Truffe crypto honeypot: come funzionano e come proteggersi

Investire in crypto comporta molti rischi—e questi non si limitano alla solita volatilità di mercato delle criptovalute in generale.

Solo nel 2024, si stima che 9,9 miliardi di dollari siano stati attribuiti ai ricavi da truffe crypto. Dato che gli attori malintenzionati continuano a escogitare modi sofisticati per frodare gli utenti ignari dei loro fondi, è fondamentale che tutti coloro che operano in questo spazio si informino sulle truffe più comuni.

In questo articolo, discuteremo della truffa honeypot: che cos'è, come funziona e come identificarla (ed evitarla).

Una truffa crypto honeypot coinvolge un contratto smart malevolo che limita quali indirizzi possono trasferire il suo token. Più semplicemente, di solito permette a chiunque di acquistare il token, ma consente solo a un indirizzo selezionato (o a più indirizzi) di venderlo.

Naturalmente, le uniche persone che possono vendere sono quelle coinvolte nella truffa. Nel frattempo, le vittime si ritrovano con token senza valore che non possono essere trasferiti, mentre gli attori malintenzionati scaricano i loro token e fuggono con ETH, SOL, ecc.  

Come nella cybersecurity, il nome honeypot allude a ‘adescare’ la vittima con un'offerta allettante prima di intrappolarla.

È opportuno notare che questa truffa si verifica esclusivamente su exchange decentralizzati, dove gli audit dei contratti smart e le misure di sicurezza non le filtrano. I truffatori possono usare X, Telegram, Discord o altri canali social per attirare le vittime.

Le honeypot sono solo uno dei tanti tipi diversi di truffe crypto sofisticate. Scopri come puoi individuare le truffe crypto, prima che ti catturino nella nostra guida completa.

Potrebbero esserci alcune variazioni e colpi di scena nella truffa honeypot, ma il gioco di solito si svolge come segue:

1. Il truffatore implementa il contratto honeypot sulla blockchain di sua scelta.
2. Commercializzano aggressivamente i token sui social media e sui terminali token per creare clamore.
3. Il prezzo aumenta rapidamente mentre gli investitori ignari lo acquistano (ricorda, non ci sono vendite reali).
4. Una volta che il volume degli acquisti rallenta (probabilmente a causa della consapevolezza della truffa), il truffatore prosciuga il pool di liquidità—facendo crollare i prezzi e lasciando gli investitori impossibilitati a vendere.

In alcuni tipi di honeypot, il truffatore eseguirà persino piccoli ordini di vendita durante la fase 3 per dare l'impressione di un trading di token legittimo (come vedremo, un segno rivelatore di un honeypot è la mancanza di vendite nella cronologia delle transazioni).

Speriamo che tu possa individuare i segnali di una honeypot molto prima di arrivare al punto in cui cerchi (e fallisci) di vendere i tuoi token. Si applicano le solite regole per il trading di token DeFi e memecoin su DEX: procedi con estrema cautela.

Ecco alcuni indicatori che potrebbero indicare una honeypot:

• Codice smart contract sospetto: restrizioni nascoste e contratti che deviano dagli standard semplici di token ERC-20 (Ethereum) o SPL (Solana) token standards.
• Rapidi aumenti di prezzo: aumenti di prezzo senza spiegazioni logiche e una notevole assenza di vendite.
• Mancanza di dettagli: team anonimi, siti web semplici (o inesistenti), social di nuova creazione (o inesistenti) e documentazione scarsa/inesistente.

A causa della facilità con cui si può avviare un'operazione honeypot, queste truffe sono diffuse tra le varie blockchain e per anni hanno frodato gli investitori sottraendo i loro fondi. In molti casi, la frode viene identificata prima che i token possano acquisire una seria trazione—ma gli esempi seguenti mostrano quanto possa essere efficace la truffa se eseguita bene.

Il token SQUID è stato lanciato all'apice della popolarità della serie Netflix "Squid Game" nel 2021. Inutile dire che non aveva alcuna affiliazione con lo show—ma la promessa del team di un imminente gioco play-to-earn ispirato al titolo ha spinto gli investitori ad acquistarlo.

Se si fossero presi il tempo per fare la dovuta diligenza, avrebbero potuto individuare i segnali di avvertimento: social bloccati che impedivano i commenti sulle comunicazioni di Twitter/Telegram e un sito web pieno di errori di battitura.

SQUID è salito alle stelle, raggiungendo un massimo storico di oltre $2.800 per token quando gli investitori si sono resi conto di non poter vendere le loro partecipazioni. È stato a questo punto che i creatori hanno scaricato le proprie partecipazioni—scomparendo con i loro guadagni illeciti mentre i prezzi crollavano. 
 

SnowdogDAO, basato su Avalanche, si presentava come un progetto legittimo e di breve durata che univa l'attrattiva delle memecoin con meccanismi di rebasing. Il protocollo doveva durare solo otto giorni, dopodiché il tesoro avrebbe riacquistato $SDOG dai detentori con un bottino di circa 40 milioni di dollari. Ne è conseguito un FOMO, e gli investitori hanno iniziato ad acquistare aggressivamente $SDOG in previsione di profitti.

Tuttavia, quando è arrivato il momento dell'evento di riacquisto, il design della truffa è venuto alla luce. Per cominciare, il team aveva omesso il fatto che solo il 7% della fornitura sarebbe stato riacquistato "in modo redditizio". Hanno anche cambiato liquidity pool, consentendo a un paio di (sospetti) insider di frontrun i detentori, fare decine di milioni e incassare a spese degli investitori i cui token erano ormai privi di valore a causa della sell pressure.

