Что такое мошенничество с использованием ловушки для криптовалют? Руководство по смарт-контрактам Ethereum.

Представьте себе магазин. Небольшой. Он берет ваши деньги, выдает чек, улыбается. Затем тихонько запирает выход. Технически, все товары на полках ваши. Вы просто не можете уйти ни с чем из этого. Это мошенническая схема с использованием криптовалюты, построенная на принципе «медовой ловушки». И в 2025 году десятки тысяч таких обманных схем работали в блокчейне в любой момент времени, разбросанные по децентрализованным биржам, скрытые внутри вредоносного кода смарт-контрактов, который никто не читает.

Возможно, вы раньше не слышали этот термин. Ничего страшного. Но как только вы его узнаете, вы будете замечать его повсюду. Токен, который взлетает на 400% в случайную среду, имея 2000 покупателей и ни одного продавца. Кошелек, о котором вам пишут в личные сообщения с вопросом: «Можете помочь мне вывести эти деньги?». Монета, о которой знаменитость только что написала в Твиттере за 10 секунд до того, как график резко взлетает вверх. Некоторые из них — ловушки для инвесторов. Некоторые — нет. Цель этого руководства — научить вас различать их, не имея при этом опыта разработчика.

Сначала проверьте масштаб. В отчете Chainalysis о криптопреступлениях за 2026 год говорится, что в 2025 году незаконные криптоадреса принесли 154 миллиарда долларов, что на 162% больше, чем годом ранее. В отчете ФБР о преступлениях в интернете за 2025 год сумма мошенничества с криптовалютами составила 11,366 миллиарда долларов, из которых 7,2 миллиарда долларов приходится на инвестиционные аферы. Ловушки для криптовалют составляют значительную часть обеих цифр. На Ethereum, Base и BNB Chain они встречаются ежедневно. Поэтому позвольте мне рассказать вам, где на самом деле скрывается ловушка и какие элементарные меры предосторожности помогут вам избежать ее.

Что такое «ловушка для хакеров» в криптовалюте? Взгляд новичка.

«Медовая ловушка» — это любая криптовалютная ловушка, которая выглядит как обычная возможность, но сконструирована таким образом, что вы не можете вывести свои деньги. Название происходит от идеи чего-то сладкого, оставленного на виду, чтобы привлечь мух. В криптовалюте таким «сладким» предметом обычно является «горячий» токен, кошелек, который, как кажется, содержит бесплатные средства, или веб-сайт, обещающий сверхприбыль.

Вот важное различие. «Ловушка для криптовалюты» не крадет ваши монеты путем взлома. Она не опустошает ваш кошелек извне. Она позволяет вам самостоятельно отправить определенное количество криптовалюты на контракт, у которого нет пути для вывода средств. Как только деньги поступают, мошенник контролирует их. Вы — нет.

Типичная схема взлома в блокчейне выглядит так: на Uniswap или PancakeSwap, или другой децентрализованной финансовой платформе, которая обещает децентрализовать торговлю токенами, появляется новый токен. На графике видно, что его стоимость растёт. Люди покупают токен. Вы тоже покупаете токены. В вашем кошельке теперь отображается баланс. Вы пытаетесь продать. Транзакция отменяется, терпит неудачу или завершается с комиссией за продажу в размере 100%, в результате чего вы остаётесь ни с чем. Ваш баланс остаётся на месте. Он просто не может сдвинуться с места. Вы остаётесь с бесполезными токенами и ждёте двери, которая никогда не откроется, что затрудняет классификацию этого как взлома, поскольку никаких эксплойтов против вас напрямую не было.

Откуда произошло выражение «медовая ловушка» (honeypot)

Слово «ловушка» старше криптографии. Намного старше. «Ловушка» (honeypot) упоминается в книге Клиффорда Столла 1989 года «Яйцо кукушки» (The Cuckoo's Egg) . Столл был системным администратором в Берклиевской лаборатории. Он заметил бухгалтерскую ошибку в 75 центов, потянул за ней и в итоге стал преследовать связанного с КГБ хакера по военным сетям. Поддельные файлы, которые он создал, чтобы отвлечь хакера? Это были первые ловушки. Технологии для хороших парней.

