Honeypot cripto

¿Qué es un honeypot cripto?

Un honeypot cripto es una estafa o trampa en la que un token, una cartera, un contrato inteligente o una inversión parecen rentables o susceptibles de ser explotados, pero están diseñados para robar fondos o impedir que los usuarios retiren su valor.

En su acepción más habitual, una estafa de tipo honeypot con tokens permite comprarlos, pero impide venderlos más adelante.

El token puede parecer normal en un gráfico, una cartera o una interfaz de trading descentralizado.

Sin embargo, el contrato inteligente puede contener reglas ocultas que solo permiten vender al estafador, a las carteras privilegiadas o a las direcciones incluidas en una lista de permitidos.

Quien compra el token puede ver el saldo en su cartera, pero el token acaba careciendo prácticamente de valor porque no puede cerrar la posición.

El término honeypot procede de la ciberseguridad, donde designa un sistema señuelo diseñado para atraer a los atacantes.

En las estafas cripto, la idea se vuelve contra los usuarios habituales: se hace que un token o contrato parezca atractivo mientras se oculta la trampa real.

Un honeypot clásico de contrato inteligente puede parecer que contiene una vulnerabilidad que permite robar fondos, pero la lógica oculta hace que quien lo intenta pierda dinero.

Un honeypot moderno de tokens puede parecer un meme token que sube rápidamente, un lanzamiento DeFi o una oportunidad de baja capitalización de mercado, pero el contrato bloquea las ventas, aplica comisiones extremas o cambia las reglas después de que los usuarios compren.

Los honeypots cripto son peligrosos porque se aprovechan tanto de la complejidad técnica como de las emociones humanas.

Cómo funciona un honeypot cripto

Un honeypot cripto suele comenzar con un contrato inteligente o contrato de token malicioso.

El estafador despliega un token que parece negociable y crea liquidez inicial para que los compradores puedan adquirirlo.

A continuación, puede promocionarlo en redes sociales, mediante mensajes privados, publicaciones pagadas, comunidades falsas, gráficos de tendencias o grupos automatizados de trading.

Los compradores ven que el precio sube y creen haber encontrado una oportunidad temprana.

La transacción de compra se ejecuta, lo que hace que el token parezca legítimo.

La trampa se revela cuando el comprador intenta vender.

La transacción de venta puede fallar, revertirse, bloquearse mediante una lista negra oculta, estar sujeta a un impuesto de venta cercano al 100% o depender de condiciones que los usuarios normales no pueden cumplir.

Algunos honeypots están diseñados para que solo puedan vender determinadas carteras, mientras que las demás quedan atrapadas.

Otros permiten pequeñas ventas de prueba, pero bloquean posteriormente las de mayor tamaño.

Algunos cambian las tasas de impuestos o las reglas de transferencia después de que suficientes usuarios hayan comprado.

El objetivo siempre es el mismo.

El estafador quiere que los usuarios aporten criptomonedas reales al sistema, pero les dificulta o les impide recuperar su valor.

Por qué son eficaces las estafas cripto de tipo honeypot

Las estafas cripto de tipo honeypot funcionan porque muchos usuarios se fijan en la evolución del precio y no en el comportamiento del contrato.

Un gráfico puede mostrar que un token sube rápidamente aunque la mayoría de los compradores no puedan venderlo.

Esto ocurre porque las carteras controladas por el estafador pueden vender, mientras que las carteras normales quedan atrapadas.

El resultado puede hacer que el gráfico parezca reflejar una demanda real.

Los nuevos usuarios pueden ver velas verdes, una liquidez creciente y un volumen de trading activo sin darse cuenta de que las ventas están restringidas.

Estas estafas también funcionan porque las transacciones cripto suelen ejecutarse rápidamente y no es fácil revertirlas.

La guía del FBI IC3 para víctimas de estafas con criptomonedas recomienda denunciar rápidamente estas estafas y desconfiar de cualquiera que afirme poder recuperar los fondos.

Una vez que un usuario compra un token honeypot o firma una transacción maliciosa, puede resultar extremadamente difícil recuperar los fondos.

Los estafadores también se aprovechan del miedo a quedarse fuera (FOMO).

Cuando los usuarios creen que un token puede multiplicar su valor por diez o por cien, quizá se salten las comprobaciones básicas.

Por eso, los honeypots no son solo trampas técnicas.

También son trampas psicológicas.

Tipos habituales de estafas cripto de tipo honeypot

El primer tipo habitual es el honeypot que bloquea las ventas.

Esta estafa permite comprar, pero bloquea las ventas de los usuarios normales.

El segundo tipo es el honeypot con impuestos elevados.

