تشخیص اسکم توکن: بررسی قرارداد هوشمند، نقدینگی و هولدرها
درس ۵ از ۸ · متوسط
قرارداد، قانون واقعی توکن است
وب‌سایت، وایت‌پیپر و پست‌های شبکه‌های اجتماعی می‌توانند هر چیزی بگویند، اما رفتار واقعی یک توکن را قرارداد هوشمند آن تعیین می‌کند. اگر قرارداد به سازنده اجازه دهد توکن جدید بسازد، فروش شما را ببندد یا نقدینگی را بیرون بکشد، هیچ وعده‌ای جلوی این کار را نمی‌گیرد.
خبر خوب این است که بیشتر این بررسی‌ها عمومی و رایگان‌اند. با یک اکسپلورر (مثل اکسپلورر شبکه‌ای که توکن روی آن ساخته شده) و چند دقیقه وقت، می‌توانید مهم‌ترین نشانه‌های خطر را ببینید. این درس پنج بررسی اصلی را مرور می‌کند. هیچ‌کدام به‌تنهایی حکم قطعی نمی‌دهد، اما ترکیب آن‌ها تصویر روشنی می‌سازد.
مجوزهای خطرناک: Mint، Freeze و قرارداد قابل ارتقا
- مجوز ساخت توکن (Mint Authority): اگر کسی هنوز اجازه‌ی ساخت توکن جدید دارد، می‌تواند هر لحظه عرضه را چند برابر کند و در بازار بفروشد. در شبکه‌ی سولانا، اطلاعات حساب توکن مستقیماً نشان می‌دهد Mint Authority فعال است یا غیرفعال شده. در شبکه‌های سازگار با اتریوم باید توابع قرارداد را نگاه کنید.
- مجوز مسدودسازی (Freeze Authority یا Blacklist): اجازه می‌دهد موجودی یک آدرس قفل شود. این قابلیت همیشه نشانه‌ی کلاهبرداری نیست؛ استیبل‌کوین‌های متمرکز مثل USDT هم تابع مسدودسازی دارند که در اختیار صادرکننده است. اما در یک توکن تازه و ناشناس، یعنی سازنده می‌تواند فروش شما را عملاً ببندد.
- قرارداد قابل ارتقا (Upgradeable Proxy): کد پشت قرارداد می‌تواند بعداً عوض شود. پس آن‌چه امروز بررسی کرده‌اید، ممکن است فردا اعتبار نداشته باشد. سؤال این است که ارتقا در اختیار یک کیف‌پول است یا یک مولتی‌سیگ با تأخیر زمانی (Timelock).
- کنار گذاشتن مالکیت (Renounce): اگر مالک قرارداد کنار گذاشته شده باشد، توابع مدیریتی دیگر قابل استفاده نیستند. اما مطمئن شوید مالکیت از طریق یک قرارداد دیگر یا نقش جداگانه برنگشته است.
هانی‌پات و مالیات فروش
هانی‌پات (Honeypot) توکنی است که خرید آن آزاد است اما فروشش عملاً ممکن نیست. این کار با چند ترفند انجام می‌شود:
- مالیات فروش بسیار بالا: قرارداد هنگام فروش درصد زیادی از توکن را کسر می‌کند. بدتر از آن وقتی است که مالک بتواند نرخ مالیات را بعداً تغییر دهد؛ امروز ۵ درصد و فردا ۹۹ درصد.
- لیست سفید فروش: فقط آدرس‌های خاص اجازه‌ی فروش دارند.
- سقف تراکنش یا کیف‌پول: محدودیت‌هایی که اسمشان «ضد نهنگ» است اما می‌توانند فروش را مسدود کنند.
- مکث تراکنش‌ها: تابعی که انتقال را برای همه به‌جز مالک متوقف می‌کند.
ابزارهای آنلاین بررسی هانی‌پات، خرید و فروش را شبیه‌سازی می‌کنند و مفیدند، اما محدودیت دارند: اگر مالیات یا لیست سیاه قابل تغییر باشد، نتیجه‌ی امروز تضمینی برای فردا نیست. همیشه دنبال توانایی تغییر بگردید، نه فقط وضعیت فعلی.
نقدینگی: LP قفل است یا دست سازنده؟
وقتی توکنی در صرافی غیرمتمرکز راه‌اندازی می‌شود، سازنده توکن و یک دارایی دیگر را در یک استخر نقدینگی می‌گذارد و در عوض توکن LP میگیرد. هر کس توکن LP را داشته باشد، می‌تواند نقدینگی را بیرون بکشد. کلاسیک‌ترین راگپول همین است: سازنده نقدینگی را خارج می‌کند و خریداران با توکنی می‌مانند که خریداری برایش وجود ندارد.
سه حالت را از هم تشخیص دهید:
- LP دست کیف‌پول سازنده: بالاترین ریسک.
- LP قفل‌شده: در یک قرارداد قفل برای مدت مشخص. مدت قفل، تاریخ پایان و مالک قفل را بررسی کنید؛ قفل چندروزه تقریباً بی‌معناست.
- LP سوزانده‌شده: به آدرس سوزاندن فرستاده شده و قابل برداشت نیست.
حتی با LP قفل‌شده، اگر بخش بزرگی از عرضه در دست چند کیف‌پول باشد، آن‌ها می‌توانند با فروش توکن، استخر را خالی کنند. قفل LP فقط یک نوع راگپول را می‌بندد.