Криптовалюта подхватила это слово и перевернула цель. Сорок лет спустя ловушка направлена на обычных пользователей криптовалюты, а не на злоумышленников. Теперь вы — муха. Та же структура ловушки, но противоположная мораль. Когда кто-то в криптосообществе говорит: «Этот токен — ловушка для мальчишек», он имеет в виду, что код настроен против того, кто его купит, обычно с помощью скрытых ограничений, заложенных в логике контракта, которую никто не читает.

Как работает мошенническая схема с использованием «медовой ловушки»: пошаговая инструкция

Большинство мошеннических схем с использованием «медовых ловушек» следуют одному и тому же сценарию. Увидев одну и ту же схему один раз, вы сможете распознать новые варианты за считанные минуты.

Всё начинается с того, что мошенник пишет смарт-контракт. На первый взгляд, это выглядит как стандартный токен. Функция покупки работает. Развертывание на Ethereum, Base, BNB Chain или Solana. Пока всё нормально.

Затем ловушка. Где-то в логике продажи — ограничение. Это может быть черный список, который незаметно добавляет каждого нового покупателя. Это может быть 100% налог на продажу. Это может быть функция, которую может вызывать только владелец. Это может быть отдельный вспомогательный контракт, который фактически контролирует переводы. Покупатели могут отправлять токены, только мошенник может их отправлять. Результат тот же, множество форм.

Далее следует подготовка. Мошенник создает пул ликвидности на децентрализованной бирже. Токен выглядит пригодным для торговли. Он отмывает деньги со своих собственных кошельков и одного-двух третьих кошельков, чтобы нарисовать график, который выглядит живым. Зеленые свечи, растущий объем. Telegram начинает заполняться вопросами типа «как мне купить?».

Затем продвижение в социальных сетях. Иногда платные инфлюенсеры. Иногда пародирование известного проекта. Иногда новостное событие, как, например, $SQUID, который в 2021 году воспользовался ажиотажем вокруг игры Squid Game от Netflix. Telegram, X, TikTok. Всегда с помпой: «только 1000 кошельков могут выпустить токен», «запуск токена через 2 часа», «цена уже выросла на 300%».

Финальный акт всегда один и тот же. Жертвы пытаются продать свои средства. Эти сделки по продаже либо отменяются, либо терпят неудачу, либо все деньги попадают в кошелек мошенника. К тому времени, как об этом узнает чат в Telegram, мошенник уже опустошил пул или перевел средства на третий контракт. Мертвый контракт навсегда остается в блокчейне, как памятник ловушке.

Типы мест, где вас могут встретить, на самом деле могут встретиться.

Местная охота за приманками бывает самых разных видов, чего большинство новичков не ожидают. Вот основные типы мест охоты за приманками, с которыми люди сталкиваются в 2025 году.

• Ловушки смарт-контракта, препятствующие продаже. Контракт отклоняет любые транзакции продажи с адресов, не включенных в белый список. Вы видите свои токены в кошельке, и вы никогда не сможете их переместить.
• Скрытые ловушки с черным списком. Каждый новый покупатель незаметно добавляется в черный список в момент покупки. Покупка работает; продажа после этого навсегда терпит неудачу.
• Ловушки со 100% налогом на продажу. Контракт направляет 100% от любой продажи на «казначейский» кошелек (мошенника). Технически вы продаете, но ничего не получаете.
• Ловушки ликвидности. Пул ликвидности односторонний или контролируется лицом, размещающим ордер. Ордера на продажу не срабатывают, потому что на другой стороне книги ордеров ничего нет, или мошенник забирает ликвидность по своему усмотрению.
• Ловушки, связанные с функциями владельца. Скрытые функции, доступные только владельцу, позволяют мошеннику приостанавливать торговлю, создавать неограниченное количество монет или изменять налоги после запуска. Даже «честный запуск» может через час превратиться в ловушку.
• Кошелек / ловушки с «бесплатным ETH». На самом деле это не токен. Мошенник выкладывает кошелек с токенами, видимыми в блокчейне, и делится сид-фразой. При попытке вывести токены требуется газ. Вы отправляете газ. Бот-список немедленно его списывает. Вы ничего не получаете. MetaMask специально предупреждает об этом варианте.
• Поддельные ловушки «поддержки» Etherscan. Кто-то отвечает на ваш комментарий на Etherscan, предлагая помощь. Он советует отправить небольшое количество ETH на контракт «обратного перевода». Этот контракт — ещё одна ловушка, которая удерживает ваши ETH.

