Мошеннический токен выдаёт себя не ценой и не сайтом, а набором функций в контракте, которые оставляют создателю власть над вашим балансом после покупки. Смотреть надо на четыре вещи: возможность выпускать новые монеты, возможность заносить адреса в чёрный список, возможность менять комиссию задним числом и возможность подменить логику через прокси. Наличие любой из них означает, что продажа зависит не от рынка, а от решения владельца контракта.

Почему проверять надо контракт, а не проект

Сайт, дорожная карта, активный чат и красивая команда с фотографиями — всё это собирается за выходные, стоит недорого и не гарантирует ровным счётом ничего. Контракт врать не умеет: он опубликован, и в нём написано ровно то, что произойдёт.

Читать код не нужно. Смотреть надо на набор полномочий, которые владелец оставил себе: именно они определяют, сможете ли вы продать купленное, или это решение будет принимать за вас кто-то другой.

Ловушка — токен, который можно купить, но нельзя продать. Ограничение зашито в контракт: продажа разрешена только создателю или узкому списку адресов, а остальным операция отклоняется либо облагается запретительной комиссией. График при этом растёт. Пока приток новых покупателей сохраняется, проект выглядит успешным, а когда приток заканчивается, организаторы выводят ликвидность.

Четыре полномочия, которые решают всё

Полномочие Что позволяет владельцу Чем грозит держателю
Выпуск новых монет Увеличивать общее количество без ограничений Размывание доли и обвал цены в один момент
Чёрный список адресов Блокировать операции конкретных кошельков Ваш адрес перестаёт продавать по решению владельца
Изменение комиссии Поднимать сбор с продажи после запуска Выход становится невыгодным или невозможным
Прокси-контракт Заменить логику токена в любой момент Честный токен превращается в ловушку задним числом
Приостановка торгов Останавливать все операции разом Выход закрыт на время, выбранное владельцем
Списание с чужого адреса Переводить токены держателей без их подписи Баланс уходит без единого действия с вашей стороны

Про прокси скажу отдельно. Прокси позволяет разработчику изменить логику контракта в любой момент, превратив честный токен в ловушку, а отказ от прав на контракт наоборот означает, что параметры уже никто не поменяет. Первое проверяется до покупки, второе — тоже.

Отказ от прав владельца — сильный сигнал. Администраторские функции после него не доступны никому, включая самих создателей проекта, а параметры контракта зафиксированы навсегда — это одно из немногих обещаний в отрасли, которое проверяется механически. Отсутствие отказа не приговор. Но требует объяснения от команды.

Как проверить, не читая код

Уровней проверки четыре. Каждый следующий занимает больше времени, поэтому начинать стоит с первого и переходить ко второму, только если первый ничего не отсёк.

  1. Верификация: опубликован ли исходный код контракта в обозревателе сети.
  2. Автоматический анализатор: сводка по функциям, комиссиям и правам владельца контракта.
  3. История транзакций: есть ли в ней успешные продажи от обычных адресов.
  4. Комиссии: сколько удерживается при покупке и сколько при продаже.
  5. Распределение балансов: сколько токенов у первых десяти держателей.
  6. Ликвидность: заблокирована ли она и на какой срок.
  7. Возраст контракта и совпадение адреса с тем, что указан на сайте проекта.

Первый пункт отсекает половину. Неверифицированный контракт означает, что вы покупаете чёрный ящик, и никакой анализатор его содержимое не покажет — только сама команда знает, что там внутри.

Третий пункт самый честный. Если у токена есть только транзакции покупки и нет доказательств продажи от обычных кошельков, это серьёзный тревожный сигнал. Проверяется он за минуту. Открываете список операций и ищете хотя бы десяток продаж от разных адресов.

Пороги, за которыми стоит отказаться. Комиссия на продажу выше 10% — почти всегда механизм удержания, а 100% — прямой запрет выхода. Доля первых десяти адресов выше 50% — риск обвала от одной продажи. Незаблокированная ликвидность. Возраст контракта меньше суток при активной рекламе — типичная связка, встречающаяся почти в каждом разобранном случае.

Отдельная категория: токен-двойник

Здесь контракт бывает чистым. Обман при этом есть: мошенники выпускают токен с названием и символом известного проекта, иногда до его официального запуска, и формально в самом контракте придраться не к чему — ограничений там нет, потому что обман устроен на другом уровне.

Расчёт на поиск по названию. Человек ищет монету в интерфейсе обменника, видит знакомое имя, покупает — и получает актив, который с настоящим проектом не связан ничем, кроме совпадения букв в названии. Названия в блокчейне не уникальны, их может занять кто угодно.

Защита одна и она механическая. Адрес контракта берётся с официального сайта проекта или из его официального канала, а не из поиска, не из чата и не из рекламного объявления. Порядок проверки официальности канала разобран в отдельном материале.

Есть и отдельная разновидность. В контракте якобы найдена ошибка, позволяющая забрать лежащие там средства, а для активации нужно отправить небольшую сумму на комиссию — и вам показывают подробную инструкцию, убедительный ролик и «доказательства» из чужих кошельков. Деньги уходят создателю. Никакой уязвимости нет. Если вам объясняют, как заработать на чужой ошибке, ошибка — вы.

