¿Qué es una estafa de criptomonedas tipo honeypot? Guía de contratos inteligentes de Ethereum

Imagínate una tienda. Una pequeña. Recibes tu dinero, te da un recibo y sonríe. Luego, cierra la puerta discretamente. Todo lo que hay en los estantes es tuyo, técnicamente. Simplemente no puedes llevarte nada. Esa es una estafa criptográfica de trampa, en una sola imagen. Y en 2025, decenas de miles de estas trampas estaban activas en la cadena de bloques en cualquier momento, dispersas por los exchanges descentralizados, ocultas en código malicioso de contratos inteligentes que nadie lee.

Quizás no hayas oído este término antes. No hay problema. Una vez que lo aprendas, lo verás por todas partes. El token que sube un 400% un miércoles cualquiera con 2000 compradores y cero vendedores. La billetera sobre la que alguien te pregunta por mensaje directo: "¿Puedes ayudarme a sacar este dinero?". La criptomoneda sobre la que una celebridad tuiteó justo 10 segundos antes de que la gráfica se disparara. Algunas de estas son trampas para inversores. Otras no. El objetivo de esta guía es enseñarte a distinguirlas, sin necesidad de ser desarrollador.

Primero, verifiquemos la magnitud del problema. El Informe de Delitos con Criptomonedas de Chainalysis de 2026 indica que las direcciones ilícitas de criptomonedas recibieron 154 mil millones de dólares en 2025, un aumento del 162% con respecto al año anterior. El Informe de Delitos en Internet del FBI de 2025 estimó el fraude con criptomonedas en 11.366 millones de dólares, de los cuales 7.200 millones correspondieron a estafas de inversión. Las trampas de seguridad representan una parte importante de ambas cifras. En Ethereum, Base y BNB Chain, son algo habitual. Permítanme explicarles dónde se encuentra realmente la trampa y qué medidas básicas de precaución les permitirán evitarla.

¿Qué es un honeypot en criptomonedas? Una introducción para principiantes.

Una trampa de criptomonedas, o "honeypot", es una estafa que aparenta ser una oportunidad normal, pero que está diseñada para impedir el retiro del dinero. El nombre proviene de la idea de dejar algo dulce al descubierto para atraer moscas. En el mundo de las criptomonedas, ese algo dulce suele ser un token popular, una billetera que aparenta contener fondos gratuitos o un sitio web que promete rendimientos extraordinarios.

Aquí radica la distinción importante. Un honeypot no roba tus criptomonedas mediante un ataque informático. No vacía tu billetera desde el exterior. Te permite, con tus propias manos, enviar una cantidad determinada de criptomoneda a un contrato sin salida. Una vez que el dinero llega a su destino, el estafador lo controla. Tú no.

Un honeypot típico en la cadena de bloques se ve así: aparece un nuevo token en Uniswap o PancakeSwap, u otra plataforma de finanzas descentralizadas que promete descentralizar el comercio de tokens. El gráfico muestra que su precio está subiendo. La gente compra el token. Tú también compras tokens. Tu billetera ahora muestra un saldo. Intentas vender. La transacción se revierte, falla o se completa con una comisión de venta del 100% que te deja sin nada. Tu saldo sigue ahí. Simplemente no se puede mover. Te quedas con tokens sin valor y esperando una puerta que nunca se abrirá, lo que dificulta incluso clasificarlo como un hackeo porque no se produjo ninguna vulnerabilidad directamente contra ti.

De dónde proviene el término honeypot

La palabra es anterior a la criptomoneda. Mucho anterior. El término "Honeypot" aparece mencionado en el libro de Clifford Stoll de 1989 , *El huevo del cuco* . Stoll era administrador de sistemas en el Laboratorio Berkeley. Detectó un error contable de 75 centavos, lo investigó y terminó persiguiendo a un hacker afiliado a la KGB a través de redes militares. ¿Los archivos falsos que creó para mantener ocupado al hacker? Esos fueron los primeros honeypots. Tecnología del tipo bueno.

