آموزش شناسایی توکن‌های هانی‌پات (غیرقابل فروش) در صرافی‌های غیرمتمرکز با TokenSniffer

کانال‌های سیگنال تلگرامی و اینستاگرامی در سال ۲۰۲۶ پر از وعده‌های وسوسه‌انگیز «معرفی میم‌کوین با پتانسیل رشد ۱۰۰ برابری» هستند. کاربر ایرانی، ریال‌های خود را از طریق شبکه پایا یا ساتنا در یک صرافی داخلی به تتر تبدیل کرده، دارایی را به کیف‌پول متامسک یا تراست‌ولت انتقال می‌دهد و با اتصال به صرافی‌های غیرمتمرکز نظیر PancakeSwap یا Uniswap، اقدام به خرید توکن معرفی‌شده می‌کند. نمودار در پلتفرم DexScreener به‌سرعت بالا می‌رود و سودهای رویایی ۲۰۰ تا ۵۰۰ درصدی روی صفحه ظاهر می‌شود؛ اما لحظه‌ای که کاربر دکمه Swap را برای فروش و نقد کردن سود فشار می‌دهد، با خطای غیرقابل فهم Execution Reverted یا کارمزد فروش غیرمعقول مواجه می‌شود: دارایی برای همیشه قفل شده و سرمایه به سرقت رفته است.

این سناریو، تعریف کلاسیک هانی‌پات (Honeypot) در اکوسیستم دیفای است. هانی‌پات‌ها ظرف‌های عسل مسمومی هستند که به‌دلیل کدهای برنامه‌نویسی موذیانه در قراردادهای هوشمند، فقط خرید را پذیرفته و درهای فروش را می‌بندند. در این راهنمای جامع و فنی از رسانه KouroX، به کالبدشکافی کدهای سالیدیتی هانی‌پات، ابزارهای تحلیلی نظیر TokenSniffer و شیوه‌های قطعی مصون ماندن از این تله‌های دیجیتال می‌پردازیم.

---

هانی‌پات (Honeypot) در ارز دیجیتال چگونه کار می‌کند؟

در لغت‌نامه امنیت سایبری، هانی‌پات دامی برای به تله انداختن هکرهاست؛ اما در بازار مالی غیرمتمرکز، کلاهبرداران این اصطلاح را معکوس کرده و از آن برای به دام انداختن سرمایه‌گذاران خرد استفاده می‌کنند.

هنگامی که یک توکن استاندارد بر پایه ERC-20 یا BEP-20 ساخته می‌شود، توابع پایه transfer و transferFrom باید به تمام دارندگان توکن اجازه دهند تا دارایی خود را آزادانه به استخر نقدینگی (Liquidity Pool) فرستاده و معادل آن استیبل‌کوین یا ارز پایه (نظیر BNB یا ETH) دریافت کنند. در یک کانتراکت هانی‌پات، توسعه‌دهنده شروطی بازدارنده در این توابع قرار می‌دهد.

کالبدشکافی کدهای مخرب در زبان سالیدیتی (Solidity)

کلاهبرداران از ترفندهای گوناگونی برای پنهان کردن ماهیت هانی‌پات از دید ربات‌های اسکنر استفاده می‌کنند. سه الگوی رایج عبارتند از:

۱. شرط استثنای مالک در تابع انتقال (Owner-Only Modifier)

در این حالت، کد قرارداد انتقال توکن به آدرس صرافی غیرمتمرکز (Router) را صرفاً برای کیف‌پول سازنده مجاز می‌داند:

function _transfer(address sender, address recipient, uint256 amount) internal virtual {
    require(sender != address(0), "ERC20: transfer from zero address");
    // اگر آدرس مقصد، استخر سواپ باشد و فرستنده مالک نباشد، تراکنش ریورت می‌شود
    if (recipient == uniswapV2Pair && sender != owner()) {
        revert("Pancake: TRANSFER_FAILED");
    }
    _balances[sender] -= amount;
    _balances[recipient] += amount;
}

۲. تنظیم کارمزد فروش ۱۰۰ درصدی (Dynamic Sell Tax)

در این مدل، خریدار از نظر فنی اجازه فروش دارد، اما سازنده تابع محاسبه مالیات را به‌گونه‌ای تنظیم کرده که ۹۹.۹٪ از مبلغ حاصل از فروش به‌عنوان مالیات به آدرس شخصی او واریز می‌شود:

💡 فرمول محاسباتی کارمزد مخرب:
Net_Amount_Received = Gross_Amount * (100 - Sell_Tax) / 100
اگر Sell_Tax = 99% باشد، به ازای فروش ۱۰۰۰ دلار توکن، تنها ۱۰ دلار به شما می‌رسد و مابقی به سرقت می‌رود.