È interessante notare che questo è un esempio di honeypot che non ha bloccato esplicitamente le transazioni a livello di contract, ma ha invece tratto profitto dalle sue vittime con meccanismi confusi e l'occultamento di dettagli chiave. Il team ha negato che si trattasse di una frode deliberata, sostenendo che era semplicemente un esperimento di game theory.

Esaminare un smart contract riga per riga per ogni token in cui desideri investire probabilmente non è fattibile. Fortunatamente, puoi sfruttare la saggezza degli altri e gli strumenti esistenti per semplificare il processo di eliminazione delle honeypot.

Siti come honeypot.is (Ethereum, Solana, BSC) e rugcheck.xyz (Solana) sono opzioni senza problemi per ottenere informazioni sulla legittimità di un progetto.

Vale anche la pena dedicare un po' di tempo a sfogliare i social e i canali Telegram/Discord per verificare un progetto prima di investire.

Il trading su DEX comporta molti più rischi (ma, potenzialmente, molte più ricompense) rispetto a un exchange centralizzato.

Questi luoghi decentralizzati sono dove potresti trovare il prossimo 10x, 100x, ma gli attori malevoli conoscono (e sfruttano) questa convinzione, motivo per cui dovresti essere estremamente vigile nel tuo approccio ai nuovi progetti.

Fai sempre le tue ricerche. Questo argomento potrebbe coprire un intero articolo a sé stante—e infatti, lo fa già!

Scopri le migliori pratiche e come puoi adottare un approccio più informato agli investimenti in crypto.

Liquidità, volume di trading, cronologia delle transazioni, distribuzione dell'offerta. Un buon terminale come DEX Screener o birdeye fornisce una vasta gamma di informazioni che possono aiutarti a determinare se un token sta negoziando in modo organico. Scopri di più nella nostra guida recente al trading di memecoin.

Purtroppo, è improbabile che tu riveda i fondi persi in una truffa honeypot. Un pilastro fondamentale della tecnologia blockchain sono le transazioni irreversibili, ed è per questo che le criptovalute sono così attraenti per gli attori malintenzionati.

Se sei caduto vittima di questa truffa, considera di denunciarla alle autorità competenti e alle piattaforme dove gli scammer operano—e assicurati di avvisare gli altri utenti crypto in modo che non vengano ingannati.

Stai tranquillo che l'acquisto di un tale token su un DEX non compromette automaticamente la sicurezza del tuo wallet. Tuttavia, se il tuo wallet ha interagito in qualche modo con una dApp o un sito web legato al progetto, o hai firmato transazioni sospette, i tuoi fondi potrebbero essere a rischio—revoca immediatamente le autorizzazioni:

• Ethereum: revoke.cash
• Solana: solscan.io (sotto Approvazioni Token)

Per la tua tranquillità, potresti anche voler spostare i tuoi asset in un nuovo wallet.

Liquidità, volume di trading, cronologia delle transazioni, distribuzione dell'offerta. Un buon terminale come DEX Screener o birdeye fornisce una vasta gamma di informazioni che possono aiutarti a determinare se un token sta negoziando in modo organico. Scopri di più nella nostra guida recente al trading di memecoin.

Sì, le truffe honeypot sono tipicamente considerate frode, ma l'applicazione della legge può essere impegnativa a causa della natura decentralizzata delle crypto.

Anche se rari, un progetto legittimo può diventare dannoso se i contratti intelligenti vengono alterati o compromessi. Un monitoraggio costante e audit regolari dei contratti intelligenti sono cruciali.

Uno strumento come honeypot.is può simulare transazioni di acquisto/vendita per escludere eventuali trappole ingannevoli nei contratti intelligenti.

Nota, tuttavia, che questo non rende automaticamente il progetto legittimo, in quanto il creatore potrebbe ancora effettuare un rug pull.

È altamente improbabile, a patto che tu non abbia concesso alcuna autorizzazione al contratto. Se lo hai fatto, dovresti revocarle immediatamente con uno strumento come revoke.cash.

Un honeypot opera impedendoti di effettuare trasferimenti a livello di contratto. Un rug pull, d'altra parte, comporta la rimozione di tutta la liquidità da un pool di liquidità, rendendo gli asset non negoziabili in quel pool, ma essi rimangono trasferibili (ad esempio, ad altri indirizzi).

Sì, anche se potresti imbatterti principalmente in truffe di basso livello con siti web mal progettati, uno scammer più astuto potrebbe fabbricare una campagna molto convincente, completa di design di alta qualità, canali social attivi e documentazione dall'aspetto legittimo.

Gli honeypot si sono dimostrati una truffa efficace che fa leva sulla mancanza di dovuta diligenza degli investitori.

Fortunatamente, coloro che rimangono vigili possono spesso individuare i segnali di avvertimento prima di perdere denaro con questi schemi. Esaminare attentamente i nuovi progetti, sfruttare gli strumenti disponibili e navigare sui social può aiutare a identificare eventuali campanelli d'allarme in un potenziale investimento in criptovalute.

Kraken ti aiuta a mantenere sicure le tue criptovalute mentre partecipi alle parti più innovative della DeFi. Iscriviti oggi stesso al tuo account e inizia a fare trading su Kraken.