Las criptomonedas tomaron el término y cambiaron el objetivo. Cuarenta años después, la trampa apunta a los usuarios habituales de criptomonedas, no a los intrusos. Ahora tú eres la víctima. La misma estructura de trampa, moralidad opuesta. Cuando alguien en el mundo de las criptomonedas dice "ese token es una trampa mortal", se refiere a que el código está manipulado en contra de quien lo compra, generalmente mediante restricciones ocultas en la lógica del contrato que nadie lee.

Cómo funciona una estafa tipo honeypot paso a paso

La mayoría de las estafas con trampas de miel siguen el mismo guion. Una vez que lo ves, detectas nuevas variantes en cuestión de minutos.

Todo comienza con un estafador que escribe un contrato inteligente. A simple vista, parece un token estándar. La función de compra funciona. Se implementa en Ethereum, Base, BNB Chain o Solana. Hasta ahora, todo normal.

Luego viene la trampa. En algún punto de la lógica de venta, una restricción. Podría ser una lista negra que añade silenciosamente a cada nuevo comprador. Podría ser un impuesto de venta del 100%. Podría ser una función que solo el propietario puede llamar. Podría ser un contrato auxiliar independiente que controla las transferencias. Los compradores pueden enviar tokens, pero solo el estafador puede enviarlos. El resultado es el mismo, pero de muchas formas.

A continuación, viene la puesta en escena. El estafador crea un fondo de liquidez en un exchange descentralizado. El token parece negociable. Realiza operaciones ficticias con sus propias billeteras y una o dos billeteras externas para crear un gráfico que parezca real. Velas verdes, volumen en aumento. Telegram empieza a llenarse de preguntas del tipo "¿cómo puedo comprar?".

Luego, la promoción en redes sociales. A veces, influencers pagados. A veces, un proyecto conocido suplantado. A veces, un evento noticioso, como cuando $SQUID aprovechó el éxito de Squid Game de Netflix en 2021. Telegram, X, TikTok. Siempre con urgencia: "solo 1000 billeteras pueden acuñar tokens", "el token se lanza en 2 horas", "el precio ya subió un 300 %".

El desenlace siempre es el mismo. Las víctimas intentan vender. Estas transacciones se revierten, fallan o se desvían a la billetera del estafador. Para cuando el chat de Telegram se da cuenta, el estafador ya ha vaciado el fondo común o ha transferido los fondos a un tercer contrato. El contrato inactivo permanece en la cadena de bloques para siempre, un monumento a la trampa.

Tipos de trampas que realmente encontrarás

Los honeypots vienen en más variedades de las que la mayoría de los principiantes esperan. Estos son los principales tipos de honeypots con los que la gente se topa en 2025.

• Los contratos inteligentes impiden la venta. El contrato rechaza cualquier transacción de venta proveniente de una dirección que no esté en la lista blanca. Verás tus tokens en tu billetera y nunca los moverás.
• Trampas ocultas en la lista negra. Cada nuevo comprador es añadido silenciosamente a una lista negra en el momento de la compra. Comprar funciona; vender fracasa para siempre.
• Trampas de venta con 100% de impuestos. El contrato desvía el 100% de cualquier venta a una billetera de "tesoro" (la del estafador). Técnicamente vendes, pero no recibes nada.
• Trampas de liquidez. El fondo de liquidez es unilateral o está controlado por el operador. Las órdenes de venta fallan porque no hay liquidez en el otro lado del libro de órdenes, o el estafador retira la liquidez a su antojo.
• Trampas para el propietario. Las funciones ocultas exclusivas para el propietario permiten al estafador pausar las operaciones, crear un suministro ilimitado o modificar los impuestos después del lanzamiento. Incluso un lanzamiento aparentemente justo puede convertirse en una trampa una hora después.
• Estafas con monederos y "ETH gratis". No se trata de ningún token. Un estafador publica un monedero con tokens visibles en la cadena de bloques y comparte la frase semilla. Al intentar retirar los tokens, se requiere una tarifa de gas. Se envía la tarifa, pero un bot la elimina inmediatamente. No se recibe nada. MetaMask advierte específicamente sobre esta variante.
• Trampas de "soporte" falsas en Etherscan. Alguien responde a tu comentario en Etherscan ofreciéndote ayuda. Te dicen que envíes una pequeña cantidad de ETH a un contrato de "reversión". Ese contrato es otra trampa que se queda con tu ETH.

