Kurz erklärt: Ein Honeypot-Contract ist ein absichtlich manipulierter Smart Contract, der Nutzern den Kauf eines Tokens erlaubt, den anschliessenden Verkauf jedoch technisch blockiert, sodass eingezahlte Mittel faktisch nicht mehr abgezogen werden können.
Funktionsprinzip
Der Begriff Honeypot (englisch für „Honigtopf“) beschreibt einen Koeder. Bei einem Honeypot-Contract wirkt der Token auf den ersten Blick handelbar: Käufe werden ausgeführt und im Wallet angezeigt. Erst beim Verkaufsversuch zeigt sich, dass der Vertragscode eine Bedingung enthält, die die Transaktion für normale Nutzer scheitern lässt.
Typische technische Mechanismen sind:
- eine Verkaufssperre, die nur für die Adresse des Erstellers ausgenommen ist (Whitelist)
- eine kuenstlich auf nahezu 100 Prozent gesetzte Verkaufsgebühr
- manipulierte Guthaben- oder Erlaubnis-Prüfungen im Code
Ablauf eines typischen Falls
Betrüger stellen einen neuen Token auf einer dezentralen Börse (DEX) ein und werben über soziale Medien mit angeblich schnellen Kursgewinnen. Anleger kaufen den Token, wodurch der Liquiditätspool wächst. Sobald genug Mittel eingezahlt wurden, entziehen die Täter die Liquidität oder belassen die Verkaufssperre, sodass die Käufer nicht mehr verkaufen können. Honeypot-Contracts werden häufig im Umfeld von Rug Pulls und betrügerischen Token eingesetzt.
Erkennung und Schutz
Es existieren automatisierte Prüfdienste (Honeypot-Checker), die einen Testkauf und Testverkauf simulieren, um Verkaufssperren aufzudecken. Weitere Hinweise sind:
- fehlende oder nicht verifizierte Quelltexte des Contracts
- extrem hohe oder undurchsichtige Handelsgebühren
- Konzentration eines Großteils der Tokens auf wenige Adressen
- nicht gesperrte (lockable) Liquidität
Eine vollständige Sicherheit bieten solche Prüfungen nicht, da Contract-Code beliebig verschleiert werden kann.
Häufige Fragen
Was ist ein Honeypot-Contract?
Ein manipulierter Smart Contract, der Käufe eines Tokens zulässt, den Verkauf für normale Nutzer aber technisch verhindert, sodass die eingezahlten Mittel gebunden bleiben.
Woran erkennt man einen Honeypot?
Hinweise sind nicht verifizierter Contract-Code, extrem hohe Verkaufsgebühren, wenige Halter mit Großteil der Tokens und Prüfergebnisse von Honeypot-Checkern, die einen Verkauf simulieren.
Kann man aus einem Honeypot noch verkaufen?
In der Regel nicht. Die Verkaufssperre ist im Contract verankert und lässt sich von aussen meist nicht umgehen. Ausgenommen sind häufig nur die Adressen der Ersteller.
Ist ein Honeypot dasselbe wie ein Rug Pull?
Nicht ganz. Ein Honeypot blockiert den Verkauf im Contract selbst, während bei einem Rug Pull die Betreiber die Liquidität entziehen. Beide Methoden treten oft zusammen auf.
Schützen Honeypot-Checker vollständig?
Nein. Sie erhöhen die Erkennungswahrscheinlichkeit, können aber durch verschleierten oder zeitgesteuerten Code umgangen werden.
Zusammenfassung
Ein Honeypot-Contract ist ein manipulierter Smart Contract, der Käufe erlaubt, den Verkauf der Tokens jedoch technisch sperrt. Anleger werden mit vermeintlichen Kursgewinnen angelockt und können ihre Mittel danach nicht mehr abziehen. Automatisierte Checker und die Prüfung von Contract-Code, Gebühren und Halterverteilung können das Risiko verringern, bieten aber keine Garantie.
Weiterführende Quellen
- BSI - Sicherheit bei Kryptowerten: www.bsi.bund.de
- Ethereum.org - Smart Contract Security: ethereum.org