۳. سوئیچ فعال‌سازی با تاخیر (Honeypot Switch)

برخی کلاهبرداران حرفه‌ای در ساعات اولیه عرضه، امکان فروش را باز می‌گذارند تا در پلتفرم‌های مانیتورینگ امتیاز سبز دریافت کنند. سپس با فراخوانی تابع enableTrading(false) یا دستکاری maxTxAmount، امکان خروج را در اوج ورود سرمایه‌گذاران غیرفعال می‌سازند. برای بررسی روش‌های جعل کانتراکت، مقاله تشخیص کانتراکت‌های جعلی و جعلی را مطالعه فرمایید.

---

جدول مقایسه ترفندهای کلاهبرداری در صرافی‌های غیرمتمرکز

نوع تله قراردادی	مکانیزم در کدهای سالیدیتی	رفتار در شبیه‌ساز سواپ	خطای کیف‌پول هنگام فروش	ابزار اختصاصی کشف
هانی‌پات کلاسیک (Revert)	شرط require(sender == owner)	تراکنش فروش مسدود می‌شود	Cannot Estimate Gas	TokenSniffer / Honeypot.is
هانی‌پات مالیاتی (High Tax)	کارمزد فروش بین ۹۹ تا ۱۰۰ درصد	تراکنش موفق اما موجودی صفر	بدون خطا (کسر ۹۹٪ سرمایه)	DexScreener / De.Fi Scanner
محدودسازی حجم (Max TX)	تنظیم حداکثر فروش روی صفر	رد تراکنش به‌دلیل حجم مجاز	TRANSFER_EXCEEDS_LIMIT	GoPlus Security
بلک‌لیست خودکار	افزودن آدرس خریدار به isBlacklisted	مسدودسازی به‌محض خرید	Address Blacklisted	ابزارهای مانیتورینگ امنیتی قراردادها
راگ‌پول نقدینگی (Rug Pull)	برداشت توکن‌های LP از استخر	قیمت به سمت صفر سقوط می‌کند	INSUFFICIENT_LIQUIDITY	پلتفرم‌های قفل نقدینگی (Unicrypt)

---

راهنمای گام‌به‌گام کار با پلتفرم TokenSniffer

سایت TokenSniffer یکی از برترین و در دسترس‌ترین ابزارهای رایگان برای ارزیابی امنیتی قراردادها در شبکه‌های اتریوم، بی‌ان‌بی چِین، آربیتروم، بیس، پالیگان و آپتیمیزم است.

[آدرس کانتراکت توکن (CA)]
           │
           ▼
[ورود به TokenSniffer.com]
           │
     ┌─────┴────────────────────────────────┐
     ▼                                      ▼
[بررسی Smell Test Score]         [بررسی Swap Analysis]
- امتیاز زیر ۵۰: خطر قطعی       - آیا قابل فروش است؟ (Sellable)
- هشدار Honeypot: فرار فوری     - درصد مالیات خرید و فروش
     │                                      │
     └──────────────────┬───────────────────┘
                        ▼
            [بررسی قفل نقدینگی و هولدرها]
            - حداقل ۸۵٪ نقدینگی قفل باشد
            - سهم سازنده زیر ۵٪ کل عرضه باشد

گام اول: دریافت آدرس قرارداد واقعی (Contract Address)

هرگز به نام یا نماد توکن در موتور جستجوی صرافی‌های غیرمتمرکز اعتماد نکنید. هکرها می‌توانند بی‌شمار توکن با نام مشابه ارزهای معتبر (نظیر PEPE یا USDT) بسازند. آدرس رسمی قرارداد را از پلتفرم‌های رصد معتبر یا اسناد رسمی بردارید.

گام دوم: تحلیل امتیاز Smell Test

پس از وارد کردن آدرس در TokenSniffer، امتیازی بین ۰ تا ۱۰۰ دریافت می‌کنید:

• امتیاز بالای ۸۵/۱۰۰: ریسک فنی پایین (البته نیازمند چک دستی نقدینگی).
• امتیاز ۵۰ تا ۷۰: ریسک متوسط (وجود کدهای پیچیده، تغییرپذیر یا مالکیت رها نشده).
• امتیاز زیر ۵۰ یا علامت خطر قرمز: ریسک بسیار بالا و به احتمال فراوان هانی‌پات.

گام سوم: بخش Swap Analysis و کارمزدهای مخفی

به بخش تحلیل سواپ بروید:

1. عبارت “Token is sellable (not a honeypot at this time)” باید با تیک سبز مشخص شده باشد.
2. کارمزد خرید (Buy Tax) نباید بیش از ۱۰ درصد باشد.
3. کارمزد فروش (Sell Tax) باید کمتر از ۱۰ درصد باشد. هر عددی بالاتر از ۲۰ درصد نشان‌دهنده تله است.