Solidus Labs ha catalogado 98.442 contratos honeypot en la cadena de bloques, divididos entre variantes de contrato externo, bloque de liquidez y lista de bloqueo. Token Sniffer rastrea más de 47,9 millones de tokens en 15 cadenas y señala más de seis millones de ellos como estafas. Las cifras no son insignificantes.

Los honeypots de contratos inteligentes y el truco del impuesto de venta

De todas las variantes, las trampas de contratos inteligentes en cadenas de bloques tipo Ethereum son las más comunes. Los contratos inteligentes de Ethereum y sus clones en la cadena de bloques de Ethereum impulsan la mayoría de estas trampas, y este patrón también ilustra por qué el hecho de que "el código sea público" no es la protección que muchos principiantes creen.

Un contrato inteligente honeypot parece inofensivo a simple vista. Hereda de la biblioteca estándar OpenZeppelin ERC-20. Tiene un nombre, un símbolo y un suministro. Si se examina su código en un explorador de bloques como Etherscan o BscScan, se pueden observar cientos de líneas. La mayoría son inofensivas. La trampa suele estar oculta dentro de la función `_transfer` o en un módulo inteligente sospechoso independiente al que el token principal llama a través de una dirección auxiliar.

La versión más elegante es el truco del impuesto de venta. El contrato tiene una variable llamada `sellTax`. Al inicio, es del 5%, lo cual es normal. Diez minutos después del inicio, el propietario llama a `setSellTax(100)`. Ahora, cada venta envía cada token al tesoro. Las compras siguen funcionando, porque se procesan mediante una función diferente. A menos que entiendas el código, puedes mirar el contrato y no ver la trampa, ya que desde fuera parece un token ERC-20 Web3 cualquiera.

Por eso, leer el código de un contrato inteligente por cuenta propia no es fiable para un principiante. Necesitas una simulación (realizar una venta de prueba y comprobar si tiene éxito) o una herramienta que ya conozca estos patrones. Honeypot.is, Token Sniffer, De.Fi Scanner, QuillCheck y GoPlus Security realizan algún tipo de análisis. Ninguna es infalible. Los creadores de honeypots en 2025 utilizan contratos proxy actualizables y activadores con retardo de tiempo específicamente para burlar los escáneres estáticos, por lo que cualquier intento de explotar un contrato nuevo requiere más de una herramienta.

Trampas para billeteras: la trampa de la frase semilla

La variante de billetera merece una explicación aparte, ya que no implica ningún contrato de token. MetaMask publica una advertencia formal al respecto, al igual que Trezor y Ledger.

La situación parece inofensiva. Un desconocido en Telegram, Discord o Twitter afirma ser nuevo en el mundo de las criptomonedas y no saber cómo transferir fondos de una billetera. Comparte la frase semilla (sí, en serio) y explica que la billetera está "bloqueada" porque contiene tokens pero no se ha pagado la comisión por transacción. Pregunta si puedes ayudarle y se ofrece a dividir el contenido.

Cargas la billetera en MetaMask. Ves un saldo real: algunos USDT, tal vez algunos tokens aleatorios. Intentas enviarte los USDT a ti mismo. No puedes, porque la billetera tiene cero ETH para el gas. Entonces, envías un poco de ETH desde tu propia billetera para cubrir la comisión de la transacción.