Esta estafa permite vender, pero aplica una comisión de venta enorme que elimina la mayor parte o la totalidad del valor del usuario.

El tercer tipo es el honeypot con lista negra.

Esta estafa permite al propietario del contrato añadir las carteras de los compradores a una lista negra para impedirles transferir o vender.

El cuarto tipo es el honeypot con lista de permitidos.

Esta estafa solo permite vender a carteras aprobadas, normalmente incluidas las del estafador.

El quinto tipo es el honeypot de falsa vulnerabilidad.

Esta estafa hace que un contrato parezca explotable para que los usuarios con curiosidad técnica envíen fondos, pero la lógica oculta los atrapa.

El sexto tipo es el honeypot de frase de recuperación.

Esta estafa muestra una frase de recuperación de cartera que parece dar acceso a fondos, pero la cartera está configurada para que las víctimas tengan que enviar gas, que el estafador roba automáticamente.

El séptimo tipo es el honeypot de panel de inversión falso.

Esta estafa muestra beneficios en una web o aplicación, pero bloquea las retiradas a menos que el usuario pague más comisiones.

Honeypots de tokens

Un honeypot de tokens es una de las formas más comunes de honeypot cripto.

Normalmente consiste en un contrato de token nuevo que oculta restricciones en la lógica de transferencia o venta.

Un usuario puede comprar el token a través de un pool de liquidez descentralizado y ver cómo el saldo aparece con normalidad.

El token incluso puede tener nombre, símbolo, logotipo, gráfico y presencia en redes sociales.

Sin embargo, el contrato puede incluir permisos controlados por el propietario que determinan quién puede transferir, vender o interactuar con el pool.

Algunos honeypots de tokens ocultan estas restricciones en código complejo.

Otros utilizan contratos proxy o contratos externos para ocultar la lógica real.

Algunos usan funciones que parecen normales, pero se comportan de otra manera en determinadas condiciones.

Otros aplican reglas basadas en el tiempo o en los bloques para permitir operaciones de prueba iniciales antes de activar la trampa.

Un honeypot de tokens es especialmente peligroso porque el usuario puede no darse cuenta del problema hasta que intenta vender.

Honeypots de contratos inteligentes

Un honeypot de contrato inteligente es un contrato que parece contener una vulnerabilidad rentable, pero en realidad atrapa a quienes intentan explotarla.

El estudio académico Demystifying Honeypots in Ethereum Smart Contracts describe los contratos honeypot como contratos que atraen a las víctimas al parecer vulnerables, mientras contienen trampas ocultas.

Por ejemplo, un contrato puede parecer que permite a cualquiera retirar fondos tras enviar una pequeña cantidad.

El usuario puede creer que ha encontrado una oportunidad sencilla de arbitraje o explotación.

Cuando envía fondos, una condición oculta del contrato impide la retirada o envía el valor al estafador.

Este tipo de honeypot se aprovecha de la codicia y del exceso de confianza técnica.

La víctima puede creer que está explotando a otra persona, cuando en realidad el contrato está diseñado para explotarla a ella.

Los honeypots de contratos inteligentes muestran por qué no se debe interactuar con contratos desconocidos solo porque parezcan vulnerables.

El código desconocido puede incluir dependencias ocultas, nombres de funciones engañosos y rutas de ejecución difíciles de entender.

Incluso los usuarios experimentados pueden interpretar mal contratos maliciosos diseñados para engañar.

Honeypots de frases de recuperación

Un honeypot de frase de recuperación es una estafa en la que los atacantes publican o envían una frase de recuperación de cartera que parece dar acceso a fondos.

La víctima importa la cartera y ve tokens o activos en ella.

Puede que la cartera no tenga suficiente token nativo para pagar el gas necesario para mover los activos.

Entonces, la víctima envía gas a la cartera para poder retirar los fondos aparentes.

Un bot controlado por el estafador retira el gas de inmediato, antes de que la víctima pueda utilizarlo.

En otras variantes, los activos de la cartera son falsos, están bloqueados, no se pueden transferir o están sujetos a reglas de contratos inteligentes.

La estafa funciona porque la víctima cree haber encontrado una cartera filtrada.

La trampa consiste en que la frase se filtró deliberadamente para atraer a quienes están dispuestos a morder el anzuelo.

Una frase de recuperación nunca debe considerarse un regalo ni una oportunidad.

Si un desconocido publica una frase de recuperación en internet, lo más prudente es asumir que se trata de una trampa.

Honeypots de falsas retiradas

Un honeypot de falsas retiradas es una web o aplicación fraudulenta que muestra beneficios falsos al usuario, pero bloquea las retiradas.