Компания Solidus Labs задокументировала 98 442 контракта-ловушки в блокчейне, разделенных на варианты внешних контрактов, блоков ликвидности и списков блокировки. Token Sniffer отслеживает более 47,9 миллионов токенов в 15 блокчейнах и помечает более шести миллионов из них как мошеннические. Цифры немаленькие.

Ловушки для смарт-контрактов и уловка с налогом на продажу

Из всех разновидностей наиболее распространены ловушки на основе смарт-контрактов в блокчейнах, подобных Ethereum. Смарт-контракты Ethereum и их клоны в блокчейне Ethereum обеспечивают работу большинства таких ловушек, и эта модель также иллюстрирует, почему принцип «код публичный» не является той защитой, которую считают многие новички.

С виду смарт-контракт-ловушка выглядит скучно. Он наследует стандартную библиотеку OpenZeppelin ERC-20. У него есть имя, символ и объем предложения. Если вы посмотрите код его смарт-контракта в обозревателе блоков, таком как Etherscan или BscScan, вы можете увидеть сотни строк. Большинство из них безвредны. Ловушка обычно скрывается внутри функции `_transfer` или в отдельном подозрительном смарт-модуле, к которому основной токен обращается через вспомогательный адрес.

Самый элегантный вариант — это трюк с налогом при продаже. В контракте есть переменная `sellTax`. При запуске она составляет 5%, что является нормой. Через десять минут после запуска владелец вызывает `setSellTax(100)`. Теперь каждая продажа отправляет каждый токен в казну. Покупка по-прежнему работает, потому что покупки проходят через другую функцию. Если вы не понимаете, что читаете в коде, вы можете смотреть на контракт и не заметить ловушку, поскольку со стороны он выглядит как любой другой токен Web3 ERC-20.

Именно поэтому самостоятельное чтение кода смарт-контрактов для новичков ненадежно. Вам потребуется либо симуляция (проведите тестовую продажу и посмотрите, удастся ли это), либо инструмент, который уже знает эти шаблоны. Honeypot.is, Token Sniffer, De.Fi Scanner, QuillCheck и GoPlus Security — все они используют ту или иную форму такого анализа. Ни один из них не является абсолютно надежным. Создатели ловушк для хакеров в 2025 году используют обновляемые прокси-контракты и триггеры с задержкой по времени специально для обхода статических сканеров, поэтому любая попытка взлома нового контракта требует более чем одного инструмента.

Ловушки для кошельков: ловушка сид-фразы

Вариант с кошельком заслуживает отдельного объяснения, поскольку он вообще не предполагает использования каких-либо контрактов токенов. MetaMask, Trezor и Ledger публикуют официальное предупреждение по этому поводу.

Схема выглядит безобидной. Незнакомец в Telegram, Discord или Twitter утверждает, что он новичок в криптовалюте и не может понять, как вывести средства из кошелька. Он делится сид-фразой (да, это правда) и объясняет, что кошелек «заблокирован», потому что в нем есть токены, но нет комиссии за транзакцию. Он спрашивает, можете ли вы помочь, и предлагает разделить то, что находится внутри.

Вы пополняете кошелек в MetaMask. Вы видите реальный баланс: некоторое количество USDT, возможно, какие-то случайные токены. Вы пытаетесь отправить USDT себе. У вас не получается, потому что в кошельке нет ETH для оплаты комиссии за транзакцию. Поэтому вы отправляете немного ETH со своего кошелька, чтобы покрыть комиссию за транзакцию.

