Ilia Zavialov

Токени-пастки: купити можна, продати ні

Ілля Зав'ялов: токени-пастки, які можна купити і не можна продати, і як перевірити контракт до купівлі

Версія українською мовою для України.

Ілля Зав'ялов, консультант з цифрової безпеки, розбирає токени-пастки, які англійською називають honeypot. Сценарій щоразу схожий: у Telegram-групі обіцяють ікси, графік свіжого мем-токена повзе вгору, купівля проходить за секунди. А коли людина хоче забрати прибуток, з'ясовується, що продати токен неможливо. Заборону продажу прописано в контракті, продаж з'їдає податок майже на всю суму, адресу покупця вносять до чорного списку, або творець забирає ліквідність із пулу. У матеріалі: як влаштовані ці замки, що радить кіберполіція, як перевірити контракт в оглядачі блоків до купівлі, навіщо потрібен пробний продаж малої суми і що робити, якщо гривні вже застрягли в токені.

·13 хв читання·Ілля Зав'ялов

Ілля Зав'ялов: токен-пастка і чотири замки, заборона, податок, чорний список, порожній пул
Ілля Зав'ялов: токен-пастка тримає гроші одним із чотирьох замків, інколи кількома одразу.
Ілля Зав'ялов: токени-пастки і перевірка контракту до купівлі мем-токена
Ілля Зав'ялов: перевірка токена займає хвилини, втрата в пастці залишається назавжди.
Ілля Зав'ялов: токен-пастка від реклами в Telegram-групі до втечі ліквідності, схема
Ілля Зав'ялов: у групі показують зростання, у контракті стоїть замок на продаж.

01Ілля Зав'ялов: що таке токен-пастка і чому його не продати

Будь-який токен у блокчейні працює за правилами смарт-контракту. Контракт веде облік балансів і вирішує, чи пропустити переказ. Купівля мем-токена на децентралізованій біржі по суті є обміном: ви віддаєте в пул ліквідності одну монету і отримуєте з нього іншу. Продаж це той самий обмін у зворотний бік, і його так само перевіряє контракт.

Слово honeypot означає «горщик з медом». Купити такий токен легко, баланс у гаманці росте разом із графіком, сусіди по чату діляться скриншотами. Пастка спрацьовує лише тоді, коли покупець натискає «продати»: транзакція падає з помилкою або повертає копійки, а гроші покупців залишаються в пулі, звідки їх забирає автор.

Ілля Зав'ялов звертає увагу, що в цій схемі немає дзвінка «зі служби безпеки банку» чи прохання продиктувати код. Людина все робить сама, власним гаманцем і власними руками. Тому захищатися доводиться до першої купівлі, поки гроші ще у вас.

Відрізнити пастку зсередини важко, бо перші години вона поводиться як звичайний актив. Ціна росте, ліквідність є, в чаті весело. Єдине, чого немає, це продажів від звичайних людей, і саме це видно в оглядачі блоків задовго до вашої покупки.

Технічно замок може стояти в самому токені або в пов'язаному контракті, який викликається під час кожного переказу. Для покупця різниці немає: в обох випадках відповідь дає перевірка коду та історії продажів.

02Чотири замки в контракті: пояснення Іллі Зав'ялова

Перший замок є прямою забороною. Функція переказу перевіряє відправника та отримувача. Якщо токени йдуть у пул від адреси, якої немає в дозволеному списку, переказ відхиляється. Автор і його гаманці в списку є, тож продавати можуть лише вони, а покупець ще й втрачає комісію мережі за невдалу спробу.

Другий замок маскується під податок. Невеликий збір з кожної угоди мають багато токенів, і сам по собі він нічого не означає. У пастці ставку на продаж змінює власник: поки йдуть купівлі, вона майже нульова, а коли пул наповнився, її піднімають так, що продаж повертає жменю дрібниць.

Третій замок це чорний список. У контракті є функція блокування адрес, і власник вносить туди гаманці покупців. Токени на таких адресах завмирають. Буває, що блокують усіх ранніх покупців одразу, буває, що лише тих, хто почав писати в групі про проблему з продажем.