گام چهارم: بررسی مالکیت قرارداد (Contract Ownership)

اگر سازنده مالکیت قرارداد را رها نکرده باشد (Ownership Not Renounced)، او دارای اختیاراتی نظیر مسدودسازی آدرس‌ها، ضرب نامحدود توکن (Mint Function) یا تغییر کارمزد فروش در هر زمان خواهد بود.

---

تجربه میدانی کوروکس (KouroX Field Test)

تیم فنی و امنیت بلاکچین کوروکس در یک آزمایش زنده، ۲۰ توکن جدید را که در کانال‌های پامپ سیگنال معرفی شده و در شبکه‌های BNB Chain و Arbitrum ترند شده بودند، مورد پایش و تست نفوذ قرار داد.

روش‌شناسی آزمایش کوروکس:

• ابزارهای تست: ابزار TokenSniffer، شبیه‌ساز Honeypot.is و تست دستی سواپ با والت فرعی تست‌نت و مین‌نت.
• بودجه هر پوزیشن: معادل ۵ دلار در هر توکن جهت آزمایش عملیات خرید و فروش در لحظه.

[داده‌های ثبت‌شده در آزمایشگاه کوروکس]
تعداد توکن‌های اسکن‌شده: ۲۰ توکن
۱. توکن‌های شناسایی‌شده به‌عنوان هانی‌پات قطعی: ۱۱ مورد (۵۵٪)
   - ۵ مورد: خطای شبیه‌سازی Revert در مرحله فروش
   - ۴ مورد: مالیات فروش بالای ۹۵٪
   - ۲ مورد: محدودیت حجم فروش به ۰.۰۰۰۰۱ توکن
۲. توکن‌های راگ‌پول در کمتر از ۱۲ ساعت: ۵ مورد (۲۵٪)
۳. توکن‌های واقعی با قابلیت معامله عادی: تنها ۴ مورد (۲۰٪)

مشاهدات حیاتی در تست کوروکس:

در جریان این آزمایش میدانی مشخص شد که ۶ توکن از ۱۱ توکن هانی‌پات در ۱۰ دقیقه نخست عرضه، به خریداران اجازه فروش می‌دادند تا نمودار در DexScreener تراکنش‌های سبز و قرمز ثبت کند؛ اما به‌محض عبور ارزش استخر از مرز ۱۰٬۰۰۰ دلار، توسعه‌دهنده با فراخوانی یک تابع خارجی، فروش را مسدود کرد. این یافته اثبات می‌کند که بررسی صرفاً در لحظه خرید کافی نیست و باید وجود توابع تغییرپذیر در کدهای قرارداد به دقت واکاوی شود.

---

نشانه‌های بصری هانی‌پات در چارت پلتفرم DexScreener

پیش از آنکه حتی سراغ ابزارهای تحلیلی بروید، بررسی ظاهری نمودار قیمت در پلتفرم‌هایی نظیر DexScreener یا DEXTools می‌تواند ماهیت پروژه را فاش کند:

۱. نمودار «شمع‌های سبز یکدست» (Only Green Candles):
در یک بازار واقعی و سالم، معامله‌گران در قیمت‌های مختلف سود شناسایی کرده و شمع‌های قرمز فروش ثبت می‌شوند. اگر نموداری را دیدید که به‌صورت خطی و بدون اصلاح، صرفاً شمع‌های صعودی سبز دارد، یقین داشته باشید که هیچ کاربری اجازه فشردن دکمه فروش را نداشته است.

۲. بررسی تب تراکنش‌ها (Transactions List):
لیست تراکنش‌ها را بر اساس نوع فیلتر کنید. اگر در بخش فروش (Sell) هیچ تراکنشی وجود ندارد یا تمام تراکنش‌های فروش تنها توسط یک آدرس یکسان (کیف‌پول سازنده یا بازاریاب) انجام شده است، با یک کلاهبرداری آشکار روبه‌رو هستید.

۳. نسبت حجم معاملات به نقدینگی (Volume / Liquidity Ratio):
اگر حجم معاملات روزانه چندین میلیون دلار گزارش شده اما نقدینگی واقعی موجود در استخر کمتر از چند هزار دلار است، نشان می‌دهد نقدینگی جعلی ایجاد شده و در زمان خروج، امکان دریافت استیبل‌کوین وجود ندارد.

