Ein Honeypot ist ein Token, den du kaufen kannst, aber nicht wieder loswirst. Der Chart sieht traumhaft aus, weil niemand Gewinne mitnehmen kann. Irgendwann zieht der Contract-Besitzer die Liquidität ab, und der Chart ist egal.
Das ist kein Randphänomen. Solidus Labs beziffert die Zahl der allein 2022 aufgesetzten Scam-Token auf 117.629 (Balkendiagramm „Scam tokens deployed per year“ auf Seite 4 des Berichts). Im gesamten Datensatz der Firma, über 200.000 Scam-Token von September 2020 bis zum 1. Dezember 2022, waren 98.442 Honeypots, laut Solidus „mit Abstand die beliebteste Rug-Pull-Variante“ (Solidus Labs, 2022 Rug Pull Report, PDF, englisch). Die gute Nachricht: Ein Honeypot steckt im Contract-Code, und der Code ist öffentlich. Du kannst ihn prüfen, bevor auch nur ein Cent unterwegs ist.
Was im Contract passiert
Jeder ERC-20- oder BEP-20-Token hat eine transfer-Funktion. Normalerweise schiebt sie Token von A nach B. Ein Honeypot baut eine Bedingung ein: Der Transfer klappt, wenn der Absender auf einer Freigabeliste steht (der Deployer, die Marketing-Wallet, ein paar Bekannte). Für alle anderen schlägt er stillschweigend fehl oder wird bis auf null besteuert.
Von außen wirkt alles normal. Der Token handelt auf einer DEX, der Kurs steigt, die Telegram-Gruppe dreht durch. Merken tun es nur die, die verkaufen wollen. Und die haben da schon gezahlt.
Manche Honeypots sind plump: Verkäufe brechen mit einer kryptischen Fehlermeldung ab. Andere sind feiner. Eine Sell-Tax von 99 %, ein maximaler Verkaufsbetrag von 0,0001 Token oder ein „Cooldown“, der nie endet. Gleiches Ergebnis, anderes Etikett.
Fünf Signale, die einen Honeypot verraten
Du musst kein Solidity lesen. Security-Scanner wie GoPlus simulieren einen Trade gegen den Contract und lesen die Berechtigungen aus. Fünf Signale tragen den Großteil der Aussage.
1. Sell-Tax passt nicht zur Buy-Tax
Ein Token mit 0 % auf Käufe und 40 % auf Verkäufe „belohnt“ keine langfristigen Halter. Er ist ein Honeypot in Zeitlupe. Alles über 10 % in eine der beiden Richtungen verdient einen genauen Blick. Eine Sell-Tax, die weit über der Buy-Tax liegt, ist das klassische Muster: billig rein, teuer oder gar nicht raus.
2. Mint-Funktion noch aktiv
Kann der Contract nach dem Start neue Token erzeugen, verwässert der Owner jederzeit alle anderen. Das allein ist noch kein Honeypot, aber dieselbe Machtverteilung: Eine Adresse entscheidet, was deine Token wert sind. Seriöse Projekte deckeln die Menge oder vernichten den Mint-Schlüssel. Prüf, ob das passiert ist. Nicht, ob es im Whitepaper stand.
3. Ownership nicht abgegeben (oder nur vorgetäuscht)
Eine Owner-Adresse, die den Contract noch kontrolliert, kann Steuern ändern, den Handel pausieren oder Wallets auf eine Blacklist setzen. „Renounced“ in der angepinnten Telegram-Nachricht zählt nichts, solange es nicht on-chain steht. Solidus führt gefälschte Renouncements als eigene Kategorie (48.974 Fälle im selben Datensatz): Der sichtbare Owner steht auf null, eine versteckte Adresse behält die kritischen Funktionen.
4. Verkäufe per Code blockiert
Das ist der eigentliche Honeypot. Blacklists, „Anti-Bot“-Modi, die sich nie abschalten, absurd niedrige Transaktionslimits oder Regeln wie „Verkauf nur erlaubt, wenn doppelt so viele kaufen wie verkaufen“ (ja, das gab es in einem echten Token). Eine Trade-Simulation fängt das meiste davon ab: Scheitert der simulierte Verkauf, lautet das Label Honeypot.
5. Unverifizierter Quellcode und Proxy-Muster
Unverifizierter Code heißt: Niemand kann nachlesen, was der Contract tut. Ein Proxy-Muster heißt: Der Owner kann die Logik später austauschen, ein sauberer Scan heute sagt also nichts über die Version von morgen. Beides ist kein Betrugsbeweis. Viele ernsthafte Protokolle nutzen upgradebare Proxies. In Kombination mit den Punkten oben ist es trotzdem ein Grund, aufzuhören.
