### Historial de escaneos

Tus últimos 10 escaneos se guardan automáticamente de forma local:
- Acceso rápido a contratos previamente escaneados
- Sin almacenamiento en servidor - privacidad total
- Incluye nombre de token, símbolo y marca de tiempo del escaneo
- Funcionalidad de reescanear o compartir con un solo clic

### Compartir y exportar

**Compartir resultados mediante URL:**```
https://honeypotscan.com#result=eyJhIjoiMHguLi4ifQ==

**Copiar como texto:**```
🔍 HoneypotScan Result
════════════════════════════════════════
Token: Scam Token (SCAM)
Address: 0x...
Chain: Ethereum

Status: 🚨 HONEYPOT DETECTED
Confidence: 95%

⚠️ Patterns Found (3):
  • tx_origin_require (line 123)
  • hidden_sell_tax (line 456)
  • transfer_whitelist_only (line 789)

## 🧬 Algoritmo de detección

HoneypotScan utiliza **análisis estático** avanzado para detectar patrones maliciosos en el código fuente de contratos inteligentes. Nuestro algoritmo está diseñado para una alta precisión mientras minimiza los falsos positivos.

### Cómo funciona```
1. Input Validation
   └─> EIP-55 checksum validation (keccak256)
   └─> Format verification (0x + 40 hex chars)
   └─> Chain detection (Ethereum/Polygon/Arbitrum)

2. Contract Source Retrieval
   └─> Fetch from Etherscan API
   └─> 6 API keys with intelligent rotation
   └─> 10-second timeout protection
   └─> Zod schema validation

3. Code Sanitization
   └─> Remove comments and whitespace
   └─> Normalize line endings
   └─> Verify Solidity structure
   └─> Size validation (50 chars - 2MB)

4. Pattern Matching
   └─> Run 13 specialized regex patterns
   └─> Each pattern detects specific honeypot techniques
   └─> Record all matches

5. Confidence Scoring
   └─> ≥2 patterns = HONEYPOT (95% confidence)
   └─> 1 pattern = SUSPICIOUS (needs review)
   └─> 0 patterns = SAFE (100% confidence)

Patrón	Descripción	Riesgo
`balance_tx_origin`	La función `balanceOf()` verifica tx.origin	Muestra diferentes balances al comprador original vs. el router
`allowance_tx_origin`	La función `allowance()` verifica tx.origin	Evita que el DEX reciba aprobación para vender
`transfer_tx_origin`	La función `transfer()` verifica tx.origin	Bloquea transferencias no iniciadas por el comprador original

#### 2️⃣ **Funciones Auxiliares Ocultas (2 patrones)**

Funciones internas que permiten la venta selectiva:

| Patrón | Descripción | Riesgo |
|---------|-------------|------|
| `hidden_fee_taxPayer` | El ayudante `_taxPayer()` usa tx.origin | Lógica fiscal oculta dirigida a compradores no originales |
| `isSuper_tx_origin` | El ayudante `_isSuper()` usa tx.origin | Función de lista blanca que solo permite vender al estafador |

#### 3️⃣ **Omisiones de Autenticación (4 patrones)**

Uso de `tx.origin` para control de acceso (patrón peligroso):

| Patrón | Descripción | Riesgo |
|---------|-------------|------|
| `tx_origin_require` | La sentencia `require()` verifica tx.origin | Revierte transacciones desde DEX routers |
| `tx_origin_if_auth` | La sentencia `if` con tx.origin para autenticación | Lógica condicional que bloquea la reventa |
| `tx_origin_assert` | La sentencia `assert()` verifica tx.origin | Fallo grave en transacciones no originales |
| `tx_origin_mapping` | Acceso a mapeo mediante `[tx.origin]` | Seguimiento/lista negra basada en el llamante original |

**Por qué tx.origin es peligroso:**
- Cuando compras a través de Uniswap: `tx.origin = YOUR_WALLET` ✅
- Cuando vendes a través de Uniswap: `tx.origin = YOUR_WALLET`, pero `msg.sender = UNISWAP_ROUTER` ❌
- Los honeypots explotan esta diferencia para bloquear ventas mientras permiten compras