В тот момент, когда поступает ETH, бот-сборщик, запрограммированный на отслеживание этого адреса, перемещает все входящие wei на настоящий кошелек мошенника. Ваша плата за газ исчерпана. Токены, которые вы, как вам казалось, помогали спасти, так и не удалось вернуть. Они либо были заблокированы ограничениями контракта, либо заморожены в USDT компанией Tether, поскольку адрес уже был помечен как подозрительный.

Правило, предотвращающее это, очень простое: никогда, ни при каких обстоятельствах не доверяйте кошельку, сид-фразу которого вам кто-то дал. Если бы он действительно принадлежал этому человеку, он бы сам отправил средства. Эта ловушка — один из самых простых способов, которыми мошенники крадут газ у новичков, и она предназначена для того, чтобы заманить в ловушку любого, кто достаточно неопытен, чтобы думать, что «бесплатные деньги» когда-либо бывают действительно бесплатными.

Известные мошеннические схемы с использованием «медовых ловушек»: SQUID, HAWK, LIBRA.

Реальные примеры помогают это понять.

SQUID (1 ноября 2021 г.). Это классический пример для начинающих. Токен появился благодаря популярности игры Squid Game от Netflix. Покупка прошла успешно и выглядела взрывной. Цена выросла примерно с 0,01 доллара до 2861 доллара, рост был настолько резким, что об этом писали Washington Post и BBC. Держатели пытались продать, но не смогли. Затем разработчики вывели из пула ликвидности около 3,38 миллиона долларов и исчезли. Токен рухнул более чем на 99,99% менее чем за пять минут. Чистая ловушка, чистая афера с выводом средств.

HAWK (4 декабря 2024 г.). Не является классической ловушкой для смарт-контрактов, но соответствует той же ментальной модели. Запущенный Хейли «Хок Туа» Уэлчем, токен достиг рыночной капитализации в 500 миллионов долларов в день запуска. Анализ блокчейна, проведенный Халборном, показал, что 96% предложения хранилось в кошельках инсайдеров. Когда инсайдеры сбросили токены, цена упала более чем на 95% в тот же день. Покупатели остались с токенами, которые технически все еще торгуются, но технически все еще ничего не стоят.

ВЕСЫ (14 февраля 2025 г.). Президент Аргентины Хавьер Милей опубликовал сообщение о токене через несколько минут после запуска. Цена взлетела с почти нуля до 5,20 долларов за 40 минут. Инсайдеры владели 70% предложения и бросились в омут розничных покупателей. Было потеряно примерно 251 миллион долларов. Сейчас это дело находится на стадии федерального расследования и является одним из самых ярких примеров того, как политическая поддержка, быстрая ликвидность и предложение со стороны инсайдеров создают ситуацию, подобную ловушке, даже без специальных контрактных ловушек.

Dechat (26 февраля 2024 г.). Один следователь отследил кражу около 3,2 миллиона долларов США по девяти связанным контрактам-ловушкам, совершенную одним злоумышленником, который использовал взломанные социальные каналы Dechat для распространения вредоносной ссылки. Это напоминание о том, что даже реальные проекты могут случайно продвигать ловушку, если их учетные записи будут взломаны.

«Ловушка для мошенничества» против «подставного мошенничества» против других криптовалютных афер

Новички часто используют эти термины как синонимы. Это разные ловушки. Мошеннические схемы типа «медовая ловушка» в криптовалюте направлены на блокировку выхода; другие категории работают по-разному, хотя все мошеннические схемы основаны на одном и том же эмоциональном рычаге — чувстве срочности и ажиотаже.

Ловушка-приманка — это когда ловушка встроена в код ещё до вашего появления. Для мошенничества с использованием поддельных кодов команде нужно что-то предпринять после этого. Ловушки-приманки работают автоматически, поэтому они так легко масштабируются; после развертывания мошеннику практически не нужно появляться.

