Definizione
Il termine "rug pull" si riferisce a una truffa di tipo "exit scam" (spionaggio) nel settore delle criptovalute e della DeFi , in cui gli sviluppatori o gli addetti ai lavori abbandonano il progetto e fuggono con i fondi degli investitori, "strappando loro il tappeto" da sotto i piedi.
Il termine comprende diverse tecniche fraudolente distinte: rimozione della liquidità (gli sviluppatori prosciugano i fondi del pool di liquidità da loro controllati), hard rug (svuotamento di grandi allocazioni di token degli sviluppatori), soft rug (abbandono graduale del progetto dopo aver raccolto fondi) ed exploit a livello di contratto (funzioni amministrative nascoste nel codice per coniare token illimitati o bloccare i trasferimenti).
Le frodi tramite "rug pull" sono diventate endemiche durante l'estate DeFi del 2020 e il boom degli NFT del 2021, con miliardi di dollari rubati agli investitori al dettaglio che non sono riusciti a verificare il codice, l'identità del team o lo stato del blocco di liquidità. Entro il 2025, le frodi tramite "rug pull" sono rimaste la categoria di frode nel settore delle criptovalute più diffusa in termini di numero di incidenti, sebbene le perdite medie per evento siano diminuite grazie alla maggiore consapevolezza della comunità e al miglioramento degli strumenti di rilevamento on-chain.
Origine e storia
| Data | Event |
| 2020 | DeFi Summer: lancio di centinaia di progetti DEX in stile Uniswap; proliferano i rug pull |
| 2020 ottobre | Incidente "Chef Nomi" di SushiSwap: lo chef vende un fondo di sviluppo SUSHI da 13 milioni di dollari e restituisce tutti i fondi dopo la reazione negativa della comunità |
| 2020 novembre | Il tappeto finanziario di Compounder raccoglie 10.8 milioni di dollari in quello che sembrava essere un legittimo aggregatore di rendimenti |
| 2022 | Si moltiplicano le frodi sugli NFT: i creatori degli NFT di Frosties arrestati per frode da 1.3 milioni di dollari — primo procedimento penale per frode sugli NFT |
| 2021 ottobre | Il token di Squid Game guadagna 3.38 milioni di dollari dopo un aumento di prezzo di 45,000 volte, diventando una notizia mondiale |
| 2022 | I rug pull rappresentano circa 2.8 miliardi di dollari delle perdite DeFi totali pari a 3.9 miliardi di dollari (dati Chainalysis) |
| 2022 | Token Sniffer, RugDoc e DeFiYield lanciano strumenti di rilevamento automatizzato del rug pull |
| 2021 | Tappeto Anubis DAO: 60 milioni di $ in ETH prosciugati poche ore dopo il lancio — evidenziato il rischio del team anonimo |
| 2024 | Gli strumenti di intelligenza artificiale per il rilevamento dei rug pull segnalano oltre l'85% dei rug pull prima che vengano eseguiti |
| 2025 | La maggior parte dei launchpad DEX richiedono blocchi di liquidità e badge di audit; i rug pull si spostano sull'ingegneria sociale |
"Il settore delle criptovalute non ha un problema di truffe. Ha un problema di ricerca. Ogni rug pull era visibile sulla blockchain a chiunque lo osservasse." — ZachXBT, investigatore on-chain
Come funziona
MECCANICA DI TIRATURA DEL TAPPETO
FASE 1: Configurazione
- Distribuisci il contratto token (spesso fork di un progetto legittimo)
- Creare una presenza sui social media, un team falso, una roadmap
- Aggiungi liquidità a DEX (Uniswap, PancakeSwap)
- Forte impulso al mercato: pagamenti agli influencer, clamore attorno a Telegram
FASE 2: Pompa
- I primi investitori acquistano → i prezzi aumentano → la paura di perdersi qualcosa attrae di più
- Lo sviluppatore conserva il 50-90% della fornitura di token (nascosto)
- Richiesta di blocco della liquidità (spesso falsa o a breve termine)
FASE 3: Pull ┌───────────────────────────────────────────┐ │ TAPPETO DURO: Lo sviluppatore vende l'intero portafoglio di token │ │ all'istante → il prezzo crolla del 99% → la liquidità │ │ si esaurisce mentre gli investitori cercano di vendere │ ├────────────────────────────────────────────┤ │ LIQUIDITY PULL: Dev rimuove i token LP che │ │ controlla → pool prosciugato → token non scambiabile │ ├───────────────────────────────────────────┤ │ MINT RUG: Funzione mint() nascosta attivata │ │ → miliardi di token coniati → lo sviluppatore vende tutto │ └──────────────────────────────────────────────┘
| Tipo di tirata del tappeto | Meccanismo | Segnali di avvertimento | Esempio |
| Rimozione della liquidità | Gli sviluppatori drenano il pool LP che controllano | Token LP sbloccati, team anonimo | Centinaia di progetti DeFi del 2020 |
| Discarica dura | Dev vende un'enorme allocazione di token | Il portafoglio Dev contiene >20% della fornitura | Gettone del gioco Squid (2021) |
| Mint exploit | Funzione di conio amministratore nascosta | Contratto non verificato, autorizzazioni di zecca | Molteplici progetti NFT 2021-2022 |
| Tappeto morbido | Abbandono graduale dopo la raccolta fondi | Sviluppatori inattivi, nessun risultato | Molti progetti ICO 2017-2018 |
| tappeto NFT | Vendere NFT, non consegnare mai la roadmap | Team anonimo, roadmap vaga | Frosties NFT (2022) |
Esempi del mondo reale
| Scenario | Implementazione/Attuazione | Risultato |
| Gettone del gioco Squid 2021 | Il token SQUID viene lanciato con una falsa premessa di gioco "gioca per guadagnare" | Aumento del prezzo di 45,000 volte → gli sviluppatori scaricano 3.38 milioni di $ → il token crolla a 0.0007926 $ |
| Frosties NFT 2022 | 8,888 NFT di gelati venduti per 1.3 milioni di dollari | Gli sviluppatori scompaiono poche ore dopo la pubblicazione; Discord e i social media sono stati cancellati; due arrestati |
| Anubi DAO 2021 | DAO a tema cane raccoglie 13,556 ETH (60 milioni di $) in 20 ore | Tutti i fondi sono stati trasferiti dalla tesoreria entro 24 ore; il team anonimo scompare |
| Finanza Composer 2020 | Aggregatore di rendimento con backdoor nascosta nel contratto | Lo sviluppatore attiva la funzione di prelievo di emergenza; 10.8 milioni di dollari drenati dai caveau |
| Blocco di liquidità legittimo | Un nuovo progetto DeFi blocca i token LP per 2 anni su Team Finance | Gli investitori verificano il lock on-chain; fiduciosi di investire; lo sviluppatore non può |
Vantaggi
| Vantaggio | Eccezionale |
| N/A | Non ci sono vantaggi nel tirare i tappeti: sono puramente fraudolenti |
| Consapevolezza comunitaria | I tappeti di alto profilo hanno istruito milioni di investitori sulla due diligence |
| Trasparenza on-chain | A differenza delle frodi tradizionali, i rug pull lasciano prove completamente verificabili on-chain |
| precedente legale | Le azioni penali per NFT rug pull (Frosties) hanno stabilito che la frode crittografica è perseguibile |
Svantaggi e rischi
| Rischio | Descrizione |
| Perdita totale | Gli investitori in genere perdono il 95-100% del capitale investito |
| Nessun ricorso | I team anonimi nelle giurisdizioni non regolamentate rendono il recupero quasi impossibile |
| Sfruttamento della FOMO | Le tattiche ad alta pressione e l'urgenza artificiale impediscono una valutazione razionale |
| Mimetismo sofisticato | Siti web dall'aspetto professionale e false revisioni contabili ingannano gli investitori esperti |
| Truffe di recupero | Dopo aver rubato il tappeto, i truffatori prendono di nuovo di mira le vittime con falsi "servizi di recupero" |
Suggerimenti per la gestione del rischio
- Verificare sempre il blocco del token LP utilizzando strumenti come Team Finance, Unicrypt o Mudra Locker e controllare la durata del blocco
- Controllare le partecipazioni del portafoglio dello sviluppatore: se il team anonimo detiene >20% della fornitura, trattarlo come ad alto rischio
- Richiedere audit da aziende affidabili (CertiK, Hacken, Peckshield) — non audit "logo" a pagamento
- Utilizza i verificatori honeypot TokenSniffer, RugDoc o DeFiYield prima di acquistare un nuovo token
- Non investire mai basandoti solo sulle promozioni degli influencer: la maggior parte dei promotori pagati non rivela il pagamento
- I team anonimi non sono automaticamente cattivi, ma richiedono una maggiore sicurezza del codice e un controllo della comunità
FAQ
D: Come posso verificare se un token è un rug pull prima che ciò accada?
R: Esegui il contratto tramite TokenSniffer (tokensniffer.com) o DeFiYield Rug Check: questi strumenti analizzano le funzioni honeypot, la concentrazione della proprietà, la liquidità sbloccata e i permessi sospetti.
Controllare anche:
(1) L'LP è bloccato sulla catena? Per quanto tempo?
(2) Quale percentuale di offerta detiene il portafoglio dello sviluppatore?
(3) Il contratto è stato sottoposto a revisione contabile da parte di una società affidabile?
(4) Il team è doxxato o anonimo?
(5) Esiste un prodotto funzionante o solo promesse?
D: Qual è la differenza tra un "rug pull" e un "exit scam"?
R: Entrambi i casi riguardano sviluppatori che rubano i fondi degli investitori. L'exit scam è la categoria più ampia e può applicarsi a ICO, operatori di exchange (QuadrigaCX) e qualsiasi raccolta fondi fraudolenta. Il rug pull è specificamente la variante DeFi/DEX in cui la liquidità viene drenata o viene eseguito un grande dump di token da uno smart contract implementato. Tutti i rug pull sono exit scam; non tutti gli exit scam sono rug pull.
D: Se perdo soldi in un'operazione di svendita, posso recuperare i fondi?
R: Il recupero è estremamente difficile. Investigatori on-chain come ZachXBT possono identificare i wallet degli sviluppatori e tracciare i flussi di fondi, e alcuni hanno collaborato con le forze dell'ordine per ottenere arresti (Frosties). Tuttavia, i fondi trasferiti su exchange centralizzati possono talvolta essere congelati. I fondi on-chain inviati a mixer o trasferiti tra catene sono in genere irrecuperabili. La prevenzione è molto più efficace del recupero.
Consiglio di UPay: prima di investire in qualsiasi nuovo progetto DeFi o NFT, dedica 15 minuti ad analizzare il contratto con TokenSniffer, a verificare lo stato del blocco LP su Unicrypt e a controllare l'identità del team. Questa semplice procedura avrebbe evitato la stragrande maggioranza delle perdite dovute a operazioni di rug pull.
Disclaimer: Questo contenuto ha solo scopo didattico e non costituisce consulenza finanziaria. I nuovi progetti basati su criptovalute comportano un rischio elevato di frode.
UPay — Rendere le criptovalute un'enciclopedia
