蜜罐(Honeypot)可以理解为是对攻击者的一种欺骗技术，它是一个包含漏洞的诱骗系统，可以实现对攻击者的主动诱捕，能够详细地记录攻击者攻击过程中的许多痕迹，也可以收集到大量有价值的数据。

在加密领域，蜜罐也是一种比较常见的攻击方式，且蜜罐攻击会有多种方式。比如，之前比较常见的一种蜜罐攻击方式是，骗子假装向某用户(受害者)泄露其钱包助记词及资金，诱导用户向其发送额外的资金，但用户所提供的资金会被困住，然后被蜜罐创建者(攻击者)瞬间盗走。

而最近，我发现有小伙伴反馈，自己明明买了一个在Dexscreener上弹出地址是正确的代币，但发现该代币却无法出售！如果你也遇到了这样的问题，说明你可能是中了蜜罐。 接下来，我会通过具体的案例，简单来帮大家分析一下加密领域最近的一种新蜜罐骗局、以及它的工作原理，以此来让大家尽可能避免自己也被骗上当。

其实在去年底的时候，我就曾看到有人在社交平台反馈过自己的遭遇。而且我也同时发现，似乎有些不良项目方每天频繁地在 Arbitrum 上“做市”他们自己部署的蜜罐代币，来诱使毫无戒心的人购买他们的这种代币。

这些骗子的主要作案手法如下： 将资金转入新的 Metamask 账户 - 创建新Token - 增加流动性（通常为 2 万美元及以上） - 使用他们的智能合约通过多个钱包进行买卖 - 消除流动性 - 将资金转移到新钱包跑路。然后不断地重复以上的步骤。

我以Li.Fi这个问题代币举例：

经过骗子的一系列操作后，他们创建的代币就会具有像普通代币一样的正常图表模式，而且流动性强，买卖量大，这些其实都是骗局的一部分。这些骗子甚至在Dexscreener上使用表情符号来让它看起来更真实。

Dexscreener是一个区块链数据的监控和查询工具，可以进行诸如Token搜索、新币研究、盯盘、价格提示等这些功能，也是我自己经常使用的一个区块链工具。

就这样，这些大多数是看起来“合法”的代币，利用交易量诱骗购买的方式，让那些毫无戒心的受害者大量购买并持有。而骗子们创建的所有代币貌似都是脚本化/自动化的，甚至是买卖都利用脚本实现。

当他们实现目的后，就会实施自毁Token CA（Contact Account、合约账号），所以一段时间后代币的供应就消失了。而如果你上当买了他们的代币，那么你是卖不掉的，最后只能烂在钱包里。一般情况下，这些骗子每次可以净赚 1 到 5 个 ETH（不包括Gas费） 。

那么，该如何避免这个骗局呢？有以下几个步骤： 1.将代币的合约地址复制并粘贴到Arbiscan（Arbitrum的官方浏览器）进行查询。 2.点击对应的地址。 3.点击合约创建者。 4.点击所有交易、然后点击最后一页。 5.如果你看如下图所示的图案，则表明它是serial rugger（也就是项目方会卷款跑路）。

现在，我们已经知道了骗子的诈骗方法。那么，这些骗子又是怎么设计出诈骗代币的、且还能够做到“以假乱真”呢？

我再举个例子来说明吧。

前两天在 Arbitrum 上发布的这个 Solidly 分叉项目代币STR，我发现它被炒得很热，也算是近期的一个热门分叉币，我们可以从 docs/discord 中获取其真实的合约地址，如下图所示。

从上面的图，我们也可以看出来，STR真实的CA地址是0x5DB7b150c5F38c5F5db11dCBDB885028fcC51D68。 但是，当你通过Dexscreener进行查询时，你会得到大量不同的显示结果（也就是里面会出现假的STR）。

正常情况下，一个正确的CA列表格式通常是如下图这样的：

而骗子也会很快地利用了这一点，他们把正确的合约地址设置为Token的名称，这将会导致诈骗Token也作为查询结果在列表中（有时甚至会显示排在列表的第一位）展示出来，如下图所示，红色框的就是诈骗代币。

所以，如果你通过Dexscreener查询代币的CA，那么你必须要首先确保Token地址与你在列表上看到的地址匹配，而不要因为Token名称是实际合约地址就盲目点击进去骗子代币地址。Token地址和Token地址名称一定要分清楚。

如果你通过Arbiscan进行查询的话，真实的Token页面显示如下图所示。

而假的Token（scam token）显示看起来则是像下图这样的。

真的和假的之间的区别在于名称和代码部分，你可以看到两者代码是匹配的，但代币名称是不同的，具体区别如下图所示。

以上的两个例子，我都是以Arbitrum生态上面的蜜罐代币做举例和说明，但其实其他公链上也一样可能会有类似的情况。

虽然对于区块链老手来说，这样的骗局貌似也很容易被识破，但对大部分普通的用户而言，这样的骗局还是非常有可能上当的。尤其是当你看到某个新币连续涨涨涨的时候，再加上一些不靠谱的人引导和忽悠，很容易就产生FOMO情绪，脑袋一热也许就上当了。

总之，我们在一些DEX里面进行购买操作时，建议务必要仔细检查好对应代币的CA地址，以免被Honeypotted。做任何交易之前，一定要做好DYOR，安全第一，远离骗子假币。

扩展阅读：《区块链项目研究进阶：DYOR方法论》

好了，以上就是今天通过「话李话外」栏目分享的全部内容。我们最后再来一起小结和回顾一下吧，本文帮大家解释了什么是蜜罐攻击，并通过两个例子让大家进一步了解了蜜罐攻击的具体方法和工作原理，以此来让大家尽可能避免自己也被骗上当。希望今天的分享能够对大家有所帮助。

本文特别鸣谢CJCJCJCJ、Senka的内容与设计支持。转载本文请同时注明以上作者、并注明来源来自「话李话外」。

注：投资有风险，以上内容只是个人角度分析，仅供广大爱好者科普学习和交流之用，不构成任何投资建议，请理性看待，树立正确的理念，提高风险意识，并遵守所在国家和地区的相关法律法规！如您对本文有任何想法或建议，欢迎在评论区提出。关注「话李话外」、查看或订阅作者更多其它内容吧。