imposta sconosciuta come tale, non come pari a zero.
4. Importo massimo di vendita: se lo strumento rileva un importo massimo di vendita, confrontalo con l'importo che un detentore dovrebbe vendere. Un token potrebbe consentire una vendita di piccolo importo, ma impedire una vendita di dimensioni normali.
5. Liquidità e coppia: Conferma quale pool e quale asset di quotazione sono stati utilizzati. Un risultato legato a una coppia o catena diversa potrebbe non descrivere il mercato che Maya intende utilizzare.

Honeypot.is specifica che la presenza dei campi relativi al risultato della simulazione e al prezzo massimo di acquisto o vendita non è garantita. Afferma inoltre che un risultato mancante può verificarsi quando un token è una honeypot o quando la simulazione fallisce. Questa limitazione è importante: "nessun risultato" dovrebbe indurre a ulteriori indagini o alla decisione di abbandonare l'investimento, non a presumere che il token sia sicuro.

Fase 3: Verificare i segnali di rischio contrattuale

Maya dovrebbe verificare l'indirizzo con una seconda fonte di sicurezza, come la documentazione di risposta di GoPlus Token Security . I nomi e la disponibilità dei campi possono cambiare e alcuni valori potrebbero non essere disponibili per i contratti proprietari o proxy, quindi dovrebbe leggere il risultato corrente anziché basarsi su uno screenshot vecchio.

Presta particolare attenzione alle bandiere o ai campi che coprono:

• stato di honeypot o vendita bloccata;
• imposta sugli acquisti, imposta sulle vendite e se l'imposta è modificabile;
• se i possessori possono vendere tutti i loro token;
• trasferimenti sospendibili, controlli di lista nera o controlli di lista bianca;
• privilegi di conio o altri privilegi che modificano l'offerta;
• comportamento proxy o altre chiamate delegate; e
• l'esistenza e la dimensione della liquidità degli scambi decentralizzati.

GoPlus spiega che una tassa modificabile potrebbe consentire al proprietario di cambiare le tasse di acquisto o di vendita, rendendo potenzialmente il token non negoziabile. Descrive inoltre i trasferimenti sospendibili e le funzioni di blacklist come controlli che possono impedire ad alcuni o a tutti i possessori di effettuare transazioni. Questi sono segnali di rischio, non prove automatiche di frode in ogni progetto. Tuttavia, se il progetto non è in grado di spiegarli in modo chiaro e indipendente, la cosa più sensata da fare è evitare l'acquisto.

Passaggio 4: Esaminare l'explorer e i permessi del contratto

Sul relativo block explorer, Maya può aprire l'indirizzo del token ed esaminare la sezione Contratto. Dovrebbe verificare se il codice sorgente è verificato, se l'indirizzo è un proxy e se le funzioni amministrative possono modificare il comportamento di trading. Cerca nel codice leggibile o nell'interfaccia del contratto concetti come l'impostazione delle commissioni, la sospensione dei trasferimenti, l'inserimento in blacklist, l'inserimento in whitelist, il conio, la modifica del router o il prelievo di asset legati alla liquidità.

Una fonte verificata è utile perché permette di confrontare il codice sorgente pubblicato con il bytecode distribuito e di leggere l'interfaccia esposta del contratto. Non garantisce, tuttavia, che il codice sia sicuro, che il proprietario sia onesto o che ogni contratto esterno chiamato durante una transazione sia innocuo. Il Centro informazioni di Etherscan fornisce indicazioni aggiornate sulle funzionalità dell'explorer e sulla verifica dei contratti. Anche Honeypot.is avverte che il suo endpoint di verifica dei contratti controlla se il contratto e i contratti chiamati sono open source; non sostituisce una verifica professionale. Consultare la documentazione di Honeypot.is sulla verifica dei contratti .

I contratti proxy richiedono particolare attenzione. Il proxy visibile può delegare il comportamento a un contratto di implementazione che può essere aggiornato. Se l'indirizzo di implementazione, l'autorità di aggiornamento o i controlli del proprietario non sono chiari, Maya non può considerare il codice attualmente visualizzato come una descrizione permanente del comportamento futuro.

