چگونه توکن‌های جعلی و پروژه‌های اسکم را تشخیص دهیم

توکن جعلی یا اسکم، توکنی است که سازنده‌اش از ابتدا برای گرفتن پول خریداران طراحی کرده است، نه برای ساختن یک محصول. دو شکل رایج آن «راگ‌پول» (Rug Pull) است که در آن سازندگان با نقدینگی پروژه ناپدید می‌شوند، و «هانی‌پات» (Honeypot) که در آن قرارداد توکن اجازهٔ خرید می‌دهد اما فروش را عملاً ناممکن می‌کند. تشخیص این توکن‌ها به ابزار پیچیده‌ای نیاز ندارد؛ پنج بررسی ساده دربارهٔ قرارداد، نقدینگی، توزیع توکن، عمر پروژه و تیم، بیشتر موارد آشکار را پیش از ورود پول نشان می‌دهد. با این حال هیچ بررسی‌ای ریسک را به صفر نمی‌رساند و این درس، ادامهٔ مسیر کلاهبرداری ارز دیجیتال در رمزکلاس است.

هر کسی می‌تواند توکن بسازد؛ همین نقطهٔ شروع خطر است

در شبکه‌هایی که از قرارداد هوشمند پشتیبانی می‌کنند، ساختن یک توکن تازه کار چند دقیقه است. کد آمادهٔ توکن‌های استاندارد به‌صورت آزاد در دسترس است؛ کافی است نام، نماد و تعداد کل را تغییر دهید و قرارداد را روی شبکه منتشر کنید. هیچ نهادی این کار را تأیید یا رد نمی‌کند، چون همان‌طور که در درس بلاک‌چین چیست خواندید، شبکه فقط درستی فنی تراکنش را بررسی می‌کند، نه نیت سازنده را.

همین آزادی دو نتیجه دارد. نخست، توکن تازه هیچ ارزش ذاتی ندارد مگر آن‌که پشت آن محصول، جامعه یا کاربردی واقعی باشد. دوم، توکن‌ساختن برای کلاهبردار تقریباً بی‌هزینه است و می‌تواند هر روز پروژه‌ای تازه با نامی تازه راه بیندازد. نام و لوگو نیز قابل کپی‌اند؛ ممکن است توکنی با نام و نماد یک پروژهٔ شناخته‌شده ساخته شود که تنها تفاوتش با اصل، نشانی قرارداد است.

مقیاس این پدیده در پژوهش‌های زنجیره‌ای دیده می‌شود. طبق تحلیل چین‌آنالیسیس در فوریهٔ ۲۰۲۴، در سال ۲۰۲۳ کمی بیش از ۳۷۰٬۰۰۰ توکن روی اتریوم راه‌اندازی شد که حدود ۱۶۸٬۶۰۰ تای آن دست‌کم در یک صرافی غیرمتمرکز قابل معامله بود؛ از این میان حدود ۹۰٬۴۰۸ توکن، یعنی ۵۳٫۶٪ توکن‌های فهرست‌شده در صرافی‌های غیرمتمرکز، الگوهای پامپ و دامپ داشتند، اما فقط ۱٫۳٪ حجم معاملات صرافی‌های غیرمتمرکز اتریوم را تشکیل می‌دادند ^[۱]. به زبان ساده: بیش از نیمی از توکن‌های تازه‌ای که قابل معامله شدند، رفتار مشکوک داشتند، ولی پول واقعی در بخش کوچکی از بازار می‌چرخید. این یعنی احتمال آن‌که یک توکن ناشناخته و تازه مشکل‌دار باشد، به‌طور پیش‌فرض بالاست و بار اثبات بر دوش پروژه است، نه شما.

راگ‌پول چیست و چند شکل دارد

راگ‌پول یعنی توسعه‌دهندگان پروژه‌ای ظاهراً معتبر می‌سازند، پول سرمایه‌گذاران را جمع می‌کنند و بعد ناپدید می‌شوند. طبق گزارش چین‌آنالیسیس، راگ‌پول‌ها در سال ۲۰۲۱ بیش از ۲٫۸ میلیارد دلار رمزارز از قربانیان گرفتند و ۳۷٪ کل درآمد کلاهبرداری رمزارزی آن سال را تشکیل دادند، در حالی که این سهم در ۲۰۲۰ فقط ۱٪ بود؛ بزرگ‌ترین مورد آن سال صرافی متمرکز ترکیه‌ای Thodex با بیش از ۲ میلیارد دلار (نزدیک ۹۰٪ کل) و دومین مورد AnubisDAO با بیش از ۵۸ میلیون دلار بود ^[۲]. همان گزارش تأکید می‌کند که این الگو بیشتر در دیفای رخ می‌دهد، جایی که هر کس می‌تواند بدون واسطه توکن و استخر معاملاتی بسازد.

