Che cos`è una truffa honeypot nel mondo delle criptovalute? Guida ai contratti intelligenti di Ethereum

Immaginate un negozio. Uno piccolo. Prende i vostri soldi, vi dà una ricevuta, sorride. Poi chiude silenziosamente l'uscita. Tutto ciò che è sugli scaffali è tecnicamente vostro. Semplicemente non potete portarvelo via. Questa è, in una sola immagine, una truffa honeypot nel mondo delle criptovalute. E nel 2025, decine di migliaia di queste trappole ingannevoli erano attive on-chain in qualsiasi momento, sparse su exchange decentralizzati, nascoste all'interno di codici di smart contract malevoli che nessuno legge.

Forse non hai mai sentito questo termine prima. Va bene. Una volta imparato, lo riconoscerai ovunque. Il token che schizza del 400% in un mercoledì qualsiasi con 2.000 acquirenti e zero venditori. Il portafoglio di cui qualcuno ti parla in privato con un messaggio tipo "puoi aiutarmi a trasferire questi soldi?". La criptovaluta di cui una celebrità ha appena twittato circa 10 secondi prima che il grafico diventasse verticale. Alcune di queste sono trappole per insetti. Altre no. L'obiettivo di questa guida è insegnarti a distinguerle, senza bisogno di essere uno sviluppatore.

Innanzitutto, verifichiamo la portata del problema. Il rapporto sui crimini crittografici del 2026 di Chainalysis afferma che gli indirizzi di criptovalute illeciti hanno raccolto 154 miliardi di dollari nel 2025, con un aumento del 162% rispetto all'anno precedente. Il rapporto sui crimini informatici del 2025 dell'FBI stima le frodi legate alle criptovalute a 11,366 miliardi di dollari, di cui 7,2 miliardi derivanti da truffe sugli investimenti. Le honeypot rappresentano una fetta consistente di entrambe le cifre. Su Ethereum, Base e BNB Chain sono all'ordine del giorno. Quindi, vi spiegherò dove si annida effettivamente la trappola e quali precauzioni di base potete adottare per evitarla.

Cos'è un honeypot nel mondo delle criptovalute? Una guida per principianti.

Una honeypot è una trappola nel mondo delle criptovalute che appare come una normale opportunità di investimento, ma è progettata in modo da impedire il prelievo del denaro. Il nome deriva dall'idea di qualcosa di allettante lasciato in bella vista per attirare le mosche. Nel mondo delle criptovalute, l'allettante in questione è solitamente un token molto richiesto, un portafoglio che sembra contenere fondi gratuiti o un sito web che promette rendimenti esorbitanti.

Ecco la distinzione fondamentale. Un honeypot non ruba le tue criptovalute hackerandoti. Non svuota il tuo portafoglio dall'esterno. Ti permette, con le tue mani, di inviare una certa quantità di criptovaluta a un contratto che non ha una via d'uscita. Una volta che il denaro arriva a destinazione, il truffatore ne ha il controllo. Tu no.

Un tipico honeypot on-chain si presenta così: un nuovo token compare su Uniswap o PancakeSwap, o su un'altra piattaforma di finanza decentralizzata che promette di decentralizzare il trading di token. Il grafico mostra un aumento del valore. Le persone acquistano il token. Anche tu acquisti dei token. Il tuo portafoglio ora mostra un saldo. Cerchi di vendere. La transazione viene annullata, fallisce o si conclude con una commissione di vendita altissima, lasciandoti a mani vuote. Il tuo saldo è ancora lì. Semplicemente non può essere spostato. Ti ritrovi con token senza valore e in attesa di una porta che non si aprirà mai, il che rende difficile persino classificare la cosa come un attacco informatico, poiché non si è verificato alcun exploit direttamente ai tuoi danni.

Da dove deriva il termine honeypot

La parola è più vecchia di "crittografia". Molto più vecchia. Il termine "honeypot" compare per nome nel libro di Clifford Stoll del 1989 , "L'uovo del cuculo ". Stoll era un amministratore di sistema al Berkeley Lab. Notò un errore contabile di 75 centesimi, lo analizzò e finì per inseguire un hacker affiliato al KGB attraverso reti militari. I file falsi che creò per tenere occupato l'hacker? Quelli furono i primi honeypot. Tecnologia onesta.

Il mondo delle criptovalute ha preso il termine e ne ha ribaltato il significato. Quarant'anni dopo, il miele è puntato sui normali utenti di criptovalute, non sugli intrusi. Ora sei tu la mosca. Stessa struttura della trappola, moralità opposta. Quando qualcuno nel mondo delle criptovalute dice "quel token è una trappola", intende dire che il codice è truccato contro chiunque lo acquisti, solitamente tramite restrizioni nascoste sepolte nella logica del contratto che nessuno legge.

Come funziona una truffa honeypot passo dopo passo

La maggior parte delle truffe honeypot segue lo stesso schema. Una volta che l'hai vista, riconosci le nuove varianti in pochi minuti.

Tutto inizia con un truffatore che scrive uno smart contract. In apparenza, sembra un token standard. La funzione di acquisto funziona. Lo si può implementare su Ethereum, Base, BNB Chain o Solana. Fin qui tutto normale.

Poi arriva la trappola. Da qualche parte nella logica di vendita, una restrizione. Potrebbe essere una lista nera che aggiunge silenziosamente ogni nuovo acquirente. Potrebbe essere una tassa di vendita del 100%. Potrebbe essere una funzione che solo il proprietario è autorizzato a richiamare. Potrebbe essere un contratto ausiliario separato che controlla effettivamente i trasferimenti. Gli acquirenti possono inviare token, ma solo il truffatore può inviarli. Stesso risultato, molteplici forme.

Poi arriva la fase preparatoria. Il truffatore crea un pool di liquidità su un exchange decentralizzato. Il token sembra negoziabile. Effettuano scambi fittizi con i propri portafogli e con uno o due portafogli di terze parti per dipingere un grafico che sembri attivo. Candele verdi, volume in aumento. Telegram inizia a riempirsi di domande del tipo "come faccio ad acquistare?".

Poi la promozione, su tutte le piattaforme social. A volte influencer pagati. A volte un progetto noto contraffatto. A volte un evento di attualità, come quando $SQUID ha cavalcato l'onda del successo di Squid Game su Netflix nel 2021. Telegram, X, TikTok. Sempre con un tono di urgenza: "solo 1000 wallet possono coniare token", "il token verrà lanciato tra 2 ore", "il prezzo è già aumentato del 300%".

L'atto finale è sempre lo stesso. Le vittime tentano di vendere. Queste transazioni di vendita vengono annullate, falliscono o reindirizzano tutto al portafoglio del truffatore. Quando la chat di Telegram se ne accorge, il truffatore ha già svuotato il pool o trasferito i fondi su un terzo contratto. Il contratto inattivo rimane on-chain per sempre, un monumento alla trappola.

Tipi di trappole per insetti che incontrerai davvero

Le trappole per insetti (honeypot) sono disponibili in una varietà di gusti più ampia di quanto la maggior parte dei principianti si aspetti. Questi sono i principali tipi di trappole per insetti che si incontrano nel 2025.

• Trappole di vendita negli smart contract. Il contratto rifiuta qualsiasi transazione di vendita proveniente da un indirizzo non presente nella whitelist. Vedrai i tuoi token nel tuo portafoglio, ma non potrai mai spostarli.
• Trappole nascoste nella lista nera. Ogni nuovo acquirente viene silenziosamente aggiunto a una lista nera al momento dell'acquisto. L'acquisto funziona; la vendita fallisce per sempre.
• Una vera e propria trappola per le tasse di vendita. Il contratto dirotta il 100% di ogni vendita verso un portafoglio "del tesoro" (del truffatore). Tecnicamente vendi, ma non ricevi nulla.
• Trappole di liquidità. Il pool di liquidità è unilaterale o controllato da chi lo distribuisce. Gli ordini di vendita falliscono perché non c'è nulla dall'altra parte del book, oppure il truffatore preleva liquidità a piacimento.
• Trappole con funzionalità riservate al proprietario. Funzionalità nascoste accessibili solo al proprietario consentono al truffatore di sospendere le negoziazioni, coniare una quantità illimitata di token o modificare le tasse dopo il lancio. Anche un "lancio equo" può trasformarsi in una trappola un'ora dopo.
• Truffe sui portafogli/sugli ETH gratuiti. Non si tratta affatto di token. Un truffatore pubblica un portafoglio con token visibili sulla blockchain e condivide la frase di recupero. Quando si tenta di trasferire i token, è necessario pagare una commissione (gas). Si invia la commissione, ma un bot di sblocco la preleva immediatamente. Non si ottiene nulla. MetaMask mette in guardia specificamente contro questa variante.
• False trappole di "assistenza" su Etherscan. Qualcuno risponde al tuo commento su Etherscan offrendoti aiuto. Ti dice di inviare una piccola quantità di ETH a un contratto di "inversione". Quel contratto è un'altra trappola che si impossessa dei tuoi ETH.