Как меняется работа мошеннических схем с использованием «медовых монет» с появлением мем-монет

Мем-монеты, особенно на платформе Solana, стали местом, где тактика, близкая к «ловушкам для хакеров», получила широкое распространение. В отчете Solidus Labs за период с января 2024 года по март 2025 года было выявлено, что 98,6% всех токенов Pump.fun являются инструментами «накачки и сброса» или «подтасовки». Только Pump.fun выпустила более 11,9 миллионов токенов и регулярно обеспечивает примерно 71% всех запусков токенов Solana за день. Эти мошеннические схемы используют те же рычаги социальной инженерии, что и классические «ловушки для хакеров», но в переупакованном виде для аудитории мем-монет. Страх упустить возможность делает все остальное.

Причина структурная. Pump.fun позволяет любому создать токен за считанные секунды практически без капитала. Запускаешь токен, покупаешь первые несколько сотен долларов самостоятельно, создаешь ажиотаж на X и ждешь. Если покупатели приходят, продаешь. Если нет, ты отказываешься от токена и переходишь к следующему. Умножь это на миллион кошельков, и ты получишь экосистему, где покупка любой новой мем-монеты больше похожа на дергание за рычаг игрового автомата, чем на инвестирование.

Не каждая мем-монета является «ловушкой» в чистом смысле слова, которую невозможно продать. Но структура ценообразования вознаграждает объем, а не качество. В том же исследовании Solidus Labs было обнаружено, что 93% из 388 000 проанализированных ими пулов ликвидности Raydium демонстрировали мягкое поведение типа «выдергивания ковра». Из примерно 7 миллионов мем-токенов Solana с какой-либо историей торгов только около 97 000 когда-либо сохраняли ликвидность выше 1000 долларов. Такие цифры должны заставить вас пересмотреть свои предположения о рисках.

Аудит смарт-контрактов и обнаружение ловушек для злоумышленников

Аудит смарт-контрактов — это скучное занятие для взрослых. Правильный аудит смарт-контрактов, проводимый такими компаниями, как Halborn, CertiK, PeckShield, Trail of Bits или SlowMist, построчно анализирует код, моделирует граничные случаи и сертифицирует (или отклоняет) контракт. Аудиты не гарантируют безопасность, но они быстро отфильтровывают самые примитивные ловушки.

Для новичка, рассматривающего новый токен, практический вопрос заключается не в том, «проходил ли он аудит», а в том, «проводился ли аудит авторитетной фирмой и охватывал ли аудит текущую версию контракта». Многие сомнительные токены указывают «аудит» в своей маркетинговой стратегии и дают ссылку на PDF-файл от неизвестной фирмы или на реальный аудит, проведенный на более старой версии кода.

Для токенов без аудита, а это большинство из них, следующим лучшим вариантом является автоматическое обнаружение ловушек для злоумышленников. Вот несколько бесплатных инструментов, которые стоит знать:

Всегда проверяйте токен как минимум двумя инструментами, а не одним. Ни один сканер не выявляет все варианты, и разработчики ловушк для мошенников постоянно адаптируются, чтобы опережать любые инструменты проверки, ставшие популярными в прошлом месяце.

Тревожные сигналы, указывающие на ловушку для мальчишек

Чтобы распознать большинство ловушек для мошенников, не обязательно читать Solidity. Вот предупреждающие знаки, которые должны заставить вас задуматься, прежде чем совершать покупку.

• Токен был создан менее 24 часов назад и имеет менее 500 держателей. Ранние токены непропорционально часто становятся ловушками для мошенников. Проверка истории транзакций токена на Etherscan перед покупкой — это базовая привычка, которая помогает выявить многих из них.
• В списке держателей видно, что один кошелек владеет более чем 20% предложения, или два или три кошелька владеют более чем 60% в совокупности. Это и есть признак вашей стратегии «накачки и сброса».
• Ликвидность не заблокирована, или блокировка истекает через несколько дней, а не месяцев. Проверьте на Unicrypt или Team Finance.
• Обещания высокой доходности, которые звучат слишком хорошо, чтобы быть правдой: «100-кратное увеличение к пятнице», «гарантированное 10-кратное увеличение на следующей неделе», «можно создать всего 1000 кошельков». Это серьезный тревожный сигнал. Мошенник черпает энергию в спешке.
• Нет никакой команды, подлежащей проверке, или сигналов о легитимности. Случайный модератор Discord, анонимный разработчик и отсутствие профилей в LinkedIn. Не обязательно мошенничество, но стоит серьезно задуматься.
• Контракт содержит функции «создание», «пауза», «черный список» или «установка платы», доступные только владельцу, без временной блокировки. Даже без злого умысла, скомпрометированный ключ может ввести покупателей в заблуждение в дальнейшем.
• В Telegram-канале тысячи участников, но разговоры кажутся заученными. Ботофермы часто повторяют одни и те же обещания на разных аккаунтах. Обратите внимание на повторяющиеся фразы.
• График токенов показывает большое количество покупок и почти полное отсутствие продаж. У реальных токенов есть и то, и другое. Отсутствие продаж часто является самым очевидным признаком мошеннической схемы в режиме реального времени, поскольку такая схема блокирует продажу пользователями по своей сути.