راگ‌پول یک شکل ندارد. چهار شکل رایج آن را بشناسید:

• برداشت نقدینگی. سازنده، نقدینگی استخر معاملاتی را که خودش تأمین کرده بود، بیرون می‌کشد. توکن باقی می‌ماند اما دیگر نمی‌توان آن را با دارایی واقعی مبادله کرد و قیمت عملاً صفر می‌شود.
• فروش سنگین سازنده. تیم بخش بزرگی از کل توکن‌ها را نزد خود نگه داشته است و پس از بالا رفتن قیمت، همه را یک‌جا در بازار خالی می‌کند.
• ضرب توکن پنهان. قرارداد تابعی دارد که به مالک اجازه می‌دهد بی‌نهایت توکن تازه بسازد؛ با یک تراکنش، عرضه چند برابر می‌شود و ارزش دارایی دیگران آب می‌رود.
• بستن راه خروج در پلتفرم متمرکز. موردی مثل Thodex نشان می‌دهد راگ‌پول محدود به توکن نیست؛ یک صرافی یا پلتفرم می‌تواند برداشت‌ها را متوقف کند و ناپدید شود.

قرارداد هانی‌پات: ورود آسان، خروج ناممکن

هانی‌پات (Honeypot) یعنی «ظرف عسل»: توکنی که ورود به آن آسان است و خروج از آن نه. قرارداد چنین توکنی به‌گونه‌ای نوشته شده که هر کس می‌تواند آن را با دارایی واقعی مبادله کند و به‌دست بیاورد، اما فروش برای همه به‌جز آدرس‌های مشخصی که سازنده تعیین کرده، با خطا رد می‌شود یا با کارمزدی نزدیک به صد درصد همراه است. روی نمودار، قیمت فقط بالا می‌رود، چون هیچ فروشی ثبت نمی‌شود؛ همین نمودار سبز، طعمهٔ بعدی را جذب می‌کند.

نمونهٔ شناخته‌شدهٔ این الگو توکن SQUID بود که با نام سریال «بازی مرکب» ساخته شد. بر اساس گزارش Gizmodo، سازندگان ناشناس آن در نوامبر ۲۰۲۱ حدود ۳٫۳۸ میلیون دلار برداشتند؛ قیمت توکن در ۱ نوامبر به بالای ۲٬۸۶۱ دلار رسید و سپس به نزدیک صفر سقوط کرد. نشانه‌های هشدار از پیش آشکار بود: خریداران امکان خرید داشتند اما امکان فروش نداشتند، وب‌سایت پروژه سه‌هفته‌ای و پر از غلط املایی بود، کانال تلگرام امکان کامنت نداشت و حساب توییتر امکان پاسخ را بسته بود؛ پس از سقوط، سایت و شبکه‌های اجتماعی هم ناپدید شدند ^[۴].

راه فنی تشخیص هانی‌پات، نگاه به کد قرارداد و تاریخچهٔ تراکنش‌ها است. اگر کد قرارداد در مرورگر بلاک‌چین تأیید و قابل خواندن نیست، پروژه چیزی برای پنهان‌کردن دارد. اگر قابل خواندن است، به دنبال توابعی بگردید که فروش را وابسته به فهرست سیاه، اجازهٔ مالک یا کارمزد متغیر می‌کنند. ساده‌تر از همه: در فهرست تراکنش‌های توکن ببینید آیا آدرس‌های عادی، نه فقط آدرس سازنده، فروش موفق داشته‌اند.

پنج بررسی پیش از هر خرید توکن ناشناخته

این بررسی‌ها به هیچ ابزار خاصی وابسته نیست؛ همهٔ داده‌ها روی خود بلاک‌چین عمومی است و مرورگرهای بلاک‌چین آن‌ها را نشان می‌دهند. هدف، پاسخ به پنج پرسش است.

نشانه‌های تیم و ارتباطات

بخش فنی همه‌چیز نیست. بسیاری از راگ‌پول‌ها با قراردادی معمولی انجام می‌شوند و آن‌چه پیش از وقوع آن‌ها را لو می‌دهد، رفتار تیم و کانال‌های ارتباطی است.

تیم ناشناس. ناشناس‌بودن به‌خودی‌خود اثبات کلاهبرداری نیست؛ برخی پروژه‌های معتبر نیز سازندگان ناشناس داشته‌اند. اما وقتی تیم ناشناس است، مالکیت قرارداد را نگه داشته و بخش بزرگی از توکن‌ها هم نزد خودش است، همهٔ اهرم‌های راگ‌پول در دست کسانی است که هیچ هزینهٔ اعتباری برای ناپدیدشدن نمی‌پردازند. عکس و نام روی سایت نیز به‌تنهایی چیزی را ثابت نمی‌کند، چون کپی‌کردن هویت دیگران آسان است.

کانال‌های یک‌طرفه. کانالی که امکان نظر دادن ندارد، حساب اجتماعی‌ای که پاسخ‌ها را بسته است و گروهی که هر پرسش انتقادی در آن حذف می‌شود، همان الگویی است که در نمونهٔ SQUID دیده شد. پروژهٔ واقعی از پرسش دشوار نمی‌ترسد. الگوهای این کانال‌ها را در درس کلاهبرداری‌های تلگرام و شبکه‌های اجتماعی به‌تفصیل خوانده‌اید.

سند و وعده. وایت‌پیپر کپی‌شده از پروژه‌های دیگر، اقتصاد توکنی که سهم تیم را مشخص نمی‌کند، وعدهٔ فهرست‌شدن قریب‌الوقوع در صرافی بزرگ و همکاری با برندهای معروف بدون تأیید از سوی آن برندها، همگی نشانه‌های آشنا هستند. کمیسیون بورس و اوراق بهادار آمریکا در هشدار سرمایه‌گذاری خود توضیح می‌دهد کلاهبرداران با «میم‌کوین»‌ها پامپ و دامپ اجرا می‌کنند: توکنی می‌سازند، آن را در شبکه‌های اجتماعی و گاهی با عنوان «پیش‌فروش» تبلیغ می‌کنند تا قیمت بالا برود، پیش از پایان هیاهو دارایی خود را می‌فروشند و قیمت به‌سرعت می‌ریزد و بقیهٔ خریداران بیشتر پولشان را از دست می‌دهند ^[۶]. توکنی که تنها «محصولش» شوخی یا هیجان است و تنها بازاریابی‌اش وعدهٔ چندبرابر شدن، در همین دسته می‌گنجد. سازوکار درونی این الگو و این‌که چه کسی در آن سود و چه کسی زیان می‌کند، در درس طرح پانزی و پامپ و دامپ در کریپتو یعنی چه آمده است.

فهرست کامل نشانه‌های رفتاری، از فوریت تا رازداری، در چک‌لیست ده نشانهٔ هشدار آمده است و برای توکن‌ها نیز همان‌قدر کاربرد دارد که برای هر پیشنهاد سرمایه‌گذاری دیگر.

آمار: چند توکن کلاهبردارانه ساخته می‌شود

اعداد این بخش نشان می‌دهند توکن جعلی یک استثنای نادر نیست، بلکه بخش قابل‌توجهی از توکن‌های تازه است.

چین‌آنالیسیس در گزارش ۲۰۲۵ خود همچنین برآورد کرده است حجم واش‌تریدینگ، یعنی معاملهٔ ساختگی برای بزرگ نشان‌دادن حجم بازار، روی اتریوم، BNB و Base در سال ۲۰۲۴ حدود ۷۰۴ میلیون دلار بوده است ^[۳]؛ این یعنی حتی «حجم معاملات بالا» نیز می‌تواند ساختگی باشد.

اگر توکنی این نشانه‌ها را ندارد، یعنی امن است؟

نه. نداشتن نشانه‌های هشدار، احتمال کلاهبرداری را کم می‌کند، اما آن را حذف نمی‌کند و چند برداشت نادرست رایج را باید کنار گذاشت.

قفل نقدینگی جای همه‌چیز را نمی‌گیرد. قفل، فقط یکی از چهار شکل راگ‌پول را دشوار می‌کند. سازنده‌ای که مالکیت قرارداد را نگه داشته می‌تواند با ضرب توکن تازه یا تغییر کارمزد به همان نتیجه برسد. قفل کوتاه، یا قفلی که کلیدش دست تیم است، بیشتر یک ابزار بازاریابی است.

بازرسی امنیتی (Audit) یعنی بررسی کد، نه نیت. یک بازرسی خوب می‌گوید کد همان کاری را می‌کند که ادعا شده و باگ آشکار ندارد. اگر کد به‌طور شفاف به مالک اجازهٔ ضرب توکن می‌دهد، بازرسی آن را «ویژگی» می‌بیند، نه خطا. تیمی که قصد فرار دارد می‌تواند کدی سالم بنویسد و بعد از راه دیگری خارج شود.

فهرست‌شدن در صرافی، تأیید نیست. صرافی متمرکز معمولاً حداقلی از بررسی را انجام می‌دهد، اما استاندارد یکسانی وجود ندارد و انگیزهٔ کارمزدی برای فهرست‌کردن توکن‌های پرسروصدا هم در کار است. در صرافی غیرمتمرکز هم اصولاً هیچ بررسی‌ای وجود ندارد.

پروژهٔ سالم هم می‌تواند به صفر برسد. فرض کنید از ۲۵ پروژهٔ تازه که همهٔ بررسی‌های بالا را پاس کرده‌اند، بخشی صرفاً به‌دلیل رقابت، خطای فنی یا بی‌علاقگی بازار شکست بخورند؛ این شکست کلاهبرداری نیست، اما زیان آن برای شما همان‌قدر واقعی است. به همین دلیل اصل «هرگز بیش از توان از دست دادن»، که درس چرا هرگز نباید بیش از توان از دست دادن، سرمایه‌گذاری کرد آن را باز می‌کند، برای توکن‌های ناشناخته حتی جدی‌تر است و در سه قاعدهٔ بخش کلاهبرداری نیز تکرار شده است.

تشخیص توکن اسکم، مهارتی است که با تکرار ساده‌تر می‌شود: چند دقیقه نگاه به قرارداد، نقدینگی، توزیع، عمر و تیم، پیش از هر تصمیم. این چند دقیقه در برابر پنجرهٔ چندروزه‌ای که بیشتر راگ‌پول‌ها در آن رخ می‌دهند، ارزان‌ترین بیمه‌ای است که در این بازار وجود دارد.