Como identificar um golpe honeypot em cripto

A palavra honeypot surgiu no século XVI para se referir a um pote de mel. O uso figurado, porém, só apareceu bem depois.

No sentido figurado, honeypot passou a descrever algo muito atraente, mas potencialmente perigoso, no início do século XX. O termo foi usado primeiro em espionagem e segurança, onde um honeypot era uma armadilha sedutora para coletar informações ou capturar adversários. Por exemplo, em espionagem, se referia a situações em que um agente era seduzido ou atraído para posições comprometedoras.

Na segurança da informação, honeypot foi adotado nos anos 1990 para descrever sistemas isca criados para detectar e estudar ataques cibernéticos. Esse uso foi depois estendido para golpes em cripto, onde "honeypot" se refere a oportunidades enganosas que prendem usuários ao impossibilitar saques.

Neste artigo, vamos analisar os honeypots em detalhes, mostrando seus métodos, sinais de alerta e estratégias de proteção.
 

O que é um golpe honeypot?

Um golpe honeypot é um contrato inteligente fraudulento criado para atrair usuários desavisados com promessas de grandes lucros ou serviços incomuns. Inicialmente, parecem legítimos e lucrativos, mas escondem mecanismos que geram moedas para o golpista e drenam a pool.

Como funciona um honeypot?

Honeypots são planejados e executados cuidadosamente para enganar até mesmo os investidores mais cautelosos. Entender como esses golpes funcionam ajuda você a identificar e proteger seus ativos. Veja as etapas de um ataque honeypot e os detalhes de cada uma.

1. Criação de um contrato inteligente falso

   Um golpista lança um contrato inteligente malicioso ou cria uma moeda falsa que parece uma oportunidade legítima de investimento. O contrato permite que usuários invistam fundos, mas traz regras ocultas que impedem saques.

2. Atração das vítimas com ofertas tentadoras

   Para tornar o esquema atraente, o ativo promete retornos muito altos, moedas com desconto ou potencial de crescimento. Pode estar ligado a DeFi, staking ou outros modelos populares. Às vezes, o esquema é divulgado em redes sociais, fóruns ou até sites falsos para ganhar credibilidade. 
   Para impulsionar, celebridades e KOLs são contratados para falar ou divulgar o honeypot, e wash trading é usado para aumentar o volume.
   
   O criador do honeypot também pode gerar tráfego usando diversas técnicas de promoção, como SEO, anúncios pagos e contas falsas para criar engajamento. O objetivo é espalhar links e informações sobre a plataforma fraudulenta o máximo possível.

3. Vítimas investem dinheiro

   Investidores, atraídos pela promessa de altos retornos, compram tokens ou depositam fundos em uma plataforma ou pool de liquidez fraudulenta. O contrato inteligente pode permitir depósitos e mostrar resultados positivos, criando a ilusão de um projeto legítimo e lucrativo.
   
   Na maioria dos casos, o contrato começa permitindo transações e saques pequenos para gerar confiança. As vítimas veem algum retorno e se sentem seguras. Depois, passam a investir valores maiores.

4. Fundos ficam presos

   O principal golpe do honeypot é que, apesar dos depósitos, os usuários não conseguem sacar. O contrato inteligente esconde funções ou bugs que bloqueiam tentativas de saque. Em alguns casos, só a conta do criador pode sacar, ou existe uma estrutura de taxas que drena o saldo dos usuários ao tentar retirar.

   Um honeypot pode mostrar altos retornos, mas quando o usuário tenta vender ou transferir, a transação falha devido à lógica oculta no contrato. Enquanto isso, o golpista pode sacar sua parte ou mover os fundos para outra carteira.

5. Golpistas drenam os fundos e somem

   Quando dinheiro suficiente é investido, os golpistas desaparecem, impedindo que as vítimas recuperem seus fundos. Recuperar o valor perdido é quase impossível, pois contratos inteligentes são autônomos e não podem ser revertidos depois de lançados na blockchain.
    

Exemplo de golpe honeypot em cripto

O golpe Squid Game em 2021 é um dos exemplos mais conhecidos de honeypot. Ele aproveitou a enorme popularidade da série da Netflix e atraiu investidores para um token fraudulento que terminou em um rug pull. Veja o passo a passo.
 

— Squid Game coin (SQUID) lançada em outubro de 2021

O token SQUID foi inspirado no sucesso Squid Game e divulgado como moeda nativa de um futuro jogo play-to-earn baseado na série.