Четвертий замок не потребує хитрого коду. Творець пулу забирає свою частку ліквідності, і токен більше нема на що міняти. Ілля Зав'ялов попереджає, що в одному токені часто стоять кілька замків одночасно, тому зняте одне підозріння ще нічого не доводить.

Короткий ролик нижче за шість сцен показує те саме: зростання в групі, замки в коді, втечу ліквідності, перевірку контракту і головну пораду. Порада проста: жодної гривні в новий токен, доки не перевірено код, права власника, блокування пулу і пробний продаж.

Ілля Зав'ялов: перевірка контракту токена до купівлі, код, права власника, пул, ілюстрація
Ілля Зав'ялов: контракт перевіряють до першої гривні, після купівлі вже пізно.
Ілля Зав'ялов: звичайний токен і токен-пастка, порівняння за кодом, правами власника і пулом
Ілля Зав'ялов: звичайний токен продають усі тримачі, пастку продає лише автор.
Ілля Зав'ялов: чотири замки токена-пастки і як їх знайти до купівлі
ЗамокЩо робитьЯк знайти
Заборона в кодіПродаж дозволено лише адресам автораУмови у функції переказу
Податок на продажСтавку піднімають після наповнення пулуФункція зміни податку
Чорний списокТокени покупців завмираютьФункція блокування адрес
Порожній пулТворець забирає ліквідністьТокени пулу в гаманці творця
Відкладений замокПерші продажі проходять, далі стопПрава власника не зняті
Ілля Зав'ялов: п'ять перевірок токена до купівлі, від коду до пробного продажу
Ілля Зав'ялов: одна провалена перевірка означає, що токен не купують.
Ілля Зав'ялов: токени-пастки, купити можна, продати ні, перевірка за 30 секунд

03Ілля Зав'ялов про розгін мем-токенів у Telegram

Пастки рідко продаються тихо. Їх розганяють у групах і каналах, де ведуть зворотний відлік до «запуску», адресу контракту викладають в останню мить, а далі публікують скриншоти прибутку. У покупця не лишається часу відкрити оглядач блоків, і це головна мета такої поспішності.

Кіберполіція радить не довіряти надто привабливим пропозиціям зі словами «інсайди», «airdrops», «гарантований прибуток», «подвоєння крипти на рахунку» або «приватний продаж токена». Майже всі вони звучать у групах, де розганяють мем-токени.

Ілля Зав'ялов додає кілька ознак, які вказують саме на пастку. Повідомлення з питанням «чому не продається» видаляють. Автора такого питання банять за «паніку». Модератори закликають «тримати й не продавати». У закріплених повідомленнях є посилання на «перевірку токена», але немає жодного хешу продажу від звичайного учасника.

Окремо дивіться, хто вас запросив. Схему часто приносить новий знайомий із соцмережі чи ігрового чату, який «уже заробив» і ділиться посиланням по дружбі. Кіберполіція прямо радить не інвестувати в криптоактиви через посередників у месенджерах і соцмережах і не переходити за посиланнями від невідомих людей.

Якщо група пропонує купити токен через «оператора», який приймає гривні на картку і обіцяє зарахувати монети пізніше, перевіряти контракт уже немає сенсу. Ви переказуєте гроші приватній особі, і повернути їх буде так само важко, як продати пастку.

04Ознаки rug pull, які називає кіберполіція

Кіберполіція 8 січня 2026 року описала схему rug pull. Аферисти створюють новий криптопроєкт або токен із гучним піаром і фальшивими відгуками, а коли користувачі купують токен, «розробники» раптово видаляють ліквідність, сайт та акаунти. За оцінкою відомства, схема розрахована переважно на початківців.

Ознаки відомство назвало конкретно: немає перевіреної команди, технічної документації чи дорожньої карти; є гарантії швидкого збагачення; після запуску ціна різко зростає і раптово падає до нуля; токени зберігаються переважно в гаманцях розробників. Кожен пункт можна перевірити до купівлі.

Для перевірки сайту кіберполіція радить сервіс WHOIS: він покаже, коли зареєстровано домен. Проєкт, що називає себе «командою з багаторічним досвідом», а сайт завів минулого тижня, сам відповів на питання про досвід.

