Fałszywe tokeny i podróbki tickerów: jak sprawdzić kontrakt, zanim kupisz

Ticker to deklaracja twórcy, nie tożsamość[2][3]

Nazwę i symbol tokena wpisuje ten, kto go tworzy. Standard ERC-20, z którego korzystają Base, BNB Chain i Robinhood Chain, traktuje funkcje name i symbol jako opcjonalne i zastrzega, że inne kontrakty nie mogą nawet zakładać ich obecności. Nikt nie pilnuje, by symbol był unikalny.

Na Solanie wygląda to podobnie. Nazwa, symbol i link do metadanych to zwykłe pola zapisane przy mincie, a podmiot z update authority może je później zmienić albo zablokować na stałe. Nic nie stoi na przeszkodzie, by tysiąc mintów nazywało się tak samo.

Podstawy weryfikacji adresu opisujemy w poradniku „Ticker to za mało”, a ogólną listę ostrzeżeń w „Czerwonych flagach przed zakupem memecoina”. Tutaj skupiamy się na samych podróbkach: jak wyglądają, skąd się biorą i jak je odsiać, zanim podpiszesz swap.

Skala problemu: 361 kontraktów z tickerem GME[1]

Bitquery przeanalizowało handel na Robinhood Chain w dniach 16–28 lipca 2026 roku, czyli w pierwszych tygodniach działania sieci. Symbolu GME używało 361 różnych kontraktów, z których tylko jeden był tokenem akcji GameStop. Podróbki wygenerowały 213,0 mln dolarów wolumenu w 1,34 mln transakcji i według autorów miały mniej więcej dwa razy większy obrót niż prawdziwy token.

Najczęściej podrabianym tickerem był ROBIN, pod którym działało 416 adresów. Siedem kontraktów miało dokładnie tę samą nazwę „GameStop - Robinhood Token”, więc filtrowanie po nazwie też zawodzi. Bitquery podsumowuje, że jedyną wiarygodną kontrolą jest adres kontraktu.

Cztery odmiany podróbki[1]

Podróbki nie zawsze wyglądają jak oczywisty scam. Część próbuje przejąć ruch z wyszukiwarki, część podpina się pod modny temat, a część celuje w nawyki, takie jak kopiowanie adresu z historii portfela.

• Ticker znanego aktywa: stablecoina, akcji, natywnego tokena sieci albo dużego memecoina, np. GME, USDG czy WETH
• Klon gorącego launchu: ta sama nazwa i to samo logo, nowy kontrakt utworzony chwilę po oryginale
• Kopia nazwy co do znaku, która omija filtry szukające różnic w nazwie
• Address poisoning: łudząco podobny adres portfela podrzucony do Twojej historii transakcji

Address poisoning: podróbka w Twojej własnej historii[4][5]

W tym ataku oszust generuje adres, który na początku i na końcu wygląda jak adres, z którym już handlowałeś albo do którego wysyłałeś środki. Potem wysyła z niego transakcję o zerowej lub symbolicznej wartości. Sama transakcja nic Ci nie zabiera, ale fałszywy adres ląduje w historii portfela. MetaMask ostrzega, że wystarczy później skopiować go z historii, by środki przepadły bezpowrotnie.

Badanie Carnegie Mellon pokazane na USENIX Security 2025 objęło sieci Ethereum i BSC od lipca 2022 do czerwca 2024 roku. Autorzy naliczyli około 270 mln prób ataku wymierzonych w około 17 mln ofiar oraz co najmniej 83,8 mln dolarów potwierdzonych strat w 6 633 incydentach.

• Adres odbiorcy bierzesz z książki adresowej albo z aplikacji odbiorcy, nigdy z historii transakcji
• Porównujesz początek, środek i koniec adresu, a nie tylko pierwsze i ostatnie znaki
• Nieznane wpływy zerowej wartości traktujesz jako sygnał ataku, nie jako błąd
• Przy większej kwocie potwierdzasz adres na ekranie portfela sprzętowego

Skąd wziąć prawdziwy adres[10][8][9][6][7]

Najlepszym źródłem jest emitent. Paxos publikuje adres USDG osobno dla każdej sieci, w tym dla Robinhood Mainnet. Robinhood wskazuje, że tokeny akcji emituje Robinhood Assets (Jersey) Limited, a ich adresy podaje na stronie Token Contracts w dokumentacji sieci. Jeśli adres z wyszukiwarki różni się od tego z dokumentacji emitenta, to nie jest ten token.

