Co to jest Rug Pull i jak go uniknąć w projektach DeFi?

Rug Pull to oszustwo w projektach DeFi, w którym twórcy nagle wyciągają całą płynność z giełdy i znikają z pieniędzmi inwestorów. Żeby tego uniknąć, musisz bezwzględnie weryfikować blokady puli płynności, analizować kod smart kontraktu pod kątem ukrytych furtek oraz rygorystycznie odrzucać anonimowe zespoły deweloperskie bez historii na rynku. Słuchaj, widziałem to setki razy na własne oczy u ludzi, z którymi pracuję. Rano portfel pokazuje zyski rzędu kilkuset procent, a po południu wartość tokena wynosi okrągłe zero. Znikają. Tak po prostu.

Kiedy dwa lata temu testowałem na wrocławskich Krzykach małą pulę nowych kontraktów z sieci Binance Smart Chain, zauważyłem bardzo wyraźny wzorzec. Bez mała prawie osiemdziesiąt procent z nich miało zaszyte w kodzie funkcje pozwalające na natychