هانی‌پات؛ توکنی که می‌خرید ولی نمی‌توانید بفروشید

هانی‌پات (Honeypot) توکنی است که قرارداد هوشمندش اجازه می‌دهد آن را بخرید، ولی وقتی می‌خواهید بفروشید، تراکنش شکست می‌خورد یا مالیات فروش تقریباً همه پولتان را می‌برد. اسمش از «کوزه عسل» می‌آید: پول راحت داخل می‌رود و دیگر بیرون نمی‌آید. نمودار این توکن‌ها معمولاً یکسره سبز است، چون جز سازنده و چند آدرس خاص کسی نمی‌تواند بفروشد.

بیشتر هانی‌پات‌ها را می‌شود پیش از خرید شناخت، به شرطی که بدانید قرارداد چطور جلوی فروش را می‌گیرد و کجا را باید نگاه کنید.

هانی‌پات از چشم خریدار چه شکلی دارد؟

فرض کنید در یک کانال تلگرامی اسم توکنی را دیده‌اید که در دو روز ده برابر شده است. با کیف پولی مثل تراست ولت یا متامسک، از صرافی غیرمتمرکزی مثل پنکیک‌سواپ مقداری از آن می‌خرید. خرید بی‌دردسر انجام می‌شود و توکن در کیف پولتان می‌نشیند. قیمت باز هم بالا می‌رود.

روزی که می‌خواهید سود را بردارید، یکی از این اتفاق‌ها می‌افتد:

• کیف پول پیش از ارسال هشدار می‌دهد که تراکنش احتمالاً شکست می‌خورد، یا تراکنش فرستاده می‌شود و با خطا برمی‌گردد. توکن‌ها سر جایشان می‌مانند و فقط کارمزد شبکه از کیف پولتان رفته است.
• فروش انجام می‌شود، ولی از صد دلار ارزش توکن چند سنت به دستتان می‌رسد، چون قرارداد مالیات فروش سنگینی کم کرده است.
• فقط بخش کوچکی از موجودی را می‌توانید بفروشید و بقیه گیر می‌ماند.

قیمتی که روی صفحه می‌بینید ساختگی هم نیست. خریدهای دیگران واقعاً قیمت استخر را بالا برده است. فقط این قیمت به درد کسی می‌خورد که اجازه فروش داشته باشد.

قرارداد چطور جلوی فروش را می‌گیرد؟

هر توکن روی اتریوم، شبکه BNB یا بیس یک قرارداد هوشمند است و هر جابه‌جایی آن، چه خرید باشد چه فروش، از تابع انتقال همین قرارداد رد می‌شود. در استاندارد رایج توکن‌ها، سازنده می‌تواند این تابع را به دلخواه خودش بنویسد. مستندات OpenZeppelin، کتابخانه‌ای که بیشتر قراردادهای توکن روی آن ساخته می‌شوند، می‌گوید هر تغییری در انتقال، ساختن و سوزاندن توکن باید در همین تابع اعمال شود. این دست باز برای کارهای مشروع گذاشته شده، ولی هانی‌پات هم از همین در وارد می‌شود.

در صرافی غیرمتمرکز، خرید یعنی استخر نقدینگی توکن را به شما می‌دهد و فروش یعنی شما توکن را به استخر برمی‌گردانید. قرارداد آدرس استخر را می‌شناسد، پس می‌تواند این دو را از هم تشخیص بدهد. در تصویر زیر ببینید مسیر خرید و فروش کجا از هم جدا می‌شود:

وقتی تراکنش برگشت می‌خورد (Revert)، هیچ تغییری در موجودی‌ها ثبت نمی‌شود. برای همین توکن‌ها در کیف پولتان می‌مانند و فقط کارمزد شبکه را داده‌اید.

شکل‌های رایج این تله

همه هانی‌پات‌ها فروش را مستقیم نمی‌بندند. ابزارهای بررسی امنیت توکن، مثلاً GoPlus در مستنداتش، برای هر کدام از این اختیارها اسم جدایی گذاشته‌اند. این جدول وقتی گزارش یک توکن را می‌خوانید به کارتان می‌آید:

«مالکیت واگذار شده» یعنی امن؟

خیلی از تبلیغ‌های توکن روی این جمله دست می‌گذارند که «مالکیت قرارداد رها شده» (Renounced). طبق مستندات OpenZeppelin، با رها کردن مالکیت، قرارداد بی‌مالک می‌شود و دیگر کسی نمی‌تواند توابع مخصوص مالک را صدا بزند. نشانه خوبی است، ولی همه ماجرا نیست:

• به گفته GoPlus، اگر پیش از رها کردن مالکیت آدرسی در لیست سیاه رفته یا مالیاتی تعیین شده باشد، همان تنظیم سر جایش می‌ماند.
• بعضی قراردادها مالک پنهان دارند یا راهی برای پس گرفتن مالکیت گذاشته‌اند. GoPlus مالک پنهان را اغلب نشانه نیت بد می‌داند.
• اگر قرارداد قابل ارتقا باشد (Proxy)، کد پشت آن را می‌شود عوض کرد و بررسی امروز چیزی درباره فردا نمی‌گوید.