Es posible que le digan que debe pagar un impuesto, una comisión de verificación, de liquidez o de gas, una comisión de actualización o una comisión para desbloquear la cuenta antes de retirar.

Después de que el usuario pague, la plataforma le exige otro pago.

La guía de la FTC sobre estafas de inversión advierte de que las estafas de inversión en criptomonedas pueden mostrar informes falsos de fondos en crecimiento mientras los estafadores animan a las víctimas a invertir más.

Este tipo de honeypot no siempre depende de un contrato de token malicioso.

Puede tratarse de una plataforma falsa controlada por completo por estafadores.

El usuario ve cifras en una pantalla, pero no existe un saldo real que pueda retirar.

El objetivo del estafador es conseguir que el usuario siga pagando, creando la ilusión de que está a punto de recibir un pago mayor.

Hay que extremar la precaución ante cualquier plataforma que exija pagos adicionales en criptomonedas antes de liberar fondos.

Los sistemas legítimos deberían explicar claramente las comisiones antes de que los usuarios depositen fondos.

Honeypots cripto y rug pulls

Una estafa de tipo honeypot está relacionada con un rug pull, pero no siempre son lo mismo.

En un rug pull, los responsables del proyecto suelen retirar liquidez, vender tokens reservados, abandonar el proyecto o utilizar funciones del contrato para drenar valor.

Un honeypot se centra en atrapar a los usuarios para impedirles vender, retirar o salir de la posición.

Algunas estafas combinan ambos métodos.

Un estafador puede desplegar un token honeypot, atraer compradores, bloquear sus ventas y después retirar liquidez o vender desde carteras privilegiadas.

Los estudios sobre detección de rug pulls han descrito esquemas en los que contratos maliciosos restringen las ventas de tokens y dejan a los inversores con tokens sin valor.

Los usuarios deben tener en cuenta que las categorías de estafa suelen solaparse.

Un token puede ser al mismo tiempo un honeypot, un rug pull, un token de utilidad falso y un señuelo de phishing.

La etiqueta importa menos que el riesgo.

Si los usuarios no pueden vender o retirar, el resultado económico suele ser el mismo.

Honeypots cripto y permisos de los contratos inteligentes

Los permisos de los contratos inteligentes son uno de los principales lugares en los que se oculta el riesgo de honeypot.

Un contrato de token puede otorgar al propietario poder para cambiar comisiones, pausar transferencias, incluir carteras en una lista negra, autorizar vendedores, acuñar nueva oferta, cambiar direcciones de router o actualizar la lógica externa.

Algunos permisos se utilizan por motivos administrativos legítimos.

Sin embargo, unos permisos amplios y mal explicados también pueden utilizarse para atrapar a los usuarios.

El Top 10 de contratos inteligentes de OWASP destaca las principales categorías de riesgos de contratos inteligentes para desarrolladores y equipos de seguridad.

El control de acceso es especialmente importante, ya que unos permisos inadecuados pueden otorgar demasiado poder a una cartera privilegiada.

Antes de comprar un token nuevo, los usuarios deberían comprobar si el propietario del contrato puede cambiar las reglas de trading después del lanzamiento.

También deberían comprobar si se ha renunciado a la propiedad, si se ha transferido a un timelock, si la controla una cartera multifirma o si sigue en manos de una única cartera privada.

Renunciar a la propiedad no hace que un token sea seguro automáticamente, pero el control activo del propietario es un aspecto importante que conviene revisar.

Honeypots cripto y listas negras

Una lista negra es una lista de direcciones de cartera que un contrato bloquea para impedirles transferir o vender tokens.

Algunos proyectos utilizan funciones de lista negra por motivos de cumplimiento normativo, seguridad o emergencia.

Los tokens fraudulentos utilizan estas listas para atrapar a los compradores después de que hayan comprado.

El contrato puede incluir automáticamente una cartera en la lista negra cuando compra.

El propietario puede incluir manualmente en la lista negra las carteras que intentan vender.

El contrato puede bloquear todas las direcciones salvo las de las carteras privilegiadas.

Esto puede hacer que el token parezca activo, ya que las compras siguen funcionando.

Sin embargo, los usuarios normales no pueden salir cuando quieren.

Los usuarios deberían extremar la precaución si un contrato de token incluye funciones de lista negra, lista de bloqueo, control de bots, protección antiwhale o control de transferencias.

Estas funciones no siempre son maliciosas, pero tienen suficiente poder como para crear un honeypot si se abusa de ellas.

Honeypots cripto e impuestos de venta

Un impuesto de venta es una comisión que se cobra cuando los usuarios venden o transfieren un token.