Ілля Зав'ялов додає, що пастка і rug pull часто працюють у парі. Поки діє заборона продажу, пул наповнюється грошима покупців, а потім творець забирає ліквідність. Перший замок тримає людей усередині, другий виносить гроші назовні.

Ілля Зав'ялов радить додати до цього переліку питання про те, де обговорюють проєкт. Якщо все життя токена проходить в одній групі із закритими коментарями, а на незалежних майданчиках про нього тиша, рекламний шум створюють самі організатори.

Ілля Зав'ялов і ознаки rug pull за кіберполіцією
ОзнакаДе перевіритиВисновок
Немає перевіреної командиСайт і соцмережі, WHOISАнонімний проєкт
Немає документації і дорожньої картиСайт проєктуНема що перевіряти
Гарантія швидкого збагаченняРеклама і групаОзнака шахрайства
Різке зростання після запускуГрафік та історія угодРозгін
Токени в гаманцях розробниківВкладка тримачівЦіну обвалять однією угодою

05Ілля Зав'ялов: перевірка контракту в оглядачі блоків

Кіберполіція радить перед купівлею будь-якого токена перевірити, чи верифікований його контракт, чи є аудит коду і чи не позначений токен як ризиковий. Оглядач блоків це сайт, який показує все, що відбувається з контрактом: код, власника, тримачів, історію переказів.

Верифікований контракт означає, що вихідний код опубліковано і він збігається з тим, що працює в мережі. Ілля Зав'ялов читає в ньому функцію переказу: чи є умови, які розрізняють купівлю та продаж, білі списки адрес, ставки податку, які можна змінювати. Якщо коду немає, правила токена відомі лише автору.

Далі історія переказів. Звичайний токен продають десятки різних людей, і це видно за угодами в пул. У пастки продажі йдуть лише з кількох адрес, пов'язаних із творцем, а всі інші тільки купують. Така картина зрозуміла навіть без знання коду.

Наостанок вкладка тримачів. Якщо основна частина випуску лежить у гаманцях розробників, ціну можна обвалити однією угодою, і кіберполіція недарма називає це ознакою rug pull. Зверніть увагу й на попередження в самому гаманці: багато гаманців позначають підозрілі токени, і ігнорувати таку позначку заради «раннього входу» не варто.

Оглядачі блоків у різних мережах різні, логіка ж однакова. Ілля Зав'ялов радить відкривати контракт за адресою, перевіреною в самому оглядачі. У пастках трапляється кілька токенів з однаковою назвою, і посилання з групи може вести на будь-який із них.

06Права власника контракту і що з ними не так

Адреса власника може те, чого не може звичайний тримач. Перелік функцій контракту відкритий в оглядачі, і за назвами багато видно ще до читання коду. Небезпечні права: змінювати податок, додавати адреси до блокування, зупиняти торгівлю, обмежувати розмір продажу, випускати нові токени.

Кожна така функція в руках анонімного власника означає, що правила можуть змінити після вашої купівлі. Сьогодні податку немає, завтра він майже повний. Сьогодні ліміт угоди широкий, завтра продати можна лише дрібку.

Словам про «відмову від володіння» Ілля Зав'ялов радить не вірити і шукати транзакцію, у якій власник передав права нульовій адресі. Навіть вона нічого не гарантує, якщо контракт оновлюваний і його логіку можна підмінити, або якщо права заздалегідь розподілили по інших адресах.

Ще одна перевірка без коду: порівняти адресу творця контракту, адресу творця пулу і найбільших тримачів. Якщо всюди той самий гаманець, долю токена вирішує одна людина, хоч би як гучно проєкт називав себе спільнотою.

Варто глянути й на дату створення контракту. Токен, якому кілька годин, ще не показав, як поводиться власник, і обіцянки про «надійну команду» перевірити просто нічим.

07Ліквідність і пробний продаж: порада Іллі Зав'ялова

Пул ліквідності підтверджується окремими токенами пулу. Поки вони в гаманці творця, він може вивести гроші покупців будь-якої миті. Якщо їх передано в контракт блокування із зрозумілим строком або спалено, такий вихід неможливий до кінця строку.