هانی‌پات با راگ پول چه فرقی دارد؟

در راگ پول، سازنده‌ها نقدینگی استخر را بیرون می‌کشند یا سهم بزرگ خودشان را یکجا می‌فروشند. شما هنوز می‌توانید بفروشید، ولی دیگر خریداری نیست. در هانی‌پات، استخر سر جایش است و شما اجازه فروش ندارید. این دو معمولاً پشت سر هم می‌آیند: هانی‌پات پول خریدارها را در استخر جمع می‌کند و آخر کار، سازنده نقدینگی را بیرون می‌کشد.

نمونه معروفش توکن Squid بود که اسمش را از سریال «بازی مرکب» گرفته بود. طبق گزارش BBC در آبان ۱۴۰۰، قیمت این توکن در کمتر از یک هفته از یک سنت به بیش از ۲٬۸۵۶ دلار رسید، در حالی که خریدارها نمی‌توانستند آن را بفروشند و همین بزرگ‌ترین نشانه خطر بود. بعد قیمت ۹۹٫۹۹ درصد سقوط کرد و BBC به نقل از سایت Gizmodo نوشت سازنده‌ها حدود ۳٫۳۸ میلیون دلار با خود بردند. این توکن هم در پنکیک‌سواپ معامله می‌شد، جایی که هر کسی از روز اول می‌تواند توکنش را لیست کند.

پیش از خرید، قدم‌به‌قدم چک کنید

این بررسی پنج دقیقه هم طول نمی‌کشد و ابزارهایش رایگان است. ترتیب قدم‌ها را نگه دارید، چون اگر توکن در یکی رد شد، بقیه را لازم ندارید.

۱. آدرس درست قرارداد را پیدا کنید

کلاهبرداری معمولاً با توکنی شروع می‌شود که هم‌اسم یک پروژه معروف است. اسم و نماد را هر کسی می‌تواند روی توکنش بگذارد و چیزی که توکن را مشخص می‌کند آدرس قرارداد است. آدرس را از سایت رسمی پروژه یا دست‌کم از CoinGecko بردارید، نه از لینکی که کسی در گروه گذاشته است.

۲. فروش را شبیه‌سازی کنید

honeypot.is برای شبکه‌های اتریوم، BNB و بیس یک خرید و یک فروش را شبیه‌سازی می‌کند، بی‌آنکه پولی جابه‌جا شود. آدرس قرارداد را در کادر بالای صفحه بچسبانید و شبکه درست را انتخاب کنید.

در تصویر زیر، honeypot.is توکن کیک (CAKE) پنکیک‌سواپ را روی شبکه BNB بررسی کرده است. کیک را عمداً انتخاب کردیم، چون توکن شناخته‌شده‌ای است و نتیجه سالم را نشان می‌دهد. کادر ۱ نتیجه کلی است، کادر ۲ مالیات خرید و فروش و انتقال در شبیه‌سازی، و کادر ۳ بررسی کیف پول‌هایی که اخیراً این توکن را گرفته‌اند.

در این بررسی مالیات خرید و فروش و انتقال هر سه صفر بود و هر ۱۰٬۷۲۶ دارنده اخیری که شبیه‌سازی شدند می‌توانستند بفروشند. به کادر ۳ بیشتر از بقیه دقت کنید. عدد بزرگ جلوی «Can't Sell» یعنی خیلی از خریدارهای واقعی گیر افتاده‌اند. اگر مالیات فروش از چند درصد بیشتر بود یا نتیجه کلی قرمز شد، همین‌جا کنار بکشید.

۳. اختیارات مالک را ببینید

Token Sniffer و ابزارهای مشابه گزارشی از اختیارات قرارداد می‌دهند. دنبال اسم‌های جدول بالا بگردید: مالیات قابل تغییر، لیست سیاه، توقف انتقال، تغییر موجودی و مالک پنهان. وجود یکی از این‌ها ثابت نمی‌کند توکن کلاهبرداری است؛ تتر هم می‌تواند آدرس‌ها را مسدود کند. ولی در توکن ناشناسی که دیروز ساخته شده، هر کدام از این اختیارها یعنی سرنوشت پولتان دست یک نفر است.