O projeto ganhou força rapidamente com o sucesso viral do programa, sendo promovido em redes sociais e grandes veículos de mídia, o que aumentou ainda mais o hype.
 

— Rápida valorização e FOMO (Fear of Missing Out)

O preço do SQUID disparou em poucos dias após o lançamento, atraindo muitos investidores de varejo. O valor saltou de alguns centavos para mais de US$ 2.800 em menos de uma semana. O medo de ficar de fora, causado pela alta rápida, levou ainda mais pessoas a investir, mesmo com alertas de especialistas da comunidade.
 

— O mecanismo honeypot entra em ação

Enquanto investidores conseguiam comprar SQUID facilmente, logo descobriram que era impossível vender ou transferir. Os golpistas embutiram o mecanismo honeypot no contrato inteligente, permitindo compras mas bloqueando vendas ou saques de lucro.
 

— Sinais de alerta e avisos aparecem

Vários sinais de alerta surgiram conforme o SQUID se popularizava, mas foram ignorados pelo entusiasmo:

• No affiliation with Netflix: Apesar do nome e temas, não tinha ligação oficial com a Netflix ou os criadores da série.
• Unverified team: Os desenvolvedores eram anônimos, sem informações verificáveis.
• Unprofessional website: O site tinha erros gramaticais, poucos detalhes e informações vagas.
• Buy but no sell: Usuários alertaram que não conseguiam vender seus tokens, mas foram ignorados por quem estava no hype.
• Expert warnings: Plataformas como CoinMarketCap alertaram sobre o risco, mas isso não impediu a entrada massiva de compradores.
   

—The Rug Pull

Em 1º de novembro de 2021, após o SQUID atingir cerca de US$ 2.861, os desenvolvedores deram o golpe final e retiraram toda a liquidez. O valor despencou para quase zero em minutos, deixando investidores com ativos sem valor. Os golpistas lucraram cerca de US$ 3,38 milhões.
 

— Aftermath

O honeypot do Squid Game deixou milhares de investidores no prejuízo, reforçando a importância de cautela ao investir em projetos novos e não verificados.

Grandes veículos de mídia e especialistas usaram o caso para destacar a frequência dos honeypots e a necessidade de mais diligência.
 

Honeypot checker Solana

Um ataque honeypot geralmente ocorre em blockchains Ethereum Virtual Machine (EVM). Já na Solana, dApps rodam como binários pré-compilados, sem acesso ao código-fonte. Isso facilita o lançamento de contratos maliciosos. 

Honeypots em Solana costumam incluir contratos capazes de congelar seus ativos, mas o resultado é o mesmo: você perde tudo. Esses contratos normalmente bloqueiam sua carteira de vender ou transferir fundos para outra carteira após a compra. 

Você deve verificar se o contrato do ativo tem a função mint habilitada e liquidez desbloqueada. Essas duas características são comuns em "honeypots". Antes de comprar um token, você pode usar um checker como Sol Sniffer ou Detect Honeypot.
 

Como sair de um honeypot

Vimos este post no Reddit e decidimos trazer alguns insights.

Estou preso em um token honey pot que agora vale muito. Tem algum jeito de sair ou alguém pode me ajudar? Estou disposto a pagar quem conseguir me ajudar!!!!

Primeiro: ninguém pode te ajudar. "Once the honey goes into the pot, it stays there". Segundo: não interaja com quem promete ajuda. Ignore mensagens como: 

Yes sure, if you give me 10 Solanas I'll get it out for you. Message me at abcdefghijklmnop@gmail.com  Dw I'll send  DMs right now. We'll sort it out for you.

A primeira regra ao investir em ativos voláteis como criptomoedas é fazer sua própria pesquisa antes de investir. A segunda é nunca investir mais do que pode perder. 
 

Como se proteger de honeypots: checklist

Honeypots podem ser difíceis de detectar, mas seguir boas práticas reduz o risco de cair nesses golpes. Veja o checklist para se proteger:

• Investigue a fundo qualquer projeto antes de investir. Isso inclui analisar o whitepaper, verificar a equipe de desenvolvimento e a presença da comunidade.
   
• Procure avaliações. Busque reviews ou discussões em fóruns confiáveis como o Reddit r/Cryptocurrency ou Bitcointalk. Avaliações negativas ou preocupações recorrentes são sinais de alerta.
   
• Verifique reclamações. Golpistas costumam criar projetos de vida curta, então vítimas anteriores podem já ter relatado problemas. Sites como Token Sniffer podem mostrar problemas em projetos.
   