Перевірити це можна в тій самій історії переказів: куди пішли токени пулу, яку частку заблоковано і до якої дати. Скриншот «сертифіката блокування» з групи нічого не доводить, якщо запису не видно в мережі.

Фінальний крок Ілля Зав'ялов називає пробним продажем. Купіть на мінімальну суму, яку не шкода втратити, і одразу продайте частину. Помилка, величезний податок чи ціна, що помітно нижча за показану, дадуть відповідь, поки на кону кілька сотень гривень.

Пробний продаж не є гарантією. Пастки бувають з відкладеним замком: перші продажі проходять, а за кілька годин власник вмикає податок чи блокування. Тому тест має сенс лише після перевірки прав власника і пулу.

Для тесту беріть той самий гаманець і той самий майданчик, якими плануєте користуватися далі. Так ви перевіряєте саме свій шлях виходу з токена, а записи знадобляться, якщо доведеться писати заяву.

08Ілля Зав'ялов: звичайне падіння ціни чи пастка

Не кожен обвал мем-токена означає пастку. Ціна падає і тоді, коли ажіотаж минув і тримачі продають одночасно. У такому разі продати можна, хай і дешевше, а в оглядачі видно продажі від багатьох різних адрес.

Пастку видає асиметрія. Купівлі проходять, а продажі звичайних адрес або відхиляються з помилкою, або виконуються з податком, що з'їдає майже все. Графік при цьому навіть може рости, бо продавати в ньому фактично нікому.

Ілля Зав'ялов радить дивитися на співвідношення купівель і продажів у перші години торгів. Живий ринок строкатий: хтось фіксує прибуток, хтось докуповує, хтось виходить у збиток. Рівна зелена драбина з самих купівель частіше свідчить про замок, ніж про успіх проєкту.

Буває й проміжний випадок: продаж проходить, але ціна виконання значно гірша за показану на графіку. Так поводиться пул із дуже малою ліквідністю. Формально це ще не пастка, та для покупця наслідок схожий, тому перевірка пулу потрібна в обох випадках.

09НКЦПФР, НБУ і кіберполіція: що кажуть регулятори

Національна комісія з цінних паперів та фондового ринку 8 липня 2026 року внесла до переліку сумнівних ще два проєкти, один з яких продавав токени з гарантованою високою дохідністю. Ознаки комісія назвала знайомі: обіцянка високого доходу, тиск, закриті клуби, переказ у криптовалюті або на картку фізособи. І наголосила, що відсутність проєкту в переліку не означає його надійності.

У квітні 2026 року в переліку сумнівних ініціатив НКЦПФР було 466 об'єктів. Про підозрілу платформу можна повідомити на info@nssmc.gov.ua, гаряча лінія комісії (044) 280-28-26 працює в будні з 10:00 до 16:00 з перервою з 13:00 до 14:00.

Національний банк повідомив, що у 2025 році збитки від шахрайства з платіжними картками зросли на 24 відсотки, до 1,4 мільярда гривень. Дев'яносто відсотків суми дала соціальна інженерія, а серед поширених сценаріїв НБУ назвав повідомлення в месенджерах про додатковий заробіток. Мем-токен у групі продають саме так: спершу обіцянка легкого заробітку, потім переказ.

Кіберполіція у звіті за 2025 рік повідомила про 63,4 тисячі звернень громадян, з них 57,4 тисячі надійшли через форму на сайті, а за справами відомства відшкодовано понад 342,6 мільйона гривень. Ілля Зав'ялов радить сприймати ці цифри як аргумент на користь заяви: точні адреси й хеші допомагають пов'язати переказ із конкретними гаманцями.

Окремо НКЦПФР звертає увагу на проєкти без адреси в Україні, які активно рекламуються для українців. Сайти мем-токенів майже завжди саме такі: яскрава сторінка, посилання на групи і жодної юридичної особи.