En el momento en que llega el ETH, un bot de vigilancia, programado para monitorear esa dirección, transfiere cada wei entrante a la billetera real del estafador. Tu gas se pierde. Los tokens que creías estar ayudando a recuperar nunca fueron recuperables. O bien estaban bloqueados por restricciones contractuales, o bien Tether los congeló como USDT porque la dirección ya estaba marcada.

La regla para evitar esto es muy simple: nunca, bajo ninguna circunstancia, confíes en una billetera cuya frase semilla te haya dado otra persona. Si realmente la poseyeran, te enviarían los fondos ellos mismos. Esta trampa es una de las formas más sencillas que usan los estafadores para robar gas a los principiantes, y está diseñada para engañar a cualquiera que sea lo suficientemente inexperto como para creer que el "dinero gratis" es realmente gratis.

Famosas estafas de trampas de miel: SQUID, HAWK, LIBRA

Los casos reales ayudan a que esto tenga sentido.

SQUID (1 de noviembre de 2021). Este es el ejemplo clásico para principiantes. El token se benefició de la popularidad del juego Squid de Netflix. Comprar funcionó y parecía explosivo. El precio subió de aproximadamente 0,01 $ a unos 2861 $, un aumento tan drástico que el Washington Post y la BBC lo cubrieron. Los poseedores intentaron vender, pero no pudieron. Los desarrolladores retiraron entonces unos 3,38 millones de dólares del fondo de liquidez y desaparecieron. El token se desplomó más del 99,99 % en menos de cinco minutos. Una estafa en toda regla.

HAWK (4 de diciembre de 2024). Si bien no es un típico caso de estafa con contratos inteligentes, se ajusta al mismo modelo mental. Lanzado por Haliey "Hawk Tuah" Welch, el token alcanzó una capitalización de mercado de 500 millones de dólares el día de su lanzamiento. Un análisis en cadena realizado por Halborn reveló que el 96% del suministro se encontraba en carteras de personas con información privilegiada. Cuando estas personas vendieron sus tokens, el precio cayó más del 95% ese mismo día. Los compradores se quedaron con tokens que, técnicamente, aún se negocian y, en realidad, carecen de valor.

LIBRA (14 de febrero de 2025). El presidente argentino Javier Milei publicó información sobre el token minutos después de su lanzamiento. El precio pasó de casi cero a 5,20 dólares en 40 minutos. Los inversores con información privilegiada controlaban el 70% del suministro y lo vendieron masivamente al público minorista. Se perdieron aproximadamente 251 millones de dólares. El caso es ahora objeto de una investigación federal y constituye uno de los ejemplos más claros de cómo el respaldo político, sumado a la rápida liquidez y la oferta de información privilegiada, genera un resultado engañoso incluso sin contratos trampa personalizados.

Dechat (26 de febrero de 2024). Un investigador rastreó aproximadamente 3,2 millones de dólares robados a través de nueve contratos honeypot vinculados por un único atacante que utilizó los canales sociales comprometidos de Dechat para distribuir el enlace malicioso. Esto nos recuerda que incluso los proyectos legítimos pueden promocionar accidentalmente un honeypot si sus cuentas son pirateadas.

Estafa de honeypot vs. estafa de alfombra vs. otras estafas con criptomonedas

Los principiantes suelen usar estos términos indistintamente. Se trata de trampas diferentes. Las estafas tipo honeypot en criptomonedas se centran específicamente en bloquear las salidas; las demás categorías funcionan de manera diferente, aunque todas operan con la misma mecánica emocional básica de urgencia y exageración.

El honeypot es aquel en el que la trampa está integrada en el código incluso antes de que llegues. Los engaños requieren que el equipo haga algo después. Los honeypots funcionan automáticamente, por eso son tan fáciles de escalar; una vez implementados, el estafador apenas tiene que aparecer.

El funcionamiento de las estafas honeypot cambia con las monedas meme.