Algunos tokens aplican comisiones pequeñas para aportar liquidez, distribuir recompensas, quemar tokens o financiar la tesorería.

Un honeypot puede aplicar impuestos de venta extremadamente elevados para atrapar a los usuarios por motivos económicos, en lugar de técnicos.

Por ejemplo, el contrato puede permitir la venta, pero quedarse con la mayor parte del valor vendido en concepto de comisión.

El usuario puede pensar que el token se puede vender porque la transacción no falla.

En realidad, apenas recibe nada al vender.

Algunos contratos permiten al propietario cambiar las tasas de impuestos en cualquier momento.

Un token puede empezar con un impuesto de venta bajo y aumentarlo después de que entren los compradores.

Los usuarios deberían comprobar si las comisiones son fijas, tienen un límite, se pueden cambiar o están controladas por la cartera del propietario.

Un token con impuestos modificables puede convertirse en un honeypot aunque no lo sea en el momento del lanzamiento.

Honeypots cripto y pools de liquidez

Muchos tokens honeypot se negocian a través de pools de liquidez.

Un pool de liquidez contiene dos activos que los usuarios pueden intercambiar entre sí.

Un estafador puede crear un pool con un token nuevo y un activo valioso, y luego promocionar el nuevo token como una oportunidad temprana.

Al comprar el token nuevo, los compradores aportan activos valiosos al pool.

Si las ventas están bloqueadas, los compradores atrapados no pueden recuperar el activo valioso que gastaron.

Más adelante, el estafador puede retirar la liquidez si controla los tokens del pool.

Los usuarios deberían comprobar si la liquidez está bloqueada, durante cuánto tiempo, quién controla los tokens de proveedor de liquidez y si el propio contrato del token puede bloquear el trading.

Bloquear la liquidez puede reducir un tipo de riesgo de rug pull.

No elimina el riesgo de honeypot si el contrato del token bloquea las ventas.

Un pool bloqueado con un token que no se puede vender todavía puede atrapar a los usuarios.

Honeypots cripto y volumen falso

El volumen falso puede hacer que un honeypot parezca más legítimo de lo que es.

Los estafadores pueden operar entre sus propias carteras para generar actividad.

Pueden utilizar bots para generar muchas compras y ventas pequeñas desde carteras privilegiadas.

Pueden crear un gráfico que parezca mostrar una demanda orgánica.

También pueden coordinar publicaciones en redes sociales que afirmen que muchos usuarios están comprando.

El volumen falso es especialmente peligroso en los tokens nuevos porque los usuarios suelen basarse en gráficos y número de operaciones cuando no entienden el código del contrato.

Un gráfico al alza no demuestra que los compradores normales puedan vender.

Un gran número de operaciones no demuestra que la liquidez sea segura.

Un token puede mostrar actividad aparente mientras la mayoría de los usuarios están atrapados.

Los usuarios deberían combinar el análisis del gráfico con el del contrato y realizar transacciones de prueba de pequeño importe.

Honeypots cripto y estafas en redes sociales

Las redes sociales son un canal de difusión importante para las estafas cripto de tipo honeypot.

Los estafadores pueden crear comunidades falsas, capturas de pantalla falsas, publicaciones falsas de influencers, páginas de preventa falsas, airdrops falsos y cuentas falsas de asistencia.

La alerta para inversores de la SEC sobre estafas con criptoactivos advierte de que los estafadores se aprovechan de la popularidad de los criptoactivos para atraer a inversores minoristas.

También pueden utilizar una falsa sensación de urgencia para que los usuarios compren antes de comprobar el contrato.

Entre las frases habituales están «lanzamiento sigiloso», «última oportunidad», «joya temprana», «propiedad renunciada», «liquidez bloqueada» y «la comunidad toma el control».

Algunas de estas expresiones pueden utilizarse de forma honesta, pero los estafadores las emplean para reducir el escepticismo de los usuarios.

Los usuarios no deberían confiar en un token solo porque muchas cuentas hablen de él.

La prueba social puede falsificarse mediante bots, promociones pagadas y grupos coordinados.

Una diligencia debida real requiere comprobar el contrato, la liquidez, la propiedad y la posibilidad de vender.

Cómo detectar un token honeypot cripto

La primera señal de alerta es que el token sea nuevo, se promocione intensamente y resulte difícil encontrar información sobre él.

La segunda señal de alerta es que la mayor parte de la actividad del gráfico sean compras y haya muy pocas ventas normales.

La tercera señal de alerta es que fallen las transacciones de venta de las carteras normales.