Ілля Зав'ялов: куди звертатися в Україні після купівлі токена-пастки
КудиЯкЩо додати
КіберполіціяФорма на сайті, довідки 0800 50 51 70Адреса контракту, хеші, скриншоти
НКЦПФРinfo@nssmc.gov.ua, (044) 280-28-26Назва і сайт платформи
БанкСлужба підтримкиЯкщо гривні пішли на картку посередника
Біржа чи обмінникПідтримка майданчикаХеші та адреси отримувача

10Питання до групи перед купівлею

Перед купівлею варто поставити групі кілька питань і чекати відповіді посиланням на запис у мережі, без скриншотів. Хто власник контракту і чи відмовився він від прав. Де заблоковано ліквідність і до якого строку. Скільки токенів у команди і на яких адресах вони лежать.

Ще два питання стосуються продажів. Чи може хтось показати хеш продажу від звичайного учасника за останню добу. Яка ставка податку на продаж і чи має власник право її змінити.

Чесний проєкт відповість за хвилину, бо відповіді й так лежать в оглядачі блоків. Пастка відповість образою, смайликом або баном. Якщо ж коментарі закриті і писати можуть лише адміністратори, вам пропонують повірити на слово людям, які не готові показати навіть адресу власника.

Корисна звичка: записувати відповіді разом із датою. Якщо згодом проєкт змінить назву чи сайт, ці записи стануть частиною заяви і покажуть, що саме вам обіцяли.

11Ілля Зав'ялов: токен уже не продається, що робити

Не намагайтеся «відбитися» докупівлею і нікому не платіть за розблокування продажу. У гаманці відкличте дозволи, які отримали контракт токена і сайт проєкту, а решту монет переведіть на нову адресу.

Збережіть докази: адресу контракту, хеші купівель, адреси творця і пулу, посилання на групу, скриншоти обіцянок. Групи таких проєктів зникають швидко, тож краще зробити це в першу ж годину.

Подайте заяву до кіберполіції через форму на сайті відомства. Довідки щодо електронних звернень дають за номером 0800 50 51 70 з понеділка по четвер з 9:00 до 18:00, у п'ятницю до 17:00. Якщо гривні пішли на картку посередника, одразу повідомте банк про шахрайський переказ.

Ілля Зав'ялов попереджає про друге коло: після втрати з'являються «агенції з повернення криптовалюти», які просять передоплату. Такі повідомлення варто додати до заяви і нічого не оплачувати.

Якщо криптовалюту для купівлі ви брали на біржі чи в обміннику, напишіть і туди, вказавши адресу контракту та гаманці творця. Гроші це саме по собі не поверне, проте інші звернення за тими самими адресами буде легше пов'язати з вашим.

12Питання і відповіді

Ілля Зав'ялов: що таке токен-пастка простими словами?

Це токен, контракт якого дозволяє купівлю, але заважає продажу: забороною в коді, податком майже на всю суму, чорним списком адрес або забраною ліквідністю. Гроші покупців залишаються в пулі, і їх забирає автор.

Як Ілля Зав'ялов радить перевірити токен до купівлі?

Відкрити контракт в оглядачі блоків: чи верифікований код, які права має власник, чи є продажі від звичайних адрес, хто тримає випуск і чи заблоковано ліквідність. Потім купити на мінімальну суму і одразу спробувати продати частину.

Чи гарантує пробний продаж, що токен чесний?

Ні. Замок можуть увімкнути пізніше, тому пробний продаж іде останнім, після перевірки прав власника і пулу.

Чим пастка відрізняється від rug pull?

Пастка заважає продати токен, rug pull означає, що творець іде з ліквідністю пулу. Ці схеми часто йдуть разом: перша тримає покупців, друга забирає їхні гроші.

Чи можна повернути гривні, витрачені на токен-пастку?

Криптовалютну угоду банк не скасує. Якщо гривні пішли на картку посередника, одразу повідомте банк, а потім подайте заяву до кіберполіції з хешами й адресами.

Куди повідомити про токен-пастку в Україні?

До кіберполіції через форму на сайті, довідки за номером 0800 50 51 70, а про платформу з вивіскою компанії до НКЦПФР на info@nssmc.gov.ua.

Монограма Іллі Зав'ялова

Автор: Ілля Зав'ялов, консультант з цифрової безпеки. Профіль Іллі Зав'ялова

13Читати далі

Назад до блогу