O que é um golpe honeypot com criptomoedas?

Equipe do CrabChain.org | Atualizado em 13 de outubro de 2026

No ecossistema de criptomoedas, um honeypot é um tipo de fraude projetado para atrair usuários para um ativo ou transação aparentemente lucrativo e, depois que eles comprometem seu dinheiro, impedir que recuperem os fundos normalmente. O termo vem da cibersegurança, na qual um honeypot tradicional é um sistema-isca criado para atrair possíveis invasores e estudar seu comportamento. No mundo cripto, a expressão mantém a ideia de uma armadilha atraente, mas é utilizada principalmente para descrever smart contracts ou mecanismos de carteira projetados para bloquear os fundos das vítimas.

Como funciona

O exemplo mais comum envolve tokens negociados em exchanges descentralizadas. Um usuário encontra um ativo recém-criado que parece estar passando por uma forte alta de preço, vê atividade de compra, confirma que existe liquidez e compra tokens com uma carteira. A transação de entrada é executada com sucesso e a posição pode até apresentar ganhos consideráveis. O problema aparece quando o usuário tenta vender. O smart contract pode rejeitar a transação, restringi-la a determinados endereços ou impor condições econômicas tão desfavoráveis que a venda se torna praticamente inútil. Dessa forma, o suposto lucro mostrado na tela não representa necessariamente dinheiro que o proprietário possa recuperar.

A característica central de um honeypot é justamente a assimetria entre comprar e vender. Um token convencional deve permitir que seus usuários realizem operações de acordo com as regras estabelecidas pelo protocolo e pelo mercado. Em um honeypot, o contrato pode ser programado para que determinados usuários consigam adquirir o ativo, enquanto as transações de venda ficam bloqueadas ou sujeitas a restrições especiais. A CertiK documentou mecanismos nos quais a compra funciona normalmente, mas uma condição incorporada ao contrato impede posteriormente a venda.

Técnicas comuns

Esse mecanismo pode assumir formas tecnicamente diferentes. Uma delas envolve o uso de listas de endereços autorizados ou bloqueados. O contrato pode permitir que determinadas carteiras vendam enquanto restringe as transações de outras. Em alguns casos, os responsáveis mantêm privilégios administrativos que lhes permitem modificar essas condições depois do lançamento. Também podem existir limites de venda que permitem transações muito pequenas, mas impedem a liquidação de uma posição significativa. Dessa maneira, um teste superficial inicial pode transmitir uma impressão de normalidade enquanto as transações de saída economicamente relevantes continuam bloqueadas.

Outra possibilidade é introduzir impostos extraordinariamente altos sobre as vendas. A transação pode ser concluída tecnicamente, mas o usuário recebe apenas uma quantia mínima depois da aplicação da taxa. Um contrato pode estabelecer cobranças próximas de cem por cento, tornando a venda economicamente equivalente à perda de praticamente todo o investimento. A Binance identificou esse tipo de imposto extremo como um dos mecanismos associados a determinados honeypots.

O apelo da armadilha depende tanto da programação do contrato quanto da criação de uma aparência de mercado legítimo. Os responsáveis podem criar um site profissional, desenvolver perfis nas redes sociais e apresentar o token como uma oportunidade emergente. Também podem gerar atividade inicial para que o ativo pareça ser negociado por numerosos usuários. Uma rápida alta de preço pode criar a impressão de que existe demanda genuína e alimentar o medo de perder uma oportunidade que parece se multiplicar em poucas horas. A CertiK descreveu como gráficos de alta e a pressão associada ao chamado FOMO podem ajudar a atrair compradores para esses contratos maliciosos.

A liquidez desempenha um papel fundamental nesse processo. Para que um token seja negociado em uma exchange descentralizada, geralmente é necessário haver um pool de liquidez contendo pares de ativos. Essa liquidez permite que as trocas entre usuários ocorram. Um honeypot pode se beneficiar de um pool que aparentemente fornece atividade suficiente para convencer compradores, enquanto as regras do token os impedem de converter seus ativos de volta para outro token ou para criptomoedas mais líquidas. Em alguns casos, o responsável também pode tentar retirar parte ou toda a liquidez posteriormente, combinando características de um honeypot com um rug pull.

Honeypot e rug pull

Essa distinção é importante porque honeypot e rug pull são conceitos relacionados, mas não equivalentes. Em um rug pull, os responsáveis podem atrair capital e depois retirar a liquidez ou explorar outros mecanismos de controle para fazer o projeto entrar em colapso. Em um honeypot, a armadilha costuma estar incorporada às condições que determinam como os usuários podem operar com o token. O usuário pode ficar preso mesmo enquanto o gráfico de preços continua mostrando atividade. Os dois mecanismos também podem aparecer juntos dentro da mesma operação fraudulenta.