• Cheque registro legal. Veja se o projeto está registrado em alguma autoridade, especialmente se diz ser regulado. Para projetos centralizados, esse passo é útil. Evite projetos com desenvolvedores anônimos ou não verificados, pois geralmente não têm responsabilidade e podem sumir com seus fundos.
   
• Verifique a validade do certificado. Um certificado SSL válido garante comunicação criptografada entre navegador e servidor, reduzindo riscos de fraude. Procure por HTTPS no endereço do site e confirme se aparece como “Seguro” no navegador.
   
  Sites fraudulentos muitas vezes têm SSL inválido ou ausente. Ferramentas como SSL Labs ou Qualys SSL Test ajudam a conferir o status do certificado. Se um site de cripto não tem SSL válido, é um forte indício de fraude ou comprometimento.
   
• Verifique a liquidez antes de investir em qualquer ativo. Liquidez baixa ou dificuldade de resgate são sinais de possível honeypot. Use ferramentas como DEXTools ou Uniswap analytics para ver os pools de liquidez. Se a liquidez é baixa ou controlada por poucas carteiras, fique atento.
   
• Teste o botão de venda. Se não conseguir vender o ativo ou perceber manipulação extrema de preço, pode ser honeypot. Ferramentas como PooCoin ajudam a identificar padrões suspeitos. Ativos ilíquidos, onde só certas carteiras vendem ou onde só há ordens de compra, são sinais claros de honeypot.
   
• Desconfie de endossos de celebridades em projetos cripto. Golpistas frequentemente falsificam endossos ou invadem contas famosas para promover honeypots. Verifique se o endosso é autêntico e se a celebridade confirmou publicamente sua participação.
   
• Verifique contas invadidas. Às vezes, contas verificadas são hackeadas para divulgar moedas fraudulentas. Sempre confira se a promoção é legítima buscando anúncios oficiais. Em 2021, golpistas invadiram contas de destaque no Twitter para divulgar falsas promoções e airdrops. Sempre cheque em mais de uma fonte.
   
• Desative permissões automáticas. Ao conectar carteiras a DApps, desative permissões automáticas. Sempre revise e aprove manualmente as permissões, especialmente em contratos inteligentes. Use ferramentas como Etherscan ou BscScan para conferir as permissões solicitadas. Se um contrato pede acesso total aos seus fundos sem motivo válido, é sinal de alerta. 
  Use ferramentas como Revoke.cash para revisar e revogar permissões desnecessárias após interagir com DApps.
   
• Use cold storage. Guarde a maior parte dos seus ativos em cold storage (carteiras de hardware), não em hot wallets ou exchanges. Cold wallets ficam offline e são imunes a ataques online, phishing e contratos maliciosos. Dispositivos como Tangem Wallet permitem proteger seus ativos offline.
   
• Ative a autenticação em dois fatores (2FA). Ative o 2FA em todas as contas de exchange e carteiras para mais segurança. Isso dificulta o acesso de golpistas mesmo se conseguirem suas credenciais. Prefira apps como Google Authenticator ou Authy, pois SMS é mais vulnerável a ataques de SIM swap.

O que fazer se você caiu em um golpe honeypot

Cair em um honeypot pode ser devastador. Mas agir rápido e de forma correta pode ajudar a reduzir o prejuízo e proteger outras pessoas. Veja o que fazer:

• Reportar o golpe para exchanges e autoridades
  Se o honeypot apareceu em uma exchange conhecida ou se você usou uma exchange para transferir fundos, comunique imediatamente a fraude à plataforma. Embora projetos descentralizados sejam mais difíceis de rastrear, exchanges centralizadas podem ajudar a sinalizar ou congelar carteiras suspeitas.
  
  Se o honeypot estava em plataformas como CoinMarketCap ou CoinGecko, denuncie o token como fraudulento para tentar removê-lo e evitar novas vítimas.
   

• Registre um boletim de ocorrência
  Dependendo da sua jurisdição, registre um boletim com autoridades locais ou nacionais, especialmente órgãos especializados em crimes cibernéticos. Nos EUA, pode ser pelo FBI’s Internet Crime Complaint Center (IC3) ou pelo Cybercrime Centre da Europol.
  Recuperar fundos é difícil, mas a denúncia cria um registro oficial e pode ajudar investigações maiores.
   

• Notifique empresas de análise blockchain
  Serviços como Chainalysis ou CipherTrace monitoram atividades suspeitas em blockchains. Relatar o golpe pode ajudar a bloquear carteiras de golpistas ou identificar redes maiores. Antes de reportar, reúna provas — logs de transação, endereços de carteira, capturas de tela — para fortalecer seu caso.