Solidus Labs ha catalogato ben 98.442 contratti honeypot on-chain, suddivisi tra varianti con contratto esterno, blocco di liquidità e blacklist. Token Sniffer monitora oltre 47,9 milioni di token su 15 blockchain e ne segnala più di sei milioni come truffe. Non si tratta di cifre irrisorie.

Honeypot nei contratti intelligenti e il trucco della tassa di vendita

Tra tutte le tipologie di trappole, quelle basate su smart contract su blockchain in stile Ethereum sono le più comuni. La maggior parte di queste trappole si basa su smart contract di Ethereum e sui loro cloni sulla blockchain di Ethereum, e questo schema illustra anche perché la promessa che "il codice è pubblico" non rappresenta la garanzia di sicurezza che molti principianti credono.

Dall'esterno, uno smart contract honeypot può sembrare innocuo. Eredita dalla libreria standard OpenZeppelin ERC-20. Ha un nome, un simbolo e una fornitura. Se si visualizza il codice dello smart contract su un block explorer come Etherscan o BscScan, si potrebbero vedere centinaia di righe. La maggior parte di esse è innocua. La trappola si nasconde solitamente all'interno della funzione `_transfer` o in un modulo smart contract sospetto separato, richiamato dal token principale tramite un indirizzo helper.

La versione più elegante è il trucco della tassa di vendita. Il contratto ha una variabile chiamata `sellTax`. Al momento del lancio, è pari al 5%, il che è normale. Dieci minuti dopo il lancio, il proprietario chiama `setSellTax(100)`. Ora ogni vendita invia tutti i token al tesoro. L'acquisto funziona ancora, perché passa attraverso una funzione diversa. A meno che non si capisca cosa si sta leggendo nel codice, si può fissare il contratto e non accorgersi della trappola, poiché dall'esterno sembra un qualsiasi altro token Web3 ERC-20.

Ecco perché leggere il codice degli smart contract da soli è inaffidabile per un principiante. È necessario eseguire una simulazione (effettuare una vendita di prova e verificare se ha successo) o utilizzare uno strumento che conosca già questi schemi. Honeypot.is, Token Sniffer, De.Fi Scanner, QuillCheck e GoPlus Security eseguono tutti una qualche forma di questa analisi. Nessuno di questi è infallibile. I creatori di honeypot nel 2025 utilizzano contratti proxy aggiornabili e trigger a tempo ritardato specificamente per eludere gli scanner statici, quindi qualsiasi tentativo di sfruttare un contratto appena creato richiede più di uno strumento.

Trappole per portafogli: la trappola della frase di innesco

La variante del wallet merita una spiegazione a parte perché non prevede alcun contratto token. MetaMask pubblica un avviso ufficiale al riguardo, così come Trezor e Ledger.

La truffa sembra innocua. Uno sconosciuto su Telegram, Discord o Twitter afferma di essere un neofita nel mondo delle criptovalute e di non riuscire a capire come trasferire fondi da un portafoglio. Condivide la frase di recupero (sì, avete capito bene) e spiega che il portafoglio è "bloccato" perché contiene token ma non ha ricevuto il gas. Chiede se potete aiutarlo e si offre di dividere il contenuto del portafoglio.

Carichi il portafoglio in MetaMask. Vedi un saldo reale: un po' di USDT, magari qualche token a caso. Cerchi di inviare gli USDT a te stesso. Non puoi, perché il portafoglio non ha ETH per il gas. Quindi invii un po' di ETH dal tuo portafoglio per coprire la commissione di transazione.

Nel momento in cui gli ETH arrivano, un bot di controllo, programmato per monitorare quell'indirizzo, sposta ogni wei in entrata nel portafoglio reale del truffatore. Il tuo gas è sparito. I token che pensavi di contribuire a salvare non erano mai stati recuperabili fin dall'inizio. Erano bloccati da restrizioni contrattuali oppure USDT congelati da Tether perché l'indirizzo era già stato segnalato.

La regola per evitare questo tipo di truffa è molto semplice: non fidarti mai di un portafoglio la cui frase di recupero ti è stata data da qualcun altro. Se ne fosse il vero proprietario, invierebbe i fondi personalmente. Questa trappola è uno dei metodi più semplici che i truffatori usano per rubare la benzina ai principianti ed è studiata per ingannare chiunque sia abbastanza inesperto da pensare che i "soldi gratis" siano davvero gratis.

Famose truffe honeypot: CALAMARO, FALCO, BILANCIA

I casi concreti aiutano a comprendere meglio questo concetto.

SQUID (1 novembre 2021). Questo è l'esempio da manuale per principianti. Il token ha cavalcato l'onda della popolarità del gioco Squid di Netflix. Acquistare sembrava un'operazione redditizia e promettente. Il prezzo è salito da circa 0,01 dollari a circa 2.861 dollari, un aumento così vertiginoso che il Washington Post e la BBC ne hanno parlato. I possessori hanno cercato di vendere, ma non ci sono riusciti. Gli sviluppatori hanno quindi prelevato circa 3,38 milioni di dollari dal pool di liquidità e sono spariti. Il token è crollato di oltre il 99,99% in meno di cinque minuti. Una vera e propria trappola, una truffa a tutti gli effetti.

HAWK (4 dicembre 2024). Non è una classica honeypot basata su smart contract, ma si adatta allo stesso modello mentale. Lanciato da Haliey "Hawk Tuah" Welch, il token ha raggiunto una capitalizzazione di mercato di 500 milioni di dollari il giorno del lancio. Un'analisi on-chain di Halborn ha mostrato che il 96% dell'offerta era detenuto da insider. Quando gli insider hanno venduto massicciamente, il prezzo è crollato di oltre il 95% lo stesso giorno. Gli acquirenti si sono ritrovati con token che tecnicamente sono ancora scambiabili, ma che tecnicamente sono ancora privi di valore.

LIBRA (14 febbraio 2025). Il presidente argentino Javier Milei ha pubblicato un post sul token pochi minuti dopo il lancio. Il prezzo è schizzato da quasi zero a 5,20 dollari in 40 minuti. Gli insider detenevano il 70% dell'offerta e hanno riversato la loro quotazione nella massa di investitori al dettaglio. Sono andati persi circa 251 milioni di dollari. Il caso è ora oggetto di un'indagine federale ed è uno degli esempi più lampanti di come l'appoggio politico, la rapida liquidità e l'offerta da parte degli insider possano generare una situazione simile a quella di una trappola, anche in assenza di contratti personalizzati.

Dechat (26 febbraio 2024). Un investigatore ha rintracciato circa 3,2 milioni di dollari rubati attraverso nove contratti honeypot collegati tra loro, opera di un singolo hacker che ha utilizzato i canali social compromessi di Dechat per diffondere il link malevolo. Un promemoria del fatto che anche progetti reali possono promuovere accidentalmente un honeypot se i loro account vengono violati.

Honeypot vs. rug pull vs. altre truffe legate alle criptovalute

I principianti spesso usano questi termini in modo intercambiabile. Si tratta di trappole diverse. Le truffe honeypot nel mondo delle criptovalute si concentrano specificamente sul blocco delle vie d'uscita; le altre categorie funzionano in modo diverso, sebbene tutte le truffe si basino sullo stesso meccanismo emotivo di urgenza e clamore.

L'honeypot è una trappola in cui la trappola è integrata nel codice prima ancora che tu arrivi. I trucchi, invece, richiedono un intervento successivo da parte del team. Gli honeypot funzionano automaticamente, ed è per questo che sono così facilmente scalabili; una volta implementati, il truffatore non deve quasi mai intervenire.