Zwei Fälle, die es in die Nachrichten geschafft haben
SQUID, November 2021. Der Squid-Game-Token, ein BEP-20-Coin ohne jede Verbindung zur Netflix-Serie, nach der er benannt war, stieg von rund einem Cent Ende Oktober auf etwa 2.861 US-Dollar am 1. November 2021. Das ist ein Plus in der Größenordnung von 28 Millionen Prozent in etwa einer Woche. Der Grund für den sauberen Anstieg: Halter konnten nicht verkaufen. Das Projekt nannte das einen „Anti-Dumping“-Mechanismus; CoinMarketCap hatte bereits eine Warnung auf der Coin-Seite, und die BBC berichtete über die Verkaufssperre drei Tage vor dem Kollaps. Als die Macher die Liquidität abzogen, fiel der Kurs binnen Minuten auf einen Bruchteil eines Cents, die Website verschwand. Laut Solidus steckten Käufer binnen weniger Tage über 3,3 Millionen US-Dollar in SQUID. Das Team wurde nie öffentlich identifiziert.
Die Zahlen für 2022. Derselbe Solidus-Bericht schätzte, dass seit September 2020 fast zwei Millionen Wallets Geld an Rug-Pull-Token verloren haben, und dass rund 12 % aller Token auf der BNB Chain sowie 8 % auf Ethereum von vornherein auf Betrug programmiert waren. Das ist die Grundrate, gegen die du bei jedem frischen DEX-Listing spielst.
In keinem der beiden Fälle brauchte es Insiderwissen. Die Verkaufssperre stand vom ersten Tag an im Contract.
Schritt für Schritt: Token auf CoinVett prüfen
Genau dafür haben wir ein kostenloses Tool gebaut. Es läuft auf denselben GoPlus-Daten wie unsere Coin-Seiten, ohne Konto.
- Öffne den Token Safety Check.
- Such den Coin über den Namen oder füge die Contract-Adresse ein und wähle die Chain (Ethereum oder BNB Smart Chain). Die Adresse holst du dir aus dem offiziellen Kanal des Projekts oder aus einem Block-Explorer, nie aus einer zufälligen Antwort im Chat.
- Klick auf Check starten. Coins, die wir schon beobachten, kommen aus unserer Datenbank; unbekannte Contracts werden live gescannt und 24 Stunden zwischengespeichert.
- Lies die drei Gruppen von oben nach unten:
- Trading-Sicherheit: die Honeypot-Simulation und die Buy-/Sell-Tax. Ein roter Honeypot-Marker oder eine Sell-Tax weit über der Buy-Tax beendet die Diskussion.
- Contract-Sicherheit: ob der Code verifiziert ist und ob der Owner die Regeln noch ändern kann (Proxy, Mint). Warnungen hier bedeuten: Die Regeln können sich noch ändern.
- Verteilung: wie konzentriert die Holder sind und ob die Liquidität gelockt ist. Hält eine Handvoll Wallets den Großteil der Menge und die Liquidität ist nicht gelockt, gehört die Ausgangstür jemand anderem.
- Signale, die die Datenquelle nicht meldet, erscheinen als unbekannt, nicht als grün. Unbekannt heißt unbekannt.
Das Ganze dauert etwa eine Minute. Die Ergebnis-URL lässt sich teilen, falls du eine zweite Meinung willst.
Was der Check nicht leisten kann
Ein Contract-Scan liest Code und On-Chain-Zustand. Er sieht keine Absichten des Teams, keine Off-Chain-Versprechen und nicht, wie ein upgradebarer Contract nächste Woche aussieht. Ein sauberes Ergebnis senkt die Wahrscheinlichkeit eines technischen Rug Pulls. Über Produkt, Markt oder Zukunft des Projekts sagt es nichts.
Umgekehrt gilt dasselbe. Eine Warnung ist ein Muster, das du dir genauer anschaust, kein Urteil. Manche legitimen Token haben absichtlich eine moderate Transfer-Gebühr, und viele nutzen Proxies für Upgrades.
Native Coins (BTC, ETH selbst, SOL) haben keinen Token-Contract, den man scannen könnte. Direkte Adress-Scans decken aktuell Ethereum und BSC ab; bei Coins aus unserer Datenbank können auch Polygon- und Arbitrum-Contracts auftauchen.
Die Ein-Minuten-Routine
Vor jedem Small-Cap-Token: Adresse aus offizieller Quelle, Check laufen lassen, zuerst Sell-Tax und Honeypot-Simulation anschauen, dann die Verteilung. Ist in der Trading-Gruppe irgendwas rot oder unbekannt, hast du deine Antwort, ohne einen Cent ausgegeben zu haben.
Die andere Hälfte des Themas, also Social Engineering, falsche Airdrops und Fake-Accounts, deckt unser Guide zum Erkennen von Krypto-Betrug ab.
Dieser Artikel dient ausschließlich der Information und ist keine Finanzberatung. Security-Signale beschreiben das On-Chain-Verhalten eines Contracts, nicht die Qualität oder Aussichten eines Projekts.