تمرکز هولدرها و کد تأییدشده
تمرکز هولدرها: در بخش Holders اکسپلورر، ده یا بیست کیف‌پول بزرگ را ببینید. قبل از نتیجه‌گیری، آدرس‌هایی را که متعلق به استخر نقدینگی، قرارداد قفل، آدرس سوزاندن یا صرافی هستند کنار بگذارید. اگر بعد از این کار هنوز درصد بزرگی در چند کیف‌پول عادی مانده، ریسک فروش هماهنگ بالاست. به این هم دقت کنید که چند کیف‌پول ظاهراً جدا، از یک منبع پول گرفته باشند؛ این الگو معمولاً یعنی یک نفر پشت همه است.
مثال فرضی: فهرست هولدرها نشان می‌دهد ده کیف‌پول بزرگ ۶۵ درصد عرضه را دارند. بعد از بررسی معلوم می‌شود ۲۵ درصد در استخر نقدینگی و ۱۰ درصد در قرارداد قفل تیم است. پس ۳۰ درصد در هشت کیف‌پول عادی باقی می‌ماند. اگر این هشت کیف‌پول همه در یک روز از یک آدرس پول گرفته باشند، در عمل یک نفر یا یک گروه حدود یک‌سوم عرضه را کنترل می‌کند و می‌تواند استخر را تخلیه کند.
کد تأییدشده (Verified Source): در اکسپلورر، قراردادی که کدش تأیید شده، متن قابل خواندن دارد و می‌توانید توابعش را ببینید. قرارداد تأییدنشده یعنی دارید جعبه‌ی سیاه می‌خرید. اما تأیید کد فقط یعنی کد منتشرشده با کد اجراشده یکی است؛ امن بودن آن را نشان نمی‌دهد. گزارش ممیزی امنیتی را هم از سایت خود شرکت ممیزی تأیید کنید.
اشتباه‌های رایج
- اعتماد به نتیجه‌ی یک ابزار بررسی هانی‌پات، بدون دیدن این‌که مالیات یا لیست سیاه قابل تغییر است.
- کافی دانستن قفل LP، در حالی که چند کیف‌پول بخش بزرگی از عرضه را دارند.
- شمردن استخر نقدینگی یا قرارداد قفل در فهرست هولدرهای بزرگ و نتیجه‌گیری غلط درباره‌ی تمرکز.
- یکی دانستن «کد تأییدشده» با «کد امن».
- نادیده گرفتن قابلیت ارتقای قرارداد که می‌تواند همه‌ی بررسی‌های امروز را بی‌اعتبار کند.
حجم و داده اینجا چه می‌گوید؟
این درس بیشتر امنیتی است، پس «داده» یعنی راستی‌آزمایی روی زنجیره با چشم خودتان:
- زبانه‌ی قرارداد در اکسپلورر: تأییدشده بودن کد، توابع نوشتنی (Write) که فقط مالک می‌تواند صدا بزند، و آدرس مالک فعلی را ببینید.
- زبانه‌ی هولدرها: درصد کیفپولهای بزرگ را بعد از کنار گذاشتن استخر، قفل و آدرس سوزاندن حساب کنید.
- تراکنش‌های استخر: نسبت تعداد خریدها به فروش‌ها را ببینید. اگر صدها خرید ثبت شده اما تقریباً هیچ فروشی وجود ندارد، این یکی از قوی‌ترین نشانه‌های هانی‌پات است.
- اولین خریداران: اگر چندین کیف‌پول در همان بلوک راه‌اندازی خرید کرده‌اند و از یک منبع پول گرفته‌اند، احتمالاً سازنده عرضه را پیشاپیش بین کیفپولهای خودش پخش کرده است.
- حجم استخر: نقدینگی استخر را با مارکت‌کپ مقایسه کنید. نقدینگی کم یعنی حتی فروش‌های کوچک قیمت را به‌شدت جابه‌جا می‌کند.
پرسش‌های پرتکرار
تشخیص اسکم توکن از کجا شروع می‌شود؟
از قرارداد: بررسی Mint و Freeze، قابلیت ارتقا، مالیات قابل تغییر، وضعیت توکن LP و تمرکز هولدرها در اکسپلورر. هیچ بررسی‌ای به‌تنهایی کافی نیست، اما ترکیب آن‌ها بیشتر خطرها را نشان می‌دهد.
توکن هانی‌پات چیست؟
توکنی که خرید آن ممکن است اما فروشش با مالیات بسیار بالا، لیست سفید، مکث تراکنش یا ترفندهای مشابه عملاً بسته شده است.
اگر LP قفل باشد، دیگر راگپول ممکن نیست؟
نه. قفل LP فقط جلوی برداشت مستقیم نقدینگی را میگیرد. اگر کیفپولهای بزرگ عرضهی زیادی داشته باشند یا قرارداد قابل ارتقا باشد، هنوز راههای دیگری برای خالی کردن استخر وجود دارد.
این درس آموزشی است و توصیه‌ی خرید یا فروش نیست؛ ما سیگنال نمی‌دهیم. مثال‌های قیمتی فقط برای توضیح‌اند. هر روشی را اول روی حساب دمو و با مدیریت ریسک امتحان کنید.