¿Qué es un honeypot?

Equipo de CrabChain.org | Actualizado el 13 de octubre de 2026

En el ecosistema de las criptomonedas, un honeypot es una modalidad de fraude diseñada para atraer a los usuarios hacia un activo o una operación aparentemente rentable y, una vez que han comprometido su dinero, impedir que puedan recuperar los fondos con normalidad. El término procede del ámbito de la ciberseguridad, donde un honeypot tradicional es un sistema señuelo creado para atraer a posibles atacantes y estudiar su comportamiento. En el mundo crypto, la expresión mantiene esa idea de trampa atractiva, pero se utiliza principalmente para describir contratos inteligentes o mecanismos de wallet concebidos para bloquear los fondos de las víctimas.

Cómo funciona

El ejemplo más habitual aparece alrededor de tokens negociados en exchanges descentralizados. El usuario encuentra un activo recién creado que parece experimentar una fuerte subida de precio, observa operaciones de compra, comprueba que existe liquidez y adquiere tokens mediante una wallet. La operación de entrada se ejecuta correctamente y la posición puede incluso mostrar ganancias considerables. El problema aparece cuando intenta vender. El contrato inteligente puede rechazar la transacción, restringirla a determinadas direcciones o aplicar unas condiciones económicas tan desfavorables que la venta resulte prácticamente inútil. De esta manera, el supuesto beneficio mostrado en pantalla no representa necesariamente dinero que el propietario pueda recuperar.

La clave del honeypot está precisamente en la asimetría entre comprar y vender. Un token convencional debe permitir que sus usuarios realicen operaciones siguiendo las reglas establecidas por el protocolo y el mercado. En un honeypot, el contrato puede estar programado para que determinados usuarios puedan adquirir el activo, mientras que las operaciones de venta quedan bloqueadas o sometidas a restricciones especiales. CertiK ha documentado mecanismos en los que la compra funciona con normalidad mientras alguna condición incorporada al contrato impide posteriormente la venta.

Técnicas habituales

Este mecanismo puede adoptar formas técnicamente diferentes. Una de ellas consiste en utilizar listas de direcciones autorizadas o bloqueadas. El contrato puede permitir que ciertas wallets vendan mientras restringe las operaciones de otras. En algunos casos, los responsables conservan privilegios administrativos que les permiten modificar esas condiciones después del lanzamiento. También pueden existir límites de venta que permiten realizar operaciones muy pequeñas pero impiden liquidar una posición relevante. De este modo, una primera prueba superficial puede dar una impresión de normalidad mientras las operaciones de salida económicamente significativas permanecen bloqueadas.

Otra posibilidad consiste en introducir impuestos extraordinariamente elevados sobre las ventas. La operación puede completarse desde el punto de vista técnico, pero el usuario recibe una cantidad mínima después de aplicar la comisión. Un contrato puede llegar a establecer gravámenes cercanos al cien por cien, haciendo que la venta sea económicamente equivalente a perder prácticamente toda la inversión. Binance ha señalado este tipo de impuestos extremos como uno de los mecanismos asociados a determinados honeypots.

El atractivo de la trampa depende tanto de la programación del contrato como de la construcción de una apariencia de mercado legítimo. Los responsables pueden crear una página web profesional, desarrollar perfiles en redes sociales y presentar el token como una oportunidad emergente. También pueden producir actividad inicial para que el activo parezca negociado por numerosos usuarios. Una subida rápida del precio puede generar la sensación de que existe una demanda genuina y alimentar el miedo a quedarse fuera de una oportunidad que parece multiplicarse en cuestión de horas. CertiK ha descrito cómo los gráficos alcistas y la presión asociada al llamado FOMO pueden contribuir a atraer compradores hacia estos contratos maliciosos.

La liquidez desempeña un papel fundamental en este proceso. Para que un token pueda negociarse en un exchange descentralizado suele ser necesario disponer de un fondo de liquidez que contenga pares de activos. Esa liquidez permite ejecutar intercambios entre los usuarios. Un honeypot puede beneficiarse de un fondo que aparentemente proporciona suficiente actividad para convencer a los compradores, mientras las reglas del token impiden que estos puedan convertir nuevamente sus activos en otro token o en criptomonedas de mayor liquidez. En determinados casos, además, el responsable puede intentar retirar posteriormente parte o toda la liquidez, combinando características propias de un honeypot con un rug pull.

Honeypot y rug pull

Esta diferencia resulta importante porque honeypot y rug pull son conceptos relacionados, pero no equivalentes. En un rug pull, los responsables pueden atraer capital y posteriormente retirar liquidez o aprovechar otros mecanismos de control para provocar el colapso del proyecto. En un honeypot, la trampa suele encontrarse incorporada en las condiciones que determinan cómo pueden operar los usuarios con el token. El usuario puede quedar atrapado aunque el gráfico de precios continúe mostrando actividad. Los dos mecanismos también pueden aparecer combinados dentro de una misma operación fraudulenta.