Memecoiny zwykle nie mają dokumentacji, więc źródłem są kanały projektu: strona, konto na X, Telegram albo strona tokena na launchpadzie. Sprawdź, czy wszystkie podają ten sam adres i czy konta nie powstały wczoraj. Adres wklejony w odpowiedzi pod postem, w prywatnej wiadomości albo przez „admina” na czacie nie jest źródłem.

Weryfikacja na DexScreener i w eksploratorze[11]

Wyszukiwanie po symbolu na DexScreener zwraca wszystkie pary z tym tickerem, często z wielu sieci naraz. Dlatego zacznij od adresu: wklej go w wyszukiwarkę albo otwórz listę par dla konkretnego tokena. Każda para ma pole baseToken z adresem i datą utworzenia puli, więc szybko widać, czy patrzysz na ten sam kontrakt, który podał projekt.

Potem otwórz adres w eksploratorze sieci, na przykład Solscan dla Solany albo Basescan dla Base. Sprawdź, kiedy kontrakt powstał, kto go utworzył i czy ten sam twórca nie wypuścił w krótkim czasie wielu tokenów o podobnych nazwach.

• Sieć w DexScreener zgadza się z siecią podaną przez projekt
• Adres baseToken jest identyczny z oficjalnym, znak po znaku
• Token w parze jest tokenem bazowym, a waluta kwotowana jest tą, której się spodziewasz
• Data utworzenia pary pasuje do znanej historii projektu
• W eksploratorze adres twórcy nie produkuje seryjnie tokenów o podobnych nazwach

Wiek puli, liquidity i holderzy jako sygnały podróbki[11][1]

Podróbka znanego tickera zwykle ma bardzo młodą pulę i płytką liquidity, bo powstaje na szybki obrót, a nie na lata. Gdy symbol od miesięcy notowanego aktywa pojawia się w puli utworzonej godzinę temu, pierwsze pytanie brzmi: dlaczego ta para jest nowa.

Liczy się też rozkład posiadaczy. Jeśli większość podaży trzyma kilka adresów, w tym twórca, ktoś może w każdej chwili sprzedać do płytkiej puli. Pamiętaj jednak, że duży adres bywa pulą, giełdą albo burn address, więc procent czytaj razem z rolą adresu.

Jak pomaga radar launchy i raport ryzyka MEMECOINY

Radar nowych launchy na stronie /launches pokazuje świeże pule z Robinhood Chain, Solany, Base i BNB Chain razem z pełnym adresem kontraktu do skopiowania. Każdy wiersz dostaje ostrzeżenie, gdy używa tickera, który oszuści regularnie podrabiają, na przykład USDG, HOOD, TSLA, NVDA, SOL czy BONK, albo gdy ten sam ticker ma w świeżych pulach na radarze więcej niż jeden kontrakt. Dodatkowo oznaczamy liquidity poniżej 25 tys. dolarów i wycenę ponad 100 razy wyższą niż liquidity.

Na stronie tokena raport ryzyka zbiera dane od zewnętrznych dostawców. Dla Solany pokazuje mint authority, freeze authority, rozszerzenia Token-2022, koncentrację holderów i blokadę LP. Dla Base i BNB Chain ograniczenia handlu, uprawnienia właściciela, koncentrację holderów i blokadę LP. Z danych DexScreener dochodzą liquidity, wiek pary i relacja wyceny do liquidity.

Procedura na minutę przed zakupem

Ta lista nie zajmuje więcej niż minutę, a odsiewa większość podróbek. Jeśli którykolwiek punkt się nie zgadza, nie kupuj i wróć do oficjalnego źródła.

• Adres pochodzi z dokumentacji emitenta albo z co najmniej dwóch oficjalnych kanałów projektu
• W terminalu lub na DEX wklejasz adres, a nie wybierasz tokena z listy po tickerze
• Adres w oknie swapu zgadza się z oficjalnym na początku, w środku i na końcu
• Para ma sensowny wiek i liquidity jak na to, czym token twierdzi, że jest
• Raport ryzyka na stronie tokena nie pokazuje blokady sprzedaży, aktywnego mint authority ani skrajnej koncentracji
• Kwota jest taka, której stratę w całości zniesiesz