---

پروتکل ۵ مرحله‌ای معامله امن در صرافی‌های غیرمتمرکز

برای آنکه سرمایه شما طعمه کلاهبرداران هانی‌پات نشود، پایبندی به این چک‌لیست الزامی است:

۱. استفاده از والت آزمایشی (Burner Wallet): هرگز با کیف‌پول اصلی حاوی دارایی‌های سنگین به دکس‌ها متصل نشوید. از یک کیف‌پول واسطه با موجودی ناچیز استفاده کنید.
۲. اسکن آدرس در TokenSniffer و Honeypot.is: آدرس کانتراکت را در هر دو سایت وارد کنید. اگر هر یک از آن‌ها به امکان فروش مشکوک بود، فوراً از خرید صرف‌نظر نمایید.
۳. تست با مبلغ بسیار ناچیز: پیش از خرید مبالغ سنگین، معادل ۱ دلار از توکن را بخرید و بلافاصله تلاش کنید تا همان ۱ دلار را به فروش برسانید. اگر سواپ فروش با شکست مواجه شد، توکن هانی‌پات است.
۴. بررسی وضعیت قفل نقدینگی (LP Lock): اطمینان حاصل کنید که حداقل ۸۵ درصد توکن‌های استخر نقدینگی در سرویس‌های امانی معتبر نظیر Unicrypt یا PinkLock برای مدت طولانی (حداقل ۶ ماه) قفل شده‌اند.
۵. عدم مشارکت در سیگنال‌های پامپ تلگرامی: هیچ کانال عمومی یا ناشناسی توکنی با سود قطعی به کاربران معرفی نمی‌کند. اکثر این معرفی‌ها با هدف نقد کردن توکن‌های هانی‌پات توسط خود گردانندگان کانال صورت می‌گیرد.

---

پرسش‌های متداول (FAQ)

آیا کیف‌پول‌های سخت‌افزاری می‌توانند جلوی خرید توکن هانی‌پات را بگیرند؟

خیر. کیف‌پول سخت‌افزاری (نظیر سیف‌پال یا لجر) تنها امنیت کلیدهای خصوصی شما را تضمین می‌کند تا والت هک نشود. هنگامی که شما دستور خرید یک توکن هانی‌پات را صادر می‌کنید، ولت به دستور شما عمل کرده و تراکنش را به شبکه می‌فرستد؛ بنابراین ولت سخت‌افزاری مانع خرید توکن‌های دارای کدهای مخرب نمی‌شود.

خطای Cannot Estimate Gas در هنگام فروش به چه معناست؟

این خطا شایع‌ترین نشانه هانی‌پات است. زمانی رخ می‌دهد که تراکنش فروش در شبیه‌سازی پیش از ارسال، از سوی نودهای شبکه رد (Reject) می‌شود. قرارداد هوشمند توکن اجازه اجرای تابع فروش را نداده و در نتیجه کارمزد گس (Gas Fee) قابل محاسبه نیست.

آیا بالا بردن اسلیپیج (Slippage) می‌تواند مشکل فروش توکن هانی‌پات را حل کند؟

اگر توکن هانی‌پات از نوع مالیات بالا (مثلاً ۹۰٪) باشد، بالا بردن اسلیپیج به بالای ۹۰٪ ممکن است تراکنش را نهایی کند، اما عملاً بیش از ۹۰٪ از سرمایه شما کسر خواهد شد. اگر هانی‌پات از نوع بستن کامل تابع فروش باشد، حتی تنظیم اسلیپیج روی ۴۹٪ نیز هیچ کمکی به انجام تراکنش نخواهد کرد.

اگر یک توکن هانی‌پات در کیف‌پول ما باشد، آیا ممکن است باقی دارایی‌ها به سرقت برود؟

صرف نگهداری یک توکن هانی‌پات در کیف‌پول معمولاً خطری برای سایر دارایی‌ها (مانند اتریوم یا تتر) ایجاد نمی‌کند. خطر زمانی بروز می‌کند که کاربر برای فروش آن به وب‌سایت‌های ناشناس فیشینگ متصل شده و تراکنش دسترسی نامحدود (Approve) را به یک قرارداد درینر (Drainer Contract) امضا کند.

خرید و فروش امن تتر و بیت‌کوین بدون درگیر شدن با اسکم‌های غیرمتمرکز ←

---

جمع‌بندی و نتیجه‌گیری نهایی

بازار امور مالی غیرمتمرکز، فضایی نوآورانه و در عین حال بی‌رحم است. کلاهبرداری هانی‌پات نمادی از سوءاستفاده برنامه‌نویسان مخرب از آزادی عمل شبکه‌های بلاکچینی است. در سال ۲۰۲۶، دیگر نمی‌توان تنها با تکیه بر ظاهر زیبای یک وب‌سایت یا افزایش تصاعدی قیمت در چارت، به پروژه‌ای اعتماد کرد.

مسلح شدن به دانش تحلیل کدهای کانتراکت و استفاده سیستماتیک از ابزارهایی مانند TokenSniffer، Honeypot.is و DexScreener مرز میان یک معامله‌گر حرفه‌ای و یک مالباخته در دنیای دیفای است. هرگز بدون استعلام دقیق آدرس قرارداد، سرمایه دسترنج خود را که با ریال و از درگاه‌های شتاب تهیه کرده‌اید، وارد استخرهای ناشناخته نکنید.