Scams de honeypot cripto: Como funcionam e como se manter seguro

Investir em criptomoedas acarreta muitos riscos—e estes não se limitam à habitual volatilidade do mercado das criptomoedas em geral.

Em 2024, estima-se que 9,9 mil milhões de dólares tenham sido atribuídos a receitas de esquemas de criptomoedas. À medida que os agentes maliciosos continuam a desenvolver formas sofisticadas de enganar utilizadores desavisados e privá-los dos seus fundos, é fundamental que todos os envolvidos neste espaço se informem sobre os esquemas mais comuns.

Neste artigo, vamos discutir o esquema honeypot: o que é, como funciona e como o identificar (e evitar).

Um esquema honeypot de criptomoedas envolve um smart contract malicioso que restringe os endereços que podem transferir o seu token. Em termos mais simples, permite tipicamente que qualquer pessoa compre o token, mas apenas permite que um endereço (ou endereços) selecionado o venda.

É claro que as únicas pessoas que podem vender são as que fazem parte do esquema. Entretanto, as vítimas ficam com tokens sem valor que não podem ser transferidos, enquanto os agentes maliciosos despejam os seus tokens e fogem com ETH, SOL, etc.  

Tal como na cibersegurança, o nome honeypot alude a 'atrair' a vítima com uma oferta apelativa antes de a prender.

É de notar que este esquema ocorre exclusivamente em exchanges descentralizadas, onde as auditorias de smart contracts e as medidas de segurança não os filtram. Os burlões podem recorrer ao X, Telegram, Discord ou outros canais sociais para atrair vítimas.

Os honeypots são apenas um dos muitos tipos diferentes de esquemas de criptomoedas sofisticados. Saiba como pode identificar esquemas de criptomoedas antes que o apanhem no nosso guia completo.

Podem existir algumas variações e reviravoltas no esquema honeypot, mas o jogo geralmente desenrola-se da seguinte forma:

1. O burlão implementa o contrato honeypot na blockchain da sua escolha.
2. Eles promovem agressivamente os tokens nas redes sociais e terminais de tokens para criar entusiasmo.
3. O preço aumenta rapidamente à medida que investidores desavisados compram (lembre-se, não há vendas reais a ocorrer)
4. Assim que o volume de compras abranda (provavelmente devido à consciencialização sobre o esquema), o burlão drena a pool de liquidez—fazendo com que os preços caiam e deixando os investidores incapazes de vender.

Em alguns tipos de honeypots, o burlão chega a realizar algumas pequenas ordens de venda durante a fase 3 para dar a aparência de negociação legítima de tokens (como veremos, um sinal revelador de um honeypot é a falta de vendas no histórico de transações).

Felizmente, você deteta os sinais de um honeypot muito antes de estar na fase em que tenta (e falha) vender os seus tokens. As regras habituais de negociação de tokens DeFi e memecoins em DEXs aplicam-se—prossiga com extrema cautela.

Aqui estão alguns indicadores que podem apontar para um honeypot:

• Código suspeito de smart contract: restrições ocultas e contratos que se desviam dos padrões simples de token ERC-20 (Ethereum) ou SPL (Solana).
• Aumentos rápidos de preço: aumentos de preço sem explicação lógica e uma notável falta de vendas.
• Falta de detalhes: equipas anónimas, websites simples (ou inexistentes), redes sociais recém-criadas (ou inexistentes) e documentação deficiente/inexistente.

Devido à facilidade de criar uma operação honeypot, estas burlas são prevalecentes em várias chains e têm enganado investidores há anos, desviando os seus fundos. Em muitos casos, a fraude é identificada antes que os tokens possam ganhar força séria—mas os exemplos abaixo mostram o quão eficaz a burla pode ser se bem executada.

O token SQUID foi lançado no auge da popularidade da sensação da Netflix, Squid Game, em 2021. Escusado será dizer que não tinha qualquer afiliação com a série—mas a promessa da equipa de um futuro jogo play-to-earn inspirado no título fez com que os investidores corressem para comprar.

Se tivessem dedicado tempo a fazer alguma due diligence, poderiam ter detetado os sinais de alerta: redes sociais bloqueadas que impediam comentários nas comunicações do Twitter/Telegram, e um website repleto de erros ortográficos.

O SQUID disparou de preço, atingindo um máximo histórico de mais de 2.800 $ por token, à medida que os investidores se aperceberam de que não conseguiam vender as suas holdings. Foi nesta fase que os criadores venderam as suas próprias holdings—desaparecendo com os seus ganhos ilícitos à medida que os preços caíam a pique. 
 

A SnowdogDAO, baseada em Avalanche, pretendia ser um projeto legítimo de curta duração que combinava o apelo das memecoins com mecanismos de rebase. O protocolo deveria funcionar apenas durante oito dias, altura em que o tesouro compraria $SDOG aos detentores com um "warchest" de aproximadamente 40 milhões de dólares. A FOMO seguiu-se, e os investidores começaram a comprar $SDOG agressivamente na expectativa de lucros.