La cuarta señal de alerta es que el contrato incluya funciones de lista negra, lista de permitidos, control de transferencias, pausa o modificación de impuestos.

La quinta señal de alerta es que una única cartera conserve la propiedad sin una razón clara.

La sexta señal de alerta es que la liquidez no esté bloqueada, la controle quien desplegó el contrato o solo esté bloqueada durante muy poco tiempo.

La séptima señal de alerta es que el token tenga una auditoría falsa, una web copiada o un white paper impreciso.

La octava señal de alerta es que la comunidad ataque a cualquiera que haga preguntas sobre seguridad.

La novena señal de alerta es que el proyecto prometa beneficios fáciles o garantizados.

La décima señal de alerta es que el usuario no pueda encontrar información clara sobre el equipo, el contrato, la tokenomics y los riesgos.

Por qué los detectores de honeypots no son suficientes

Las herramientas detectoras de honeypots pueden ser útiles, pero no son infalibles.

Un detector puede simular una compra y una venta para comprobar si es posible vender un token.

Esto permite detectar honeypots sencillos.

Sin embargo, los honeypots avanzados pueden permitir pequeñas ventas de prueba y bloquear más adelante las de mayor tamaño.

Pueden comportarse de forma diferente según la dirección de la cartera, el número de bloque, la cantidad de gas, el tamaño de la operación o el estado de un contrato externo.

Pueden cambiar las reglas después de que el detector haya realizado la prueba.

Pueden utilizar contratos proxy o dependencias ocultas que el detector no analice por completo.

La investigación académica y del sector sigue estudiando la detección de honeypots porque los contratos fraudulentos continúan evolucionando.

El resultado de un detector debe considerarse una señal más, no una garantía.

Cuando sea posible, los usuarios deberían seguir revisando manualmente los permisos del contrato, la liquidez, la propiedad y el comportamiento del trading.

Honeypots cripto y verificación de contratos

Verificar un contrato significa publicar su código fuente y comprobar que coincide con el bytecode desplegado en un explorador de blockchain o sistema de verificación.

Es más fácil inspeccionar un contrato verificado que uno sin verificar.

Sin embargo, que el código esté verificado no significa automáticamente que sea seguro.

Un estafador puede verificar código malicioso.

Además, un contrato puede llamar a otros contratos que no resulten evidentes para los principiantes.

Las consideraciones de seguridad oficiales de Solidity explican que las recomendaciones de seguridad para contratos inteligentes no pueden ser exhaustivas y que los desarrolladores deben comprender bien los posibles problemas.

Los usuarios deberían considerar el código verificado como un punto de partida para el análisis.

También deberían comprobar si el contrato contiene llamadas externas, controles exclusivos del propietario, capacidad de actualización, lógica de impuestos oculta y restricciones de transferencia.

Los contratos sin verificar son aún más arriesgados porque los usuarios no pueden inspeccionar fácilmente sus reglas.

Un token nuevo con un contrato sin verificar debería considerarse de alto riesgo.

Honeypots cripto y contratos proxy

Un contrato proxy puede permitir actualizar la lógica o delegarla a otro contrato.

Los patrones proxy pueden ser útiles en aplicaciones actualizables legítimas.

También pueden ocultar el comportamiento de un honeypot si los usuarios solo inspeccionan la dirección del proxy y no la del contrato de implementación.

Un estafador puede desplegar un token que parezca normal y después actualizar la implementación para bloquear las ventas.

Un proxy también puede llamar a contratos externos que deciden si se permite una transferencia.

Esto complica el análisis, ya que la lógica peligrosa puede no estar dentro del contrato de token visible.

Los usuarios deberían comprobar si un token es actualizable y quién controla las claves de actualización.

También deberían comprobar si el contrato de implementación está verificado.

La capacidad de actualización no siempre es negativa, pero implica ciertas suposiciones de confianza.

Un token cuyas reglas puedan cambiar después de la compra puede convertirse más adelante en un honeypot.

Honeypots cripto y autorizaciones de cartera

Algunas estafas de tipo honeypot utilizan autorizaciones maliciosas de cartera, no solo tokens que no se pueden vender.

Un usuario puede visitar una página falsa para reclamar recompensas y autorizar a un contrato a gastar sus tokens.

Más adelante, el contrato puede vaciar los activos autorizados de la cartera.

No es lo mismo que un honeypot de token que bloquea las ventas, pero sigue el mismo patrón de señuelo y trampa.

El usuario cree que está reclamando una recompensa, solucionando un problema de cartera o participando en un lanzamiento.

En realidad, está concediendo permisos a un contrato malicioso.

Los usuarios deberían leer atentamente los mensajes de la cartera antes de firmarlos.

