Honeypots und Rug Pulls: Token, die darauf ausgelegt sind, dir dein Geld abzunehmen
Jeder kann einen Token erstellen. Es dauert Minuten, kostet wenig, und niemand prüft, ob die Sache ehrlich ist. Die meisten neuen Token sind schlicht spekulativ. Eine nennenswerte Zahl ist jedoch von der ersten Codezeile an darauf gebaut, den Käufern Geld abzunehmen – und sie sind so gestaltet, dass sie wie Chancen aussehen, bis sie es plötzlich nicht mehr sind.
Die zwei Muster, die man beim Namen kennen sollte, sind der Honeypot („Honigtopf“) und der Rug Pull („den Teppich wegziehen“). Sie funktionieren unterschiedlich und hinterlassen unterschiedliche Warnsignale.
Der Honeypot: Kaufen geht, Verkaufen nicht
Ein Honeypot-Token lässt jeden kaufen und fast niemanden verkaufen. Der Kurschart geht nur nach oben, weil die einzigen möglichen Trades Käufe sind. Käufer sehen, wie der Wert ihres Guthabens wächst, wollen Gewinne mitnehmen und stellen fest, dass ihre Verkaufstransaktion fehlschlägt oder so gut wie nichts einbringt.
Der Trick steckt im Vertragscode des Tokens. Gängige Varianten sind:
- Eine Verkaufs-Sperrliste. Transfers in den Handelspool sind nur für Adressen erlaubt, die der Ersteller freigibt.
- Eine versteckte Verkaufssteuer. Kaufen kostet eine normale Gebühr; Verkaufen kostet 90 oder 100 Prozent, festgelegt über eine Variable, die der Ersteller kontrolliert.
- Ein Transfer-Schalter. Der Eigentümer kann Transfers jederzeit für alle außer sich selbst pausieren.
Von außen sieht ein Honeypot aus wie ein Token mit einem wunderschönen Chart und begeisterten Haltern. Genau das ist der Köder. Ein Chart, in dem scheinbar niemand verkauft, ist keine Stärke – er ist eine Warnung.
Der Rug Pull: Der Boden verschwindet
Ein Rug Pull ist einfacher und älter. Ein Token wird ganz normal gehandelt, mit echten Käufern und Verkäufern, gegen einen Liquiditätspool – meist der Token des Erstellers, gepaart mit etwas Wertvollem wie ETH oder einem Stablecoin. Dann zieht der Ersteller diese Liquidität ab oder wirft eine riesige versteckte Zuteilung hinein, und der Kurs bricht innerhalb eines einzigen Blocks auf nahezu null ein.
Zu den Varianten gehören:
- Liquiditätsabzug. Die wertvolle Seite des Pools wird abgezogen; die Halter bleiben auf Token sitzen, die niemand kaufen kann.
- Minting. Der Vertrag erlaubt dem Eigentümer, nach Belieben neue Token zu erzeugen, die er in den Pool verkauft, bis dieser leer ist.
- Langsamer Rug Pull. Insider verkaufen über Wochen hinweg nach und nach, während sie das Projekt bewerben, sodass kein einzelner Moment wie Diebstahl aussieht.
Rug Pulls brauchen keinen raffinierten Code. Sie brauchen einen Pool, eine Anhängerschaft und einen Moment, in dem genug Geld hereingekommen ist.
Warnsignale, die du prüfen kannst
Keine dieser Prüfungen ist für sich allein ein Beweis, aber zusammen filtern sie die meisten offensichtlichen Fallen heraus:
- Wer kontrolliert den Vertrag? Wenn ein Eigentümer minten, pausieren, Gebühren ändern oder Adressen sperren kann, vertraust du dieser Person vollständig. Verifizierter Quellcode und Upgrade-Rechte zeigen dir, was der Vertrag kann – und wer ihn später ändern darf.
- Ist die Liquidität gesperrt? Liquidität, die der Ersteller jederzeit abziehen kann, ist ein Rug Pull, der nur darauf wartet, zu passieren. Sperren können kurz oder gefälscht sein, also prüfe, wer die Pool-Token hält und bis wann.
- Wer hält das Angebot? Eine Handvoll Wallets, die den Großteil der Token halten, kann den Kurs abstürzen lassen, wann immer sie will.
- Verkaufen Leute tatsächlich? Sieh dir die jüngsten Trades in einem Block-Explorer an. Nur Käufe – das ist die Handschrift eines Honeypots.
- Wie dünn ist der Pool? Kleine Pools bedeuten großen Preiseinfluss und Slippage – und eine sehr hohe Slippage-Einstellung, die eine Website vorschlägt, soll oft eine versteckte Steuer durchlassen.
- Woher hast du davon gehört? Token, die über unaufgeforderte Nachrichten, plötzlichen Hype oder „garantierte“ Renditen beworben werden, verdienen das größte Misstrauen.
Token, die du nicht gekauft hast
Manchmal kommt ein Betrugstoken von ganz allein. Er taucht an deiner Adresse auf, oft mit einem Wert, der beachtlich wirkt, und mit einem Namen oder einer Nachricht, die dich auf eine Website lenkt. Das ist dasselbe Drehbuch wie bei einem gefälschten Airdrop-Claim: Der Token selbst kann dir nicht schaden, aber wer versucht, ihn über die verlinkte Seite zu verkaufen, muss seine Wallet verbinden und signieren, was auch immer diese Seite ihm vorlegt.
Die sicherste Reaktion auf einen Token, den du nicht erwartet hast, ist, ihn in Ruhe zu lassen. Versuche nicht, ihn zu verkaufen, besuche nicht die Seite in seinem Namen und genehmige nichts, um ihn „freizuschalten“.
Was SSP tut – und was nicht
Die Token-Ansicht von SSP besteht nicht aus jedem Token, der zufällig an deiner Adresse landet. Sie zeigt die Token aus der integrierten Liste sowie alle, die du bewusst per Vertragsadresse importierst. So bleibt unerwünschter Spam aus deiner Guthabenübersicht heraus, statt dich zur Interaktion damit einzuladen.
Was SSP nicht kann, ist beurteilen, ob ein Token ehrlich ist. Beim Importieren eines Tokens werden Name, Symbol und Dezimalstellen aus dem Vertrag gelesen – und ein Betrugstoken kann jeden beliebigen Namen tragen, auch den eines echten. Und weil SSP deine Schlüssel in einer 2-von-2-Multisig verwahrt, schützt es davor, dass jemand sie stiehlt; es kann dich nicht vor einem Trade schützen, den du selbst machen willst. Einen Honeypot mit beiden Schlüsseln zu kaufen, bleibt der Kauf eines Honeypots.
Die ehrliche Zusammenfassung
Ein Token ist nur so ehrlich wie sein Code und die Menschen, die ihn kontrollieren. Honeypots halten Käufer fest, indem sie Verkäufe blockieren; Rug Pulls ziehen allen gleichzeitig den Wert unter den Füßen weg. Beide leben davon, dass die Begeisterung schneller ist als die Prüfung.
Prüfe, wer den Vertrag kontrolliert, wo die Liquidität liegt, wer das Angebot hält und ob überhaupt jemand verkauft. Und wenn ein Token auftaucht, um den du nie gebeten hast, ist der richtige Schritt fast immer, gar nichts zu tun.