Como identificá-lo

Detectar um honeypot antes de comprá-lo exige analisar mais do que o comportamento do preço. O contrato do token é uma peça fundamental. A existência de funções administrativas, restrições de transferência, controles sobre endereços específicos ou mecanismos capazes de alterar as condições de negociação pode revelar riscos significativos. No entanto, ler corretamente um smart contract exige conhecimento técnico, e a ausência de um sinal de alerta evidente não constitui garantia de segurança. Mesmo um contrato cujo código seja público pode conter lógica complexa ou mecanismos ativados apenas em circunstâncias específicas.

Ferramentas de simulação podem complementar essa análise. Alguns serviços especializados permitem simular uma compra e depois uma venda para verificar se as transações seriam aceitas pelo contrato. A Binance cita ferramentas como Honeypot.is e determinadas soluções de análise de segurança como recursos capazes de detectar se uma venda apresenta problemas antes de realizar uma compra real. Essas simulações são úteis como mecanismo preventivo, embora nenhum sistema automatizado possa, por si só, garantir que um token seja legítimo.

Também é relevante verificar o comportamento das carteiras relacionadas ao projeto. A blockchain permite estudar o histórico dos endereços públicos, observar concentrações significativas de tokens e examinar determinadas transferências. Uma distribuição extremamente concentrada pode aumentar o risco porque poucas entidades têm capacidade de influenciar o mercado. No entanto, as informações onchain têm limitações. Um endereço de blockchain não identifica necessariamente uma pessoa específica, e várias carteiras podem ser controladas pela mesma entidade. Por isso, a análise das transações deve ser interpretada em conjunto com as informações contratuais e empresariais disponíveis.

Honeypots de carteira

Os chamados honeypots de carteira representam outra variante que funciona de maneira diferente. Nesse caso, os golpistas podem publicar uma seed phrase ou chave privada que aparentemente fornece acesso a uma carteira carregada com tokens. A promessa é fazer a vítima acreditar que pode ficar com esses fundos se conseguir fornecer as criptomoedas necessárias para pagar as taxas da rede. O usuário envia ativos para cobrir o gas e descobre que os fundos são imediatamente transferidos para fora da carteira ou que existem restrições que impedem o saque. A recomendação de segurança mais importante nesse caso é nunca importar uma seed phrase ou chave privada fornecida por um desconhecido.

Por que funcionam

A atração desses golpes é explicada em parte por uma característica fundamental dos mercados descentralizados. A possibilidade de criar e negociar ativos sem um intermediário central facilita a inovação, mas também significa que qualquer usuário pode encontrar contratos cuja estrutura e operadores não compreenda completamente. O problema não é que a tecnologia blockchain seja incapaz de exibir informações. Pelo contrário, uma grande quantidade de dados permanece registrada publicamente. A dificuldade está em interpretar esses dados e distinguir atividade econômica genuína de uma estrutura criada para enganar.

Por esse motivo, o aumento do preço de um token nunca deve ser usado como prova de legitimidade. Nem uma comunidade grande, nem um site sofisticado, nem um grande número de transações aparentes, nem mesmo um contrato verificado provam necessariamente que um ativo seja seguro. A verificação do código pode fornecer transparência sobre aquilo que foi publicado, mas não elimina automaticamente os riscos decorrentes de funções administrativas, alterações posteriores ou componentes externos ao contrato.

Um especialista em segurança blockchain poderia resumir a questão observando que o indicador decisivo não é quanto um token pode subir, mas em que condições o usuário consegue sair da posição que abriu. Essa perspectiva muda o foco habitual de muitos investidores de varejo. Em vez de concentrar-se apenas na possibilidade de obter lucros, ela exige analisar a capacidade real de recuperar o capital e as regras que governam essa saída.

Um honeypot representa, em última análise, uma das expressões mais claras do risco associado à interação com smart contracts sem compreender seus mecanismos. A armadilha pode ser projetada para que a entrada seja fácil, atraente e até lucrativa no papel, enquanto a saída é limitada por regras que o usuário só percebe quando tenta vender. Entender essa dinâmica permite distinguir a volatilidade normal de um ativo cripto de uma estrutura deliberadamente criada para reter os fundos dos compradores.

A prevenção depende fundamentalmente de verificação prévia. Analisar o contrato, revisar suas permissões, estudar a liquidez, verificar o histórico das carteiras relacionadas e utilizar ferramentas de simulação pode reduzir determinados riscos antes de realizar uma transação. Ainda assim, nenhuma verificação isolada garante segurança absoluta. Em um mercado no qual as transações podem ser irreversíveis, a questão essencial não é apenas se um token promete grandes lucros, mas se suas regras realmente permitem que o usuário converta esses supostos lucros novamente em ativos sob seu próprio controle.

Fontes

• Ethereum security and scam prevention — ethereum.org (em inglês)
• Token standards — ethereum.org (em inglês)