Эти предупреждающие знаки помогут выявить потенциальные ловушки для мошенников и избежать участи жертвы, когда новая криптовалюта становится популярной.

Большинство покупателей теряют деньги на мошеннических схемах не потому, что признаки были невидимы, а потому, что страх упустить выгоду (FOMO) пересилил интуицию. Когда мошенник может продать товар, а никто другой — нет, решение всегда принимается в пользу мошенника.

Что делать, если вы попали в ловушку для криптопреступников?

Честно говоря, ваши шансы на возврат средств крайне малы. В случае с чистыми ловушками для смарт-контрактов возврат средств практически равен нулю, поскольку эти мошеннические схемы разработаны таким образом, чтобы предотвратить любые попытки обычного возмещения. Что касается более масштабных афер, отчет SlowMist за 2024 год показал, что было возвращено лишь 8,25% от 2,013 миллиарда долларов, полученных в результате всех инцидентов безопасности. Возврат средств через чистые ловушки даже ниже этого показателя.

Тем не менее, есть практические шаги, которые стоит предпринять.

Прекратите взаимодействовать с этим контрактом. Не подписывайте больше никаких связанных с ним сделок, даже тех, которые якобы «разблокируют» ваши токены. Это почти всегда мошеннические схемы.

Отзовите все предоставленные вами разрешения на использование токенов. Используйте Revoke.cash или инструмент проверки разрешений на использование токенов Etherscan, чтобы найти контракты, которые все еще имеют разрешение на использование токенов из вашего кошелька. Отзовите их.

Документируйте всё. Сохраните адрес контракта, хеши транзакций, веб-сайт или Telegram-канал, где вы нашли токен, а также все полученные сообщения. Скриншоты важны.

Сообщайте о мошенничестве. В США жалобы на мошенничество с криптовалютами принимает отдел IC3 ФБР. Федеральная торговая комиссия (FTC) принимает сообщения о мошенничестве на сайте reportfraud.ftc.gov. В Великобритании – Action Fraud. В каждой стране свой орган. Также сообщите о самом токене на Etherscan или BscScan, чтобы другие пользователи увидели предупреждение, и на Token Sniffer, если он еще не указан. Большинство криптовалютных бирж также по запросу пометят адрес, если украденные средства в конечном итоге были переведены на их платформу.

Не пользуйтесь услугами служб восстановления данных, которые пишут вам в Telegram, Twitter, Instagram или по электронной почте. Это распространенная категория мошенничества, и она очень масштабна. Законное восстановление данных, если оно происходит, осуществляется правоохранительными органами и профессиональными компаниями, занимающимися анализом блокчейна (Chainalysis, TRM Labs, Elliptic), и эти компании не рекламируются в ваших личных сообщениях.

Разместите адрес контракта в открытом доступе. Если токен подтвержден как ловушка для злоумышленников, то публикация этой информации поможет спасти следующего пользователя.

Marco Lucchetti

Marco Lucchetti is a senior content strategist and blockchain analyst at Plisio. With over 7 years of experience in cryptocurrency research, DeFi protocols, and payment technologies, Marco specializes in creating clear, data-driven content for a global crypto audience. His work focuses on transaction tracing, crypto compliance, and the future of blockchain infrastructure.