Cómo detectarlo

Detectar un honeypot antes de comprarlo exige analizar algo más que la evolución del precio. El contrato del token constituye una pieza fundamental. La existencia de funciones administrativas, restricciones de transferencia, controles sobre determinadas direcciones o mecanismos que pueden modificar las condiciones de negociación puede revelar riesgos importantes. Sin embargo, leer un contrato inteligente correctamente requiere conocimientos técnicos y la ausencia de una señal evidente no constituye una garantía de seguridad. Incluso un contrato cuyo código sea público puede contener lógicas complejas o mecanismos que solo se activan bajo determinadas circunstancias.

Las herramientas de simulación pueden ayudar a complementar ese análisis. Determinados servicios especializados permiten simular una compra y posteriormente una venta para comprobar si las operaciones serían aceptadas por el contrato. Binance señala herramientas como Honeypot.is y determinadas soluciones de análisis de seguridad como recursos capaces de detectar si una operación de venta presenta problemas antes de realizar una compra real. Estas simulaciones son útiles como mecanismo preventivo, aunque ningún sistema automatizado puede garantizar por sí solo que un token sea legítimo.

También resulta relevante comprobar el comportamiento de las wallets relacionadas con el proyecto. La blockchain permite estudiar el historial de las direcciones públicas, observar concentraciones importantes de tokens y examinar determinadas transferencias. Una distribución extremadamente concentrada puede incrementar el riesgo porque unas pocas entidades tienen capacidad para influir en el mercado. Sin embargo, la información onchain tiene límites. Una dirección blockchain no identifica necesariamente a una persona concreta y varias wallets pueden estar controladas por una misma entidad. Por tanto, el análisis de las transacciones debe interpretarse junto con la información contractual y empresarial disponible.

Honeypots de wallets

Los llamados wallet honeypots representan otra variante que funciona de manera diferente. En este caso, los estafadores pueden publicar una seed phrase o una clave privada que aparentemente permite acceder a una cartera cargada de tokens. La promesa consiste en hacer creer a la víctima que puede quedarse con esos fondos si consigue aportar la criptomoneda necesaria para pagar las comisiones de red. El usuario envía activos para cubrir el gas y descubre que los fondos se transfieren inmediatamente fuera de la wallet o que existen restricciones que impiden retirarlos. La recomendación de seguridad más importante en este escenario es no importar nunca una seed phrase o clave privada proporcionada por un desconocido.

Por qué funcionan

El atractivo de estas estafas se explica, en parte, por una característica fundamental de los mercados descentralizados. La capacidad de crear y negociar activos sin un intermediario central facilita la innovación, pero también permite que cualquier usuario encuentre contratos cuya estructura y responsables no comprende completamente. El problema no reside en que la tecnología blockchain sea incapaz de mostrar información. Al contrario, una gran cantidad de datos permanece registrada públicamente. La dificultad consiste en interpretar esos datos y distinguir una actividad económica auténtica de una estructura diseñada para engañar.

Por esta razón, el precio creciente de un token nunca debería utilizarse como prueba de legitimidad. Tampoco la existencia de una comunidad numerosa, una página web elaborada, una gran cantidad de operaciones aparentes o un contrato verificado demuestran necesariamente que el activo sea seguro. La verificación del código puede aportar transparencia sobre lo que está publicado, pero no elimina automáticamente los riesgos derivados de funciones administrativas, cambios posteriores o componentes externos al contrato.

Un especialista en seguridad blockchain podría resumir el problema señalando que el indicador decisivo no es cuánto puede subir un token, sino bajo qué condiciones puede salir un usuario de la posición que ha abierto. Esta perspectiva cambia el enfoque habitual de muchos inversores minoristas. En lugar de concentrarse únicamente en la posibilidad de obtener beneficios, obliga a analizar la capacidad efectiva de recuperar el capital y las reglas que regulan esa salida.

Un honeypot representa, en definitiva, una de las expresiones más claras del riesgo asociado a interactuar con contratos inteligentes sin comprender sus mecanismos. La trampa puede estar construida para que la entrada resulte sencilla, atractiva e incluso rentable sobre el papel, mientras la salida está limitada por reglas que el usuario no percibe hasta que intenta ejecutar una venta. Comprender esta dinámica permite distinguir entre la volatilidad normal de un activo crypto y una estructura deliberadamente diseñada para retener los fondos de sus compradores.

La prevención depende fundamentalmente de la verificación previa. Analizar el contrato, revisar sus permisos, estudiar la liquidez, comprobar el historial de las wallets relacionadas y utilizar herramientas de simulación puede reducir determinados riesgos antes de realizar una operación. Aun así, ninguna comprobación aislada garantiza seguridad absoluta. En un mercado donde las transacciones pueden ser irreversibles, la cuestión esencial no consiste únicamente en descubrir si un token promete grandes beneficios, sino en determinar si sus reglas permiten realmente que el usuario vuelva a convertir esos supuestos beneficios en activos bajo su propio control.

Fuentes

• Ethereum security and scam prevention — ethereum.org (en inglés)
• Token standards — ethereum.org (en inglés)