Las criptomonedas meme, especialmente en Solana, son el escenario donde las tácticas de manipulación de precios han proliferado. Un informe de Solidus Labs, que abarca desde enero de 2024 hasta marzo de 2025, identificó el 98,6 % de todos los tokens de Pump.fun como esquemas de manipulación de precios o estafas de precios. Solo Pump.fun ha emitido más de 11,9 millones de tokens y representa aproximadamente el 71 % de todos los lanzamientos de tokens en Solana en un día determinado. Estas estafas emplean las mismas técnicas de ingeniería social que las trampas de precios tradicionales, adaptadas al público de las criptomonedas meme. El miedo a perderse la oportunidad hace el resto.

La razón es estructural. Pump.fun permite que cualquiera cree un token en segundos con un capital mínimo. Lanzas un token, compras los primeros cientos de dólares, lo promocionas en X y esperas. Si aparecen compradores, vendes. Si no, abandonas el token y sigues adelante. Multiplica eso por un millón de billeteras y obtendrás un ecosistema donde comprar cualquier criptomoneda meme nueva se parece más a tirar de la palanca de una máquina tragaperras que a invertir.

No todas las criptomonedas meme son una trampa en el sentido estricto de "imposible de vender". Sin embargo, la estructura de costos premia el volumen por encima de la calidad. La misma investigación de Solidus Labs reveló que el 93% de los 388.000 pools de liquidez de Raydium analizados presentaban un comportamiento de "desvío gradual". De aproximadamente 7 millones de tokens meme Solana con historial de operaciones, solo unos 97.000 mantuvieron una liquidez superior a los 1.000 dólares. Cifras como estas deberían replantear tus suposiciones sobre el riesgo.

Auditorías de contratos inteligentes y detección de honeypots

Las auditorías de contratos son el elemento fundamental y objetivo. Una auditoría adecuada de un contrato inteligente, realizada por una empresa como Halborn, CertiK, PeckShield, Trail of Bits o SlowMist, analiza el código línea por línea, simula casos extremos y certifica (o rechaza) el contrato. Si bien las auditorías no garantizan la seguridad, permiten detectar rápidamente las vulnerabilidades más graves.

Para un principiante que analiza un token nuevo, la pregunta práctica no es si se le realizó una auditoría, sino si la realizó una empresa de renombre y si dicha auditoría cubrió la versión actual del contrato. Muchos tokens poco fiables mencionan la "auditoría" en su publicidad y enlazan a un PDF de una empresa desconocida, o a una auditoría real realizada sobre una versión anterior del código.

Para los tokens sin auditorías, que son la mayoría, la siguiente mejor opción es la detección automatizada de honeypots. Herramientas gratuitas que vale la pena conocer:

Siempre analice un token con al menos dos herramientas, no solo con una. Ningún escáner detecta todas las variantes, y los creadores de honeypots se adaptan constantemente para ir un paso por delante de cualquier verificador que se haya popularizado el mes pasado.

Señales de alerta que indican la presencia de una trampa.

No necesitas leer Solidity para detectar la mayoría de los honeypots. Aquí tienes las señales de advertencia que deberías tener en cuenta antes de comprar.

• El token se creó hace menos de 24 horas y tiene menos de 500 poseedores. Los tokens recién creados suelen ser trampas. Consultar el historial de transacciones del token en Etherscan antes de comprarlo es una práctica común que permite detectar a muchos de ellos.
• La lista de titulares muestra que una sola billetera posee más del 20% del suministro, o que dos o tres billeteras poseen más del 60% en conjunto. Esa es su firma de manipulación de precios.
• La liquidez no está bloqueada, o el bloqueo expira en días en lugar de meses. Compruébelo en Unicrypt o Team Finance.
• Promesas de altas ganancias que suenan demasiado buenas para ser verdad: "100 veces tu inversión para el viernes", "garantizado 10 veces la inversión la próxima semana", "solo 1000 billeteras pueden generar ingresos". Esto es una clara señal de alerta. La urgencia es el motor del estafador.
• No hay indicios de un equipo verificable ni de legitimidad. Un moderador de Discord cualquiera, un desarrollador anónimo y sin perfiles de LinkedIn. No es automáticamente una estafa, pero merece una seria advertencia.
• El contrato mantiene las funciones exclusivas para el propietario, como "acuñar", "pausar", "lista negra" o "establecer tarifa", sin bloqueo temporal. Incluso sin mala intención, una clave comprometida puede engañar a los compradores posteriormente.
• El canal de Telegram tiene miles de miembros, pero las conversaciones parecen guionizadas. Las granjas de bots suelen repetir las mismas promesas en diferentes cuentas. Presta atención a las frases que se repiten.
• El gráfico de tokens muestra muchas compras y casi ninguna venta. Los tokens reales tienen ambas. La ausencia de ventas suele ser la señal más clara de que se trata de una trampa en tiempo real, ya que la estafa bloquea intencionadamente las ventas de los usuarios.

Estas señales de advertencia te ayudan a identificar posibles tokens trampa y a evitar ser víctima cuando una nueva criptomoneda se pone de moda.

La mayoría de los compradores pierden dinero en estafas, no porque las señales fueran invisibles, sino porque el miedo a perderse algo (FOMO) nubló su intuición. Cuando el estafador puede vender y nadie más puede, las decisiones rápidas siempre favorecen al estafador.

Si caíste en una trampa de criptomonedas: qué hacer

La primera frase sincera es: las probabilidades de recuperación son pésimas. En el caso de los honeypots basados en contratos inteligentes, la recuperación es prácticamente nula, ya que estas estafas están diseñadas para impedir cualquier reembolso normal. En el caso de estafas más generalizadas, el informe de SlowMist de 2024 mostró que solo se recuperó el 8,25 % de los 2013 millones de dólares incurridos en incidentes de seguridad. La recuperación en honeypots está incluso por debajo de esa cifra.

Aun así, hay medidas prácticas que vale la pena tomar.

Deja de interactuar con el contrato. No firmes más transacciones relacionadas con él, ni siquiera aquellas que prometen "desbloquear" tus tokens. Casi siempre se trata de estafas posteriores.

Revoca todas las autorizaciones de tokens que hayas otorgado. Usa Revoke.cash o el verificador de autorizaciones de tokens de Etherscan para encontrar cualquier contrato que aún tenga permiso para gastar tokens de tu billetera. Revoca dichas autorizaciones.

Documenta todo. Guarda la dirección del contrato, los hashes de las transacciones, el sitio web o Telegram donde encontraste el token y cualquier mensaje que hayas recibido. Las capturas de pantalla son importantes.

Presenta denuncias. El IC3 del FBI recibe denuncias de fraude con criptomonedas en EE. UU. La FTC acepta denuncias de estafas en reportfraud.ftc.gov. En el Reino Unido, Action Fraud. Cada país tiene su propio organismo. También denuncia el token en Etherscan o BscScan para que otros usuarios vean una advertencia, y en Token Sniffer si aún no está listado. La mayoría de las plataformas de intercambio de criptomonedas también marcarán la dirección si se solicita, en caso de que los fondos robados se transfieran a su plataforma.

No contrates un servicio de recuperación que te contacte por Telegram, Twitter, Instagram o correo electrónico. Esta es una estafa común, y su incidencia es enorme. La recuperación legítima, cuando se produce, la llevan a cabo las fuerzas del orden y empresas profesionales de análisis forense de blockchain (Chainalysis, TRM Labs, Elliptic), y estas empresas no se anuncian en tus mensajes directos.

Comparte públicamente la dirección del contrato. Si un token es un honeypot confirmado, hacer visible esa información protege a la siguiente persona.

Marco Lucchetti

Marco Lucchetti is a senior content strategist and blockchain analyst at Plisio. With over 7 years of experience in cryptocurrency research, DeFi protocols, and payment technologies, Marco specializes in creating clear, data-driven content for a global crypto audience. His work focuses on transaction tracing, crypto compliance, and the future of blockchain infrastructure.