Deberían evitar las autorizaciones ilimitadas cuando basta con una autorización limitada.

Después de interacciones de alto riesgo, deberían revocar las autorizaciones innecesarias.

Una buena regla es no autorizar nunca un contrato que no se entienda.

Honeypots cripto y trampas de gas

Una trampa de gas es una estafa en la que engañan a los usuarios para que envíen tokens de gas a una cartera o contrato, pero no pueden retirar los fondos anunciados.

Es habitual en los honeypots de frases de recuperación.

También puede ocurrir con contratos de arbitraje falsos o contratos falsos para reclamar recompensas.

El usuario ve un valor que parece retirable, pero primero tiene que añadir gas.

Después de que lo envíe, un bot o contrato se queda con el gas antes de que el usuario pueda actuar.

Las trampas de gas se aprovechan de que muchas blockchains exigen tokens nativos para pagar el gas necesario para mover activos.

También se aprovechan de la codicia, ya que la víctima cree haber encontrado dinero gratis.

Los usuarios nunca deberían enviar gas a una cartera solo porque parezca contener activos.

Una cartera con una frase de recuperación pública no es una oportunidad.

Casi siempre es un señuelo.

Honeypots cripto y lanzamientos de tokens nuevos

Los lanzamientos de tokens nuevos son un entorno habitual para los honeypots porque los usuarios esperan mucho riesgo y movimientos rápidos.

Los estafadores se aprovechan de ese entorno para ocultar comportamientos maliciosos entre el caos del lanzamiento.

Un token nuevo puede tener poco historial de trading, pocos titulares, liquidez poco clara y un análisis limitado del contrato.

Los usuarios pueden apresurarse a comprar antes de que suba el precio.

Esta urgencia ayuda a que se propaguen los honeypots.

Antes de comprar un token nuevo, los usuarios deberían comprobar si las carteras normales pueden vender.

Deberían inspeccionar los permisos del contrato.

Deberían verificar el estado de la liquidez.

Deberían revisar la distribución de titulares y la actividad de quien desplegó el contrato.

Deberían evitar comprar solo porque un gráfico se esté moviendo rápidamente.

Honeypots cripto y meme tokens

Los estafadores suelen dirigir sus honeypots a los meme tokens porque sus mercados se mueven rápidamente y dependen mucho de la atención.

Un estafador puede crear rápidamente un token con un nombre gracioso, una web sencilla y cuentas activas en redes sociales.

Los compradores pueden centrarse en el entusiasmo de la comunidad en lugar de en el código.

Esto convierte los lanzamientos de meme tokens en un terreno propicio para los honeypots.

No todos los meme tokens son honeypots.

Sin embargo, esta categoría es de alto riesgo porque muchos proyectos tienen una utilidad limitada, equipos anónimos y liquidez que cambia rápidamente.

Los usuarios deberían extremar la precaución con los meme tokens que no tengan un contrato verificado, una estructura de propiedad clara ni pruebas de que se puedan vender.

También deberían desconfiar cuando el único argumento para comprar sea que otras personas están comprando.

Un meme puede atraer atención, pero la atención no garantiza que las reglas de transferencia sean seguras.

La seguridad del contrato debe comprobarse por separado del entusiasmo de la comunidad.

Honeypots cripto y estafas de minería de liquidez

Algunas estafas de tipo honeypot se presentan como falsas oportunidades de minería de liquidez.

El estafador puede pedir a los usuarios que conecten una cartera a una plataforma que promete rendimientos diarios.

La alerta del FBI IC3 sobre estafas de minería de liquidez advierte de que los estafadores pueden convencer a las víctimas para vincular sus carteras de criptomonedas a aplicaciones fraudulentas de minería de liquidez y después vaciarlas.

En estas estafas, la trampa puede ser una autorización maliciosa, un panel falso o un contrato que vacía los activos.

El usuario puede creer que está obteniendo rendimiento pasivo.

En realidad, la plataforma está diseñada para extraer fondos.

Las promesas de rendimientos diarios elevados son una señal de alerta importante.

El rendimiento real de DeFi conlleva riesgos y debería poder explicarse.

Una web que prometa rendimientos diarios garantizados y solicite permisos de cartera debe considerarse extremadamente peligrosa.

La lógica de honeypot puede aparecer tanto en lanzamientos de tokens como en productos de rendimiento falsos.

Cómo comprobar de forma segura el riesgo de honeypot

La prueba más segura consiste en evitar por completo la interacción con tokens sospechosos.

Si un usuario aun así decide hacer una prueba, debería utilizar una cartera separada que no contenga activos valiosos.