Что анализаторы показывают, а что нет

Автоматические сервисы дают быструю сводку: статус верификации, наличие функций выпуска и чёрного списка, размер комиссий, признаки приостановки торгов. Время это экономит. Слепые зоны при этом остаются.

Первая — новизна. Свежие схемы обходят проверки до тех пор, пока кто-нибудь не опишет их публично и не добавит соответствующее правило в сам анализатор. Вторая — контекст: сервис видит функции, но не видит намерений и не знает, кто держит ключи.

Третья слепая зона неочевидна. Анализатор проверяет состояние на момент запроса, а прокси-контракт меняется позже, и вчерашняя зелёная оценка не имеет отношения к сегодняшнему коду.

Отсюда правило. Сводка анализатора отвечает на вопрос «есть ли явные признаки», но не на вопрос «безопасно ли», и второй вопрос закрывается не проверкой, а размером позиции, которую вы готовы потерять целиком. Оценка проекта перед вложением разобрана отдельно.

Подпись как отдельный риск

Покупать токен необязательно. Есть путь короче — подключение кошелька к сайту проекта и подпись разрешения, после которой никакая покупка уже не нужна.

Схема выглядит безобидно. Вам предлагают проверить право на раздачу, подключить кошелёк для «сверки баланса» или получить бонус, а подписываете вы разрешение распоряжаться токенами. Списание происходит позже. Иногда через недели, когда вы уже забыли и про сайт, и про подпись.

Это разные задачи. Разбор настоящих и поддельных раздач есть в отдельном материале, а порядок подключения кошелька к приложению — здесь.

Что выписать перед покупкой незнакомого токена: адрес контракта и источник, откуда он взят, статус верификации, наличие функции выпуска, наличие чёрного списка, комиссию на покупку и на продажу, признак прокси, отказ от прав владельца, долю первых десяти держателей, число продаж от разных адресов за сутки. Десять строк. Заполняются за пять минут и отвечают на единственный важный вопрос: сможете ли вы выйти из позиции без разрешения её создателя.

Частые вопросы

Всегда ли комиссия на продажу означает обман

Нет. Часть проектов использует небольшой сбор осознанно — на ликвидность, на выкуп или на вознаграждение держателям, и заявляет об этом открыто. Проблема начинается там, где комиссия высокая, не описана в документации или может быть изменена владельцем после запуска. Смотреть надо не на сам факт сбора, а на его размер и изменяемость.

Что такое заблокированная ликвидность и зачем она нужна

Это средства в торговой паре, которые создатель не может забрать до истечения заданного срока. Блокировка не делает проект честным, но закрывает самый быстрый сценарий обмана — вывод ликвидности сразу после притока покупателей и обвал цены до нуля за одну транзакцию. Проверять стоит и факт блокировки, и её срок: неделя мало о чём говорит.

Что делать, если контракт не верифицирован

Считать это отказом. Верификация бесплатна и занимает у команды несколько минут, поэтому её отсутствие у проекта, который активно собирает покупателей, объясняется одним: код не должен быть виден. Обещание «верифицируем на следующей неделе» встречается в каждом втором таком случае и почти никогда не выполняется.

Помогает ли аудит контракта

Помогает, если аудит настоящий и относится к тому же адресу. Мошенники прикладывают отчёты по чужим контрактам, ссылаются на несуществующие компании и публикуют документы, которых нет на сайте аудитора. Сверять надо адрес контракта в отчёте с адресом, который вы собираетесь покупать, и наличие самого отчёта у аудитора.

Если токен уже куплен

Порядок здесь обратный обычному: сначала действие, потом анализ. Первое действие — пробная продажа. Не всю позицию, а сумму в один-два доллара: результат этой операции скажет больше, чем любой анализатор и любое обещание команды в чате.

Продажа прошла — ловушки нет. Отклонена или съедена комиссией — вы в ловушке, и дальнейшие вложения в эту позицию бессмысленны. Прошла с потерей половины суммы — комиссия запретительная, и выход обойдётся дороже, чем стоит сама позиция.

Второе действие — отзыв разрешения. Токен вы, скорее всего, уже не спасёте, а вот доступ контракта к остальным активам на том же адресе закрыть стоит немедленно.

Третье — сменить адрес. Если вы подписывали что-то на сайте проекта, адрес считается скомпрометированным, и держать на нём ценные позиции дальше не нужно. Перенос стоит одной комиссии сети.

Коротко

Смотреть надо на полномочия. Выпуск новых монет, чёрный список, изменяемая комиссия, прокси. Четыре функции, и каждая оставляет владельцу власть над вашим выходом из позиции. Плюс два внешних признака. Отсутствие продаж от обычных адресов в истории и высокая концентрация балансов у первых держателей — оба проверяются в обозревателе за пять минут. И помните про подпись: покупать токен, чтобы на нём потерять, необязательно.

Что дальше

Возьмите любой токен из портфеля. Прогоните его по десяти строкам из блока выше: упражнение занимает пять минут и обычно приносит одно-два открытия про активы, которые вы считали давно проверенными.

Следите за адресом контракта, а не за названием: имя в блокчейне может занять кто угодно и когда угодно, а вот адрес подделать невозможно ни при каких условиях.

Разборы схем и практические инструкции выходят в нашем канале: t.me/cryptiumru.