#### 4️⃣ **Restricciones de Transferencia (4 patrones)**

Mecanismos directos de bloqueo de ventas:

| Patrón | Descripción | Riesgo |
|---------|-------------|------|
| `sell_block_pattern` | `_isSuper(recipient)` devuelve false | Bloquea explícitamente ventas a direcciones no incluidas en la lista blanca |
| `asymmetric_transfer_logic` | `_canTransfer()` siempre devuelve false | Previene cualquier transferencia después de la compra inicial |
| `transfer_whitelist_only` | Requiere que tanto el remitente como el destinatario estén en la lista blanca | Solo el estafador puede mover tokens |
| `hidden_sell_tax` | Impuesto de venta del 95-100% en la lógica del par DEX | Drena tus tokens por completo al vender |

### ¿Por qué Umbral = 2?

**Nuestro umbral de detección requiere ≥2 coincidencias de patrones** para la clasificación de honeypot. He aquí por qué:

#### ✅ **Reduce Falsos Positivos**
- Patrones individuales pueden aparecer en contratos legítimos por accidente
- 2+ patrones indican **diseño malicioso intencional**
- Ejemplo: Un contrato podría tener una verificación de `tx.origin` para protección anti-bot (seguro), pero 2+ indican abuso sistemático

#### ✅ **Mantiene Alta Precisión**
- Nuestras pruebas muestran que los honeypots típicamente exhiben **3-7 patrones**
- Los contratos legítimos raramente muestran más de 1 patrón
- Umbral de 2 = **equilibrio óptimo** entre sensibilidad y especificidad

#### ✅ **Niveles de Confianza**```
0 patterns  = 100% Safe (no suspicious code)
1 pattern   = Needs Review (possibly safe anti-bot measures)
2+ patterns = 95% Honeypot (intentional malicious design)

Función	Implementación	Protección
Validación de Checksum EIP-55	keccak256 adecuado usando @noble/hashes	Previene ataques de manipulación de direcciones
Validación de Formato	Expresiones regulares + verificación de longitud (0x + 40 hex)	Rechaza entradas malformadas antes del procesamiento
Sanitización de Entrada	Recorte, minúsculas, filtrado de caracteres	Defensa en profundidad contra inyección
Límites de Tamaño	Mín. 50 caracteres, máx. 2MB de código de contrato	Previene denegación de servicio mediante cargas útiles sobredimensionadas

Función	Implementación	Protección
Política de Seguridad de Contenido	Encabezados CSP estrictos en todas las páginas	Previene XSS, clickjacking, inyección de datos
Lista Blanca CORS	Validación de origen contra lista permitida	Bloquea el uso no autorizado de API desde dominios desconocidos
Límite de Tasa	Límites de solicitudes por IP (30 req/min)	Previene abuso y asegura uso justo
Tiempos de Espera de Solicitud	Tiempo de espera de 10 segundos con AbortController	Previene solicitudes colgadas y agotamiento de recursos

### 🔒 Seguridad de API

| Función | Implementación | Protección |
|---------|---------------|------------|
| **Rotación de Claves API** | 6 claves de Etherscan con selección aleatoria | Distribuye la carga, evita el agotamiento de una sola clave |
| **Validación de Esquema** | Validación Zod en todas las respuestas de API | Evita que datos malformados causen errores en tiempo de ejecución |
| **Sanitización de Errores** | Mensajes de error genéricos para usuarios | Evita la divulgación de información |
| **Registro Estructurado** | Registros JSON con marcas de tiempo y metadatos | Traza de auditoría para depuración y monitoreo de seguridad |

### 🏗️ Seguridad de Infraestructura

| Función | Implementación | Protección |
|---------|---------------|------------|
| **Sin Secretos Codificados** | Todas las credenciales mediante variables de entorno | Evita la exposición de secretos en el repositorio |
| **Cloudflare Workers** | Computación perimetral con ejecución aislada | Protección DDoS y escalado automático |
| **Caché KV con TTL** | Expiración automática (24 horas) | Evita ataques de datos obsoletos |
| **Autenticación OAuth** | Token OAuth de Cloudflare para despliegues | CI/CD seguro sin claves API en el código |