Debería empezar con una cantidad muy pequeña que pueda permitirse perder.

Debería intentar vender antes de añadir más fondos.

No debería fiarse de una única venta de prueba satisfactoria por un importe mínimo, ya que algunos honeypots avanzados permiten ventas pequeñas.

Debería comprobar si el propietario del contrato puede cambiar las reglas después de la prueba.

Debería comprobar si el impuesto de venta cambia en función del importe o del tiempo.

Debería comprobar si el token utiliza contratos externos para autorizar las transferencias.

Debería evitar firmar autorizaciones amplias desde la misma cartera que utiliza para guardar activos a largo plazo.

Las pruebas pueden reducir algunos riesgos, pero no pueden hacer que un token sospechoso sea seguro.

Qué hacer si has comprado un token honeypot

El primer paso es dejar de enviar más fondos.

El segundo es no pagar a nadie que afirme que puede desbloquear o recuperar el token a cambio de una comisión.

El tercero es guardar los hashes de las transacciones, las direcciones de las carteras y los contratos, las capturas de pantalla, los enlaces a las webs y los mensajes de redes sociales.

El cuarto es revocar las autorizaciones sospechosas de la cartera afectada, si hacerlo es seguro.

El quinto es trasladar los activos valiosos que no estén relacionados a una cartera limpia si la frase de recuperación o las autorizaciones pueden estar comprometidas.

El sexto es denunciar la estafa a través de los canales adecuados de tu jurisdicción.

El séptimo es aprender del comportamiento del contrato antes de interactuar de nuevo con tokens similares.

Algunos tokens honeypot no se pueden vender desde carteras normales, por lo que quizá no sea posible recuperar los fondos.

Lo más importante es evitar pérdidas adicionales.

Una estafa que ya ha atrapado un activo puede intentar atraer a la víctima con falsas ofertas de recuperación.

Cómo pueden evitar los desarrolladores crear tokens similares a un honeypot

Los desarrolladores honestos deberían evitar reglas de transferencia que hagan sentir atrapados a los usuarios normales.

Si un token incluye funciones de lista negra, lista de permitidos, pausa, comisiones o protección antibots, estas deberían documentarse claramente.

Los límites de las comisiones deberían ser transparentes y difíciles de manipular.

Deberían comunicarse la propiedad y los controles administrativos.

Deberían explicarse los permisos de actualización.

Los contratos externos utilizados para la lógica de transferencias deberían estar verificados y documentados.

Las auditorías de seguridad deberían abarcar el contrato exacto desplegado y los contratos relacionados.

Las restricciones de trading deberían tener una duración limitada, ser razonables y estar visibles antes de que los usuarios compren.

Los proyectos deberían evitar mensajes de marketing que oculten las limitaciones de transferencia.

Es posible que un token no se haya concebido como una estafa, pero un diseño deficiente puede producir resultados similares a los de un honeypot para los usuarios.

Señales de alerta de los honeypots cripto

Que un token se pueda comprar, pero no vender, es la señal de alerta más clara.

Un contrato con impuestos de venta ocultos o modificables es una señal de alerta importante.

Que el propietario del contrato pueda incluir carteras en una lista negra es una señal de alerta importante.

Un contrato sin verificar para un token muy promocionado es una señal de alerta importante.

Un token con solo transacciones de compra desde carteras normales es una señal de alerta importante.

Un token promocionado por cuentas desconocidas con promesas de beneficios garantizados es una señal de alerta importante.

Una frase de recuperación publicada públicamente que parece dar acceso a fondos es una señal de alerta importante.

Una plataforma que exige más criptomonedas antes de permitir retiradas es una señal de alerta importante.

Un proyecto que se niega a responder preguntas sobre el contrato es una señal de alerta importante.

Una comunidad que presiona a los usuarios para que compren antes de comprobar la seguridad es una señal de alerta importante.

Buenas prácticas para evitar honeypots cripto

No compres un token nuevo solo porque el gráfico suba rápidamente.

Antes de comprar cantidades significativas, comprueba si las carteras normales pueden vender.

Utiliza herramientas fiables de análisis de contratos, pero no dependas totalmente de ellas.

Lee los permisos del contrato o, si es posible, consulta a un especialista cualificado en seguridad.

Comprueba si la propiedad, la capacidad de actualización, los impuestos, las listas negras y la liquidez son transparentes.

Utiliza una cartera separada para lanzamientos de tokens arriesgados.

No introduzcas nunca una frase de recuperación en una web o formulario de asistencia.

No consideres nunca una frase de recuperación filtrada como una oportunidad.

Desconfía de los rendimientos garantizados, los mensajes urgentes sobre lanzamientos y los falsos servicios de recuperación.