کد قرارداد هم باید منتشر و تأیید شده باشد. GoPlus می‌گوید تا کد منتشر نشود، اصلاً نمی‌تواند بگوید توکن هانی‌پات است یا نه. پس کدی که پنهان مانده، خودش علامت خطر است.

۴. فهرست دارندگان را نگاه کنید

در اکسپلورر شبکه (BscScan یا Etherscan)، صفحه توکن بخشی به اسم Holders دارد. اگر بیشتر توکن‌ها دست چند آدرس است، یا تعداد دارنده‌ها با حجم خریدی که در گروه تبلیغ می‌شود جور درنمی‌آید، شک کنید. نموداری که فقط کندل سبز دارد و هیچ فروش جدی در آن دیده نمی‌شود هم همین را می‌گوید.

۵. قفل نقدینگی را چک کنید

هانی‌پات معمولاً با بیرون کشیدن نقدینگی تمام می‌شود. ابزارهای بالا نشان می‌دهند توکن‌های نقدینگی (LP) دست چه کسی است و قفل شده‌اند یا نه. جزئیات این بخش را با مثال قدم‌به‌قدم در مطلب راگ پول آورده‌ایم.

نتیجه را چطور بخوانید؟

ابزارها چه چیزی را نمی‌بینند؟

خود honeypot.is بالای صفحه نوشته که روشش بی‌خطا نیست و اگر توکنی امروز هانی‌پات نباشد، معلوم نیست بعداً هم نباشد. چند حالت از چشم ابزارها می‌افتد.

اولی مالیاتی است که بعداً بالا می‌رود. شبیه‌سازی امروز فقط مالیات امروز را نشان می‌دهد و اگر مالیات قابل تغییر باشد، نتیجه سبز امروز ارزش زیادی ندارد.

بعد تله‌هایی که به زمان یا مقدار بسته‌اند. بعضی قراردادها بین دو معامله فاصله زمانی می‌گذارند یا فقط فروش کل موجودی را می‌بندند. به گفته GoPlus، همین فاصله زمانی گاهی شبیه‌سازی را هم به اشتباه می‌اندازد.

خیلی‌ها هم مقدار کمی می‌خرند و می‌فروشند تا خیالشان راحت شود. این آزمایش در برابر قراردادی که فقط فروش کامل را می‌بندد یا بعداً مالیات را بالا می‌برد چیزی ثابت نمی‌کند.

آخر اینکه honeypot.is فقط اتریوم، BNB و بیس را پوشش می‌دهد. در سولانا سازوکار فرق دارد و باید Freeze Authority را چک کنید که در مطلب راگ پول توضیحش داده‌ایم.

این بررسی فقط همین یک تله را کنار می‌گذارد. توکنی که همه تست‌ها را پاس کرده هم ممکن است فردا بی‌ارزش شود؛ بیشتر میم کوین‌ها بدون هیچ کد مخربی به همین روز می‌افتند.

اگر هانی‌پات خریده‌اید

راستش را بخواهید، معمولاً راهی برای پس گرفتن این پول نیست. قرارداد دقیقاً همان کاری را می‌کند که برایش نوشته شده و هیچ مرجعی نمی‌تواند تراکنش بلاک‌چین را برگرداند. کاری که از دستتان برمی‌آید این است که ضرر را بزرگ‌تر نکنید:

• پشت سر هم فروش را امتحان نکنید. هر تلاش ناموفق کارمزد شبکه می‌گیرد.
• به کسی که برای «باز کردن قفل» توکن یا «بازگرداندن سرمایه» پول می‌خواهد پول ندهید. این کلاهبرداری دوم معمولاً سراغ همان کسانی می‌آید که یک بار ضرر کرده‌اند.
• عبارت بازیابی کیف پولتان را به هیچ «پشتیبانی» یا ربات تلگرامی ندهید. هر کس به اسم کمک آن را بخواهد، دارد فیشینگ می‌کند.
• آدرس قرارداد، لینک کانال و تراکنش‌ها را نگه دارید. با همین‌ها می‌توانید به دیگران هشدار بدهید یا اگر خواستید شکایت کنید.

اگر برای خرید از صرافی غیرمتمرکز تتر لازم دارید، می‌توانید تتر را از سواپ‌ولت بخرید و به کیف پول خودتان بفرستید. از آنجا به بعد، پیدا کردن آدرس درست و بررسی قرارداد با خودتان است؛ این پنج قدم را پیش از هر خرید تکرار کنید.