### 🔍 Seguridad de Código

| Función | Implementación | Protección |
|---------|---------------|------------|
| **Modo Estricto TypeScript** | Compilación estricta completa | Detecta errores de tipo en tiempo de compilación |
| **Acceso Defensivo a Arreglos** | Verificaciones de indefinido antes del acceso | Evita fallos en tiempo de ejecución |
| **Seguridad de Regex** | Cuantificadores acotados en patrones | Mitiga ataques ReDoS |
| **Sin eval() ni Function()** | Análisis estático puro | Evita inyección de código |

### 🚨 Lo que NO Almacenamos

**El diseño centrado en la privacidad significa CERO recopilación de datos:**
- ❌ Sin cuentas de usuario ni autenticación
- ❌ Sin historial de escaneo ni registros
- ❌ Sin seguimiento de direcciones IP más allá de la limitación de velocidad (en memoria, borrado cada minuto)
- ❌ Sin cookies ni huellas dactilares del navegador
- ❌ Sin análisis ni rastreadores de terceros

**Tus escaneos son completamente anónimos.**

### 📋 Encabezados de Seguridad

Cada respuesta incluye:```http
Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; 
  style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; 
  font-src 'self' data:; connect-src 'self' https://honeypotscan-api.teycircoder4.workers.dev; 
  frame-ancestors 'none'; base-uri 'self'; form-action 'self'
X-Frame-Options: DENY
X-Content-Type-Options: nosniff
Referrer-Policy: no-referrer
Permissions-Policy: camera=(), microphone=(), geolocation=()

### Uso de la API```bash
# Scan a token contract
curl "https://your-worker.workers.dev/api/scan?address=0x...&chain=ethereum"

# Response format
{
  "isHoneypot": true,
  "confidence": "high",
  "patterns": ["tx.origin abuse", "hidden fees"],
  "riskScore": 85,
  "cached": false
}

## 📈 Escalabilidad

**Capacidad del plan gratuito:**
- 100k solicitudes/día (Cloudflare Workers)
- 100k lecturas/día (Cloudflare KV)
- 2.6M llamadas API/día (Etherscan)
- **Con un 95% de aciertos de caché: 2M escaneos/día**

**Costo: $0/mes** 🎉

## 🛠️ Stack Tecnológico

- **Frontend**: Next.js 16, React 19, Tailwind CSS v4, Framer Motion
- **Backend**: Cloudflare Workers
- **Cache**: Cloudflare KV
- **Scanner**: TypeScript (detección de patrones personalizada)
- **APIs**: Etherscan, Polygonscan, Arbiscan
- **Despliegue**: Cloudflare Pages + Workers

## 🧪 Pruebas```bash
# Run contract scanner tests
npm run test:scan

# Test specific contract
tsx test/scan-contracts.ts 0x...

# Debug pattern detection
tsx test/debug-pattern.ts

Proyecto	Descripción
TimeSeal.online	Marca de tiempo y prueba la existencia de documentos en la blockchain
SanctumVault.online	Almacenamiento y uso compartido seguro de archivos cifrados
Ghost-Chat	Mensajería anónima cifrada

honeypotscan

Más Populares

Acerca de

Apoya el Desarrollo

🛡️ HoneypotScan

🍯 ¿Qué son los tokens honeypot?

Cómo funcionan los honeypots

Los Riesgos

⚠️ Importante: Esto NO es una auditoría de seguridad completa

✨ Características

📚 Características Educativas

Explicaciones de patrones

🎯 Casos de uso

📸 Cómo usar

🔍 Escanear por dirección

📝 Escanear por código fuente

🏗️ Arquitectura```

Los 13 patrones de detección

1️⃣ Abuso básico de ERC20 (3 patrones)

📊 Rendimiento en el Mundo Real

Casos Extremos y Limitaciones

🔐 Funciones de Seguridad

🛡️ Seguridad de Entrada

🌐 Seguridad de Red

🔐 Divulgación Responsable

🚀 Inicio Rápido

Desarrollo Local```bash

Clone the repository

Install dependencies

Set up environment variables

Edit .env.local with your API keys

Run development server

Open http://localhost:3000

Build for production

Deploy to Cloudflare

📊 Patrones de Detección

🔧 Variables de Entorno```env

Etherscan API Keys (6 keys for rotation)

Cloudflare (for deployment)

📚 Documentación

🤝 Contribuciones

📝 Licencia

❓ Preguntas frecuentes

🌐 Otros Proyectos

⚠️ Aviso Legal

👤 Autor

💼 Contrátame