No entanto, quando chegou a hora do evento de recompra, o design do esquema veio à tona. Para começar, a equipa tinha omitido o facto de que apenas 7% do fornecimento seria recomprado ‘lucrativamente’. Eles também mudaram para um novo pool de liquidez, permitindo que alguns (suspeitos) insiders se antecipassem aos detentores, ganhassem dezenas de milhões e lucrassem à custa dos investidores cujos tokens ficaram agora sem valor devido à pressão de venda.

Curiosamente, este é um exemplo de um honeypot que não bloqueou explicitamente as transações ao nível do contrato—em vez disso, lucrou com as suas vítimas com mecânicas confusas e a ocultação de detalhes chave. A equipa negou que isso fosse deliberadamente fraudulento, alegando que era meramente uma experiência em teoria dos jogos.

Analisar um contrato inteligente linha por linha para cada token em que você quer investir provavelmente não é viável. Felizmente, você pode aproveitar a sabedoria de outros e as ferramentas existentes para simplificar o processo de eliminação de honeypots.

Sites como honeypot.is (Ethereum, Solana, BSC) e rugcheck.xyz (Solana) são opções sem complicações para obter alguma perspetiva sobre a legitimidade de um projeto.

Também vale a pena dedicar algum tempo a navegar pelas redes sociais e canais do Telegram/Discord para verificar a viabilidade de um projeto antes de investir.

Negociar em DEXs acarreta muito mais risco (mas, potencialmente, muito mais recompensa) do que numa bolsa centralizada.

Estes locais descentralizados são onde você pode encontrar o próximo 10, 100, 100x, mas os atores maliciosos conhecem (e exploram) esta crença—razão pela qual você deve ser hipervigilante na sua abordagem a novos projetos.

Faça sempre a sua própria pesquisa. Este tópico poderia ocupar um artigo inteiro—e, de facto, já o faz!

Aprenda as melhores práticas e como pode adotar uma abordagem mais informada para investir em criptoativos.

Liquidez, volume de negociação, histórico de transações, distribuição da oferta. Um bom terminal como o DEX Screener ou o birdeye fornece uma riqueza de informações que o podem ajudar a determinar se um token está a ser negociado organicamente. Saiba mais no nosso guia recente sobre a negociação de memecoins.

Lamentavelmente, é improvável que volte a ver os fundos que perdeu num golpe de honeypot. Um pilar fundamental da tecnologia blockchain são as transações irreversíveis, razão pela qual as criptomoedas são tão apelativas para atores maliciosos.

Se foi vítima deste golpe, considere denunciá-lo às autoridades e plataformas relevantes onde os golpistas operam — e certifique-se de notificar outros utilizadores de crypto para que não sejam enganados.

Tenha a certeza de que comprar tal token numa DEX não compromete automaticamente a segurança da sua carteira. No entanto, se a sua carteira interagiu de alguma forma com uma dApp ou website associado ao projeto, ou se assinou quaisquer transações suspeitas, os seus fundos podem estar em risco — revogue as permissões imediatamente:

• Ethereum: revoke.cash
• Solana: solscan.io (em Token Approvals)

Para sua tranquilidade, pode também querer mover os seus ativos para uma nova carteira.

Liquidez, volume de negociação, histórico de transações, distribuição da oferta. Um bom terminal como o DEX Screener ou o birdeye fornece uma riqueza de informações que o podem ajudar a determinar se um token está a ser negociado organicamente. Saiba mais no nosso guia recente sobre a negociação de memecoins.

Sim, os golpes de honeypot são geralmente considerados fraude, mas a aplicação da lei pode ser um desafio devido à natureza descentralizada da cripto.

Embora raro, um projeto legítimo pode tornar-se malicioso se os smart contracts forem alterados ou comprometidos. A monitorização consistente e as auditorias regulares de smart contracts são cruciais.

Uma ferramenta como o honeypot.is pode simular transações de compra/venda para descartar quaisquer armadilhas enganosas em smart contracts.

No entanto, note que isso não valida automaticamente o projeto como legítimo, uma vez que o criador ainda poderá fazer um rug pull.

É altamente improvável, desde que não tenha concedido quaisquer permissões ao contrato. Se o fez, deve revogá-las imediatamente com uma ferramenta como revoke.cash.

Um honeypot funciona impedindo-o de transferir ao nível do contrato. Um rug pull, por outro lado, envolve a remoção de toda a liquidez de um pool de liquidez, tornando-os não negociáveis no pool de liquidez, mas permanecem transferíveis (por exemplo, para outros endereços).

Sim—embora possa deparar-se principalmente com esquemas de baixo esforço com websites mal concebidos, um burlão mais engenhoso poderia fabricar uma campanha muito convincente, completa com designs de alta qualidade, canais sociais ativos e documentação com aparência legítima.

Os honeypots provaram ser um golpe eficaz que explora a falta de diligência dos investidores.

Felizmente, aqueles que permanecem vigilantes podem frequentemente detetar os sinais de alerta antes de perderem dinheiro com estes esquemas. Observar mais de perto os novos projetos, aproveitar as ferramentas disponíveis e navegar nas redes sociais pode identificar quaisquer sinais de alerta num potencial investimento em criptomoedas.

A Kraken ajuda-o a manter as suas criptomoedas seguras enquanto participa nas partes mais inovadoras da DeFi. Crie a sua conta hoje e comece a negociar na Kraken.