Mantén tus principales activos a largo plazo alejados de las carteras que utilizas para experimentos arriesgados.

Preguntas frecuentes

¿Qué significa honeypot cripto?

Honeypot cripto es una estafa o trampa que parece rentable o utilizable, pero está diseñada para bloquear, robar o impedir el acceso a los fondos de los usuarios.

¿Qué es un token honeypot?

Un token honeypot es un token que normalmente se puede comprar, pero no vender, debido a restricciones ocultas en el contrato inteligente.

¿Puede subir el precio de un token honeypot?

Sí. El precio de un token honeypot puede subir porque las compras pueden funcionar mientras las ventas están bloqueadas para la mayoría de los usuarios.

¿Por qué pueden vender los estafadores si los usuarios normales no pueden?

Los estafadores pueden diseñar el contrato para incluir las carteras privilegiadas en una lista de permitidos, mientras bloquean a los compradores normales o les aplican impuestos elevados.

¿Es lo mismo un honeypot que un rug pull?

No. Un honeypot impide que los usuarios vendan o retiren, mientras que un rug pull suele implicar que los responsables retiren liquidez, vendan tokens o abandonen el proyecto.

¿Puede un token convertirse en un honeypot después del lanzamiento?

Sí. Un token puede convertirse en un honeypot más adelante si el propietario puede cambiar los impuestos, incluir carteras en una lista negra, actualizar la lógica del contrato o modificar las reglas de transferencia.

¿Son fiables las herramientas detectoras de honeypots?

Estas herramientas son útiles, pero no infalibles, ya que los honeypots avanzados pueden cambiar su comportamiento, permitir pequeñas ventas de prueba u ocultar la lógica en contratos externos.

¿Cuál es la principal señal de alerta de un honeypot?

La principal señal de alerta es que los usuarios puedan comprar el token, pero las carteras normales no puedan venderlo correctamente.

¿Puedo recuperar el dinero de un token honeypot?

A menudo es difícil o imposible recuperar los fondos. Por ello, los usuarios deberían conservar las pruebas, dejar de enviar fondos, revocar las autorizaciones arriesgadas y denunciar la estafa cuando corresponda.

¿Qué es un honeypot de frase de recuperación?

Es una estafa en la que los atacantes publican una frase de recuperación de cartera que parece dar acceso a fondos, pero está diseñada para robar el gas que envíen las víctimas.

¿Cómo puedo evitar las estafas cripto de tipo honeypot?

Puedes reducir el riesgo comprobando si se puede vender, los permisos del contrato, la liquidez, la propiedad, los impuestos y las autorizaciones antes de interactuar con un token o contrato inteligente nuevo.

¿Que el código del contrato esté verificado significa que el token es seguro?

No. Que el código esté verificado solo significa que es más fácil inspeccionarlo, no que el token esté libre de lógica maliciosa o permisos peligrosos.

Conclusión

Los honeypots cripto son uno de los patrones de estafa más peligrosos del mercado de activos digitales porque hacen que una trampa parezca una oportunidad.

Un token honeypot puede permitir a los usuarios comprar, pero impedirles vender.

Un contrato honeypot puede parecer vulnerable, pero atrapar en secreto a cualquiera que interactúe con él.

Un honeypot de frase de recuperación puede mostrar fondos aparentes y robar el gas que envíen las víctimas.

Una plataforma de falsas retiradas puede mostrar beneficios y exigir más pagos antes de liberar los fondos.

Todas estas estafas se basan en la misma idea.

Se anima al usuario a entrar, pero el sistema está diseñado para que no pueda salir de forma segura.

La mejor defensa consiste en verificarlo todo cuidadosamente antes de firmar, comprar, autorizar o enviar fondos.

Los usuarios deberían inspeccionar los contratos de los tokens, comprobar la liquidez, revisar la propiedad, probar con cautela si se pueden vender, evitar las frases de recuperación sospechosas y desconfiar de los rendimientos garantizados.

También deberían recordar que se pueden falsificar los gráficos, el entusiasmo y la prueba social.

Un token que parece rentable no es seguro si su contrato bloquea las salidas normales.

Los honeypots cripto recuerdan que la transparencia de la blockchain no protege automáticamente a los usuarios frente al código malicioso.

La seguridad depende de entender qué permite el contrato, quién lo controla y si los usuarios pueden realmente retirar o vender.

Para principiantes y usuarios avanzados, la regla más segura es sencilla.

Si una oportunidad cripto parece urgente, fácil, secreta o demasiado buena para ser verdad, detente y verifica cada aspecto antes de arriesgar fondos.