Fase 5: Separare la vendibilità dalla liquidità

Un token può superare una simulazione di contratto ma risultare comunque praticamente impossibile da vendere. Se il pool è minuscolo rispetto al volume degli scambi, la vendita può avere un forte impatto sul prezzo. Una quotazione può tecnicamente esistere, mentre l'importo ricevuto è di gran lunga inferiore al prezzo di mercato visualizzato. Uniswap Labs sottolinea che una liquidità insufficiente può impedire il completamento di uno scambio e che le impostazioni di slippage influiscono sul successo della transazione.

Maya dovrebbe confrontare la dimensione di vendita prevista con la liquidità del pool, esaminare l'output quotato e verificare se la quotazione rimane plausibile dopo le commissioni. Non dovrebbe aumentare lo slippage ciecamente per forzare una transazione. Un'impostazione di slippage molto elevata può accettare un prezzo estremamente basso e potrebbe nascondere una commissione anomala sui token anziché risolvere il problema di fondo.

Come interpretare i risultati contrastanti

Nell'esempio fittizio di Maya su LumaFox, un singolo indicatore verde di "vendita" rappresenterebbe solo un dato. Dovrebbe comunque verificare la blockchain, la coppia di valute, le tasse, la liquidità, lo stato del proxy e i controlli del proprietario. Se un risultato essenziale è sconosciuto o contraddittorio, la conclusione più sicura non è "probabilmente va bene", bensì "non è stato verificato a sufficienza per rischiare denaro".

Cosa fare se hai già acquistato un token sospetto

Non pagare nessuno che prometta di "sbloccare" una vendita, rimuovere una lista nera o recuperare fondi in cambio di un pagamento anticipato in criptovalute. Queste offerte spesso non fanno altro che estendere la truffa originale. Non condividere la frase di recupero o la chiave privata e non firmare un'approvazione o una transazione sconosciuta solo perché uno sconosciuto afferma che consentirà la vendita.

Annota l'indirizzo del contratto, la blockchain, gli hash delle transazioni, gli screenshot e i messaggi di errore esatti. Verifica le autorizzazioni del wallet utilizzando un flusso di lavoro affidabile per wallet o block explorer e revoca le autorizzazioni solo dopo aver confermato cosa stai revocando e quale commissione di rete comporta l'azione. Se il wallet potrebbe aver firmato una transazione dannosa o esposto la sua frase di recupero, trasferisci i fondi rimanenti in un nuovo wallet con backup corretto utilizzando un dispositivo pulito e rivolgiti a un team qualificato per la gestione degli incidenti. La FTC raccomanda di segnalare le frodi in criptovalute e di conservare i dettagli rilevanti attraverso i suoi canali di tutela dei consumatori.

Verifica finale prima di qualsiasi acquisto di token

1. Dispongo dell'indirizzo esatto del contratto e della corretta catena di fornitura, provenienti da una fonte verificata in modo indipendente?
2. Un controllo in sola lettura ha mostrato un percorso di vendita andato a buon fine, e non solo un acquisto andato a buon fine?
3. Le imposte sulle vendite, i limiti massimi di vendita e la liquidità sono noti e ragionevoli dal punto di vista economico?
4. Una seconda fonte ha confermato i rischi relativi a honeypot, blacklist, pause, proxy e controllo da parte del proprietario?
5. Posso spiegare chi può modificare il contratto e quali sono le funzionalità di tali controlli?
6. Mi sto forse rifiutando di collegare un portafoglio o di firmare qualsiasi documento non correlato all'assegno di sola lettura?

Se la risposta a una qualsiasi domanda fondamentale è negativa, rimandate l'acquisto. Un verificatore di token può ridurre gli errori evitabili, ma non può garantire liquidità futura, una gestione onesta o la protezione da ogni tecnica di truffa. Il risultato migliore del processo potrebbe essere la scoperta che non ci sono prove sufficienti e affidabili per procedere con l'operazione.

Revisionato il 16 settembre 2026. Gli strumenti di sicurezza, le interfacce degli esploratori, le blockchain supportate e il comportamento dei contratti possono subire modifiche; si consiglia di consultare la documentazione aggiornata prima di fare affidamento su qualsiasi risultato.