• Proteja seus ativos restantes
  Pare todas as interações com a carteira ou contrato suspeito. Se continuar, golpistas podem usar phishing ou inserir códigos maliciosos para drenar mais fundos.
  
  Transfira seus ativos restantes para uma carteira segura e confiável. Considere migrar para uma cold wallet como Tangem Wallet. A Tangem é uma carteira de hardware offline com forte segurança. Se você usa uma wallet comprometida, crie uma nova e mova seus ativos para evitar novas perdas.
   

• Revogue permissões de contratos
  Se você interagiu com um contrato malicioso, o golpista pode ainda ter acesso à sua carteira. Use ferramentas como Etherscan’s Token Approval Checker para revogar permissões concedidas a contratos ou endereços maliciosos. Muitas plataformas e wallets permitem revogar permissões de DApps já usados, evitando acesso futuro aos seus fundos. Saiba mais sobre revogação de permissões aqui.
   

• Divulgue nas redes sociais
  Use Twitter, Reddit ou Telegram para compartilhar sua experiência com a comunidade web3. Quanto mais pessoas souberem do honeypot, menos vítimas os golpistas conseguirão fazer. Compartilhe detalhes como nome do projeto, endereços usados e como o honeypot funcionou para evitar novas vítimas.
   

Conclusão

Honeypots representam uma ameaça séria para investidores de criptomoedas. Para evitar cair em golpes, mantenha-se vigilante, pesquise a fundo e siga as práticas de proteção deste artigo. Sempre desconfie de projetos novos, especialmente se envolvem equipes anônimas, altas repentinas de preço ou endossos questionáveis. Essas boas práticas ajudam a proteger seus ativos digitais e contribuem para um web3 mais seguro.

FAQ

 1. What is a honeypot scam?

Um golpe honeypot é uma fraude em que golpistas criam uma oportunidade aparentemente legítima e lucrativa relacionada a criptomoedas — como uma moeda, plataforma de negociação ou contrato inteligente — para atrair investidores desavisados. Assim que a vítima investe ou interage com o sistema, o esquema prende os fundos e impede qualquer saque ou recuperação.

2. How does a honeypot work?

Os golpes honeypot geralmente envolvem táticas sofisticadas, como:

• Lançar contratos inteligentes maliciosos que aceitam depósitos, mas bloqueiam saques.
• Oferecer ativos com incentivos atraentes, como retornos muito altos ou descontos, para atrair investidores.
• Usar plataformas ou exchanges falsas que aceitam depósitos, mas bloqueiam saques sob pretextos falsos.

A vítima só percebe o golpe ao tentar sacar e descobrir as restrições.

3. What are common signs of a honeypot scam?

Alguns sinais de alerta incluem:

• Too-good-to-be-true offers: Promessas de retornos muito altos ou investimentos sem risco.
• Opaque smart contract code: Código difícil de verificar ou sem transparência.
• Limited withdrawal options: Termos ou processos que dificultam ou complicam saques.
• Unverified projects: Projetos novos ou desconhecidos, sem avaliações, auditorias ou equipe confiável.

4. How can I avoid falling for honeypots?

• Pesquise o projeto a fundo: Verifique credenciais da equipe, busque auditorias independentes e leia avaliações.
• Analise o contrato inteligente: Use exploradores de blockchain ou ferramentas confiáveis para revisar o código e identificar armadilhas.
• Evite táticas de pressão: Golpistas criam senso de urgência, como ofertas por tempo limitado, para forçar decisões rápidas.
• Prefira plataformas de confiança: Negocie apenas em exchanges conhecidas e invista em projetos com reputação consolidada.
• Teste com valores pequenos: Antes de investir grandes quantias, teste o processo de saque com pouco dinheiro.

5. Are honeypot scams illegal?

Sim, golpes honeypot são ilegais na maioria dos países, pois envolvem fraude e roubo financeiro. As vítimas podem denunciar às autoridades, embora recuperar fundos seja difícil devido ao anonimato das transações em blockchain.

6. How do honeypot scams affect the crypto space?

Esses golpes prejudicam a reputação das criptomoedas, minam a confiança dos usuários e afastam novos investidores. Também reforçam a importância da segurança e da diligência no setor.

Manter-se informado e cauteloso é a melhor defesa contra honeypots. Sempre faça sua própria pesquisa antes de se envolver com qualquer projeto web3.