Il funzionamento della truffa honeypot cambia con le monete meme

Le meme coin, soprattutto su Solana, sono il terreno fertile per le tattiche simili alle honeypot. Un report di Solidus Labs, relativo al periodo compreso tra gennaio 2024 e marzo 2025, ha identificato il 98,6% di tutti i token Pump.fun come pump-and-dump o rug pull. Pump.fun da sola ha coniato oltre 11,9 milioni di token e rappresenta regolarmente circa il 71% di tutti i lanci di token Solana in un dato giorno. Queste truffe si basano sulle stesse leve di ingegneria sociale delle classiche honeypot, riproposte in una nuova veste per il pubblico delle meme coin. La paura di perdere l'occasione fa il resto.

Il motivo è strutturale. Pump.fun permette a chiunque di creare un token in pochi secondi con un capitale praticamente nullo. Lanci un token, acquisti le prime centinaia di dollari, lo promuovi su X e aspetti. Se arrivano gli acquirenti, vendi. Se non arrivano, abbandoni il token e passi ad altro. Moltiplica questo per un milione di wallet e otterrai un ecosistema in cui acquistare una nuova criptovaluta basata su un meme è più simile a tirare la leva di una slot machine che a investire.

Non tutte le meme coin sono una trappola nel senso puro del termine, ovvero "impossibili da vendere". Tuttavia, la struttura dei costi premia il volume a discapito della qualità. La stessa ricerca di Solidus Labs ha rilevato che il 93% dei 388.000 pool di liquidità di Raydium analizzati presentava un comportamento di "rug pull" (manipolazione del mercato). Su circa 7 milioni di meme token Solana con una cronologia di scambi, solo circa 97.000 hanno mai mantenuto una liquidità superiore a 1.000 dollari. Numeri come questi dovrebbero far riconsiderare le vostre valutazioni del rischio.

Audit dei contratti intelligenti e rilevamento di honeypot

Le verifiche dei contratti sono come l'adulto noioso nella stanza. Una verifica accurata di uno smart contract, condotta da un'azienda come Halborn, CertiK, PeckShield, Trail of Bits o SlowMist, legge il codice riga per riga, simula i casi limite e certifica (o boccia) il contratto. Le verifiche non garantiscono la sicurezza assoluta, ma queste verifiche dei contratti filtrano rapidamente le honeypot più rudimentali.

Per un principiante che valuta un nuovo token, la domanda pratica non è "è stato sottoposto a un audit?", ma "è stato sottoposto a un audit da parte di un'azienda affidabile e l'audit ha riguardato la versione attuale del contratto?". Molti token poco affidabili menzionano "audit" nel loro marketing e rimandano a un PDF di un'azienda sconosciuta, oppure a un audit reale effettuato su una versione precedente del codice.

Per i token senza audit, che rappresentano la maggior parte, la soluzione migliore successiva è il rilevamento automatico delle honeypot. Strumenti gratuiti da conoscere:

Eseguite sempre una scansione del token con almeno due strumenti, non solo con uno. Nessun singolo scanner è in grado di rilevare tutte le varianti e gli autori di honeypot continuano ad adattarsi per rimanere al passo con qualsiasi strumento di verifica diventi popolare il mese scorso.

Segnali d'allarme che indicano una trappola per attirare clienti

Non serve leggere Solidity per riconoscere la maggior parte delle honeypot. Ecco i segnali d'allarme che dovrebbero farti riflettere prima di acquistare.

• Il token è stato creato meno di 24 ore fa e ha meno di 500 detentori. I token di nuova emissione sono spesso delle trappole per truffatori. Controllare la cronologia delle transazioni del token su Etherscan prima di acquistarlo è una semplice abitudine che permette di individuarne molti.
• L'elenco dei detentori mostra un singolo portafoglio che possiede più del 20% della fornitura totale, oppure due o tre portafogli che insieme ne detengono più del 60%. Questa è la firma tipica di una manipolazione del mercato (pump-and-dump).
• La liquidità non è bloccata, oppure il blocco scade in pochi giorni anziché in mesi. Verifica su Unicrypt o Team Finance.
• Promesse di rendimenti elevati che sembrano troppo belle per essere vere: "100 volte entro venerdì", "garantito 10 volte la prossima settimana", "solo 1000 portafogli possono coniare". Questo è un segnale d'allarme importante. L'urgenza è l'ossigeno del truffatore.
• Nessun team verificabile o segnale di legittimità. Un moderatore Discord a caso, un responsabile anonimo e nessun profilo LinkedIn. Non è automaticamente una truffa, ma merita una pausa di riflessione.
• Il contratto contiene funzioni riservate al proprietario come "mint", "pause", "blacklist" o "setFee" senza blocco temporale. Anche in assenza di intenti malevoli, una chiave compromessa può ingannare gli acquirenti in seguito.
• Il canale Telegram ha migliaia di membri, ma le conversazioni sembrano preconfezionate. Le "fabbriche di bot" spesso ripetono le stesse promesse su diversi account. Presta attenzione alle frasi ripetute.
• Il grafico del token mostra molti acquisti e quasi nessuna vendita. I token reali presentano entrambi. L'assenza di vendite è spesso il segnale più evidente che ci si trova di fronte a una honeypot in tempo reale, poiché la truffa impedisce agli utenti di vendere per sua stessa natura.

Questi segnali di allarme ti aiutano a identificare potenziali token honeypot e ad evitare di diventarne vittima quando una nuova criptovaluta diventa di tendenza.

La maggior parte degli acquirenti perde denaro nelle trappole per truffatori non perché i segnali fossero invisibili, ma perché la paura di perdere un'occasione (FOMO) ha prevalso sull'istinto. Quando il truffatore riesce a vendere e nessun altro ci riesce, le decisioni affrettate ricadono sempre sul truffatore.

Se sei caduto in una trappola per criptovalute: cosa fare

La prima frase onesta è: le probabilità di recupero sono scarse. Nel caso di honeypot basati esclusivamente su smart contract, il recupero è praticamente nullo perché queste truffe sono progettate per impedire qualsiasi tentativo di rimborso. Per quanto riguarda i rug pull più ampi, il rapporto SlowMist del 2024 ha mostrato che solo l'8,25% dei 2,013 miliardi di dollari totali, a seguito di tutti gli incidenti di sicurezza, è stato recuperato. Il recupero da honeypot è addirittura inferiore a questa percentuale.

Tuttavia, ci sono misure pratiche che vale la pena adottare.

Smetti di interagire con il contratto. Non firmare più alcuna transazione ad esso correlata, nemmeno quelle che promettono di "sbloccare" i tuoi token. Si tratta quasi sempre di truffe successive.

Revoca tutte le autorizzazioni sui token che hai concesso. Usa Revoke.cash o il Token Approval Checker di Etherscan per trovare tutti i contratti che hanno ancora l'autorizzazione a spendere token dal tuo portafoglio. Revocali.

Documenta tutto. Salva l'indirizzo del contratto, gli hash delle transazioni, il sito web o il canale Telegram dove hai trovato il token, e tutti i messaggi che hai ricevuto. Gli screenshot sono importanti.

Presentate delle denunce. L'FBI IC3 si occupa delle denunce di frode in criptovalute negli Stati Uniti. La FTC accetta segnalazioni di truffe su reportfraud.ftc.gov. Nel Regno Unito, l'organismo competente è Action Fraud. Ogni paese ha il proprio ente. Segnalate anche il token stesso su Etherscan o BscScan in modo che gli altri utenti vedano un avviso, e su Token Sniffer se non è già presente nell'elenco. La maggior parte degli exchange di criptovalute segnalerà anche l'indirizzo su richiesta se i fondi rubati sono stati successivamente trasferiti sulla loro piattaforma.

Non affidatevi a servizi di recupero dati che vi contattano tramite Telegram, Twitter, Instagram o e-mail. Si tratta di truffe di follow-up, un fenomeno di enorme portata. I recuperi legittimi, quando avvengono, sono gestiti dalle forze dell'ordine e da società specializzate in analisi forense blockchain (come Chainalysis, TRM Labs ed Elliptic), e queste società non vi contattano tramite messaggi privati.

Condividi pubblicamente l'indirizzo del contratto. Se un token è confermato essere una honeypot, rendere pubblica questa informazione salva la vittima successiva.

Marco Lucchetti

Marco Lucchetti is a senior content strategist and blockchain analyst at Plisio. With over 7 years of experience in cryptocurrency research, DeFi protocols, and payment technologies, Marco specializes in creating clear, data-driven content for a global crypto audience. His work focuses on transaction tracing, crypto compliance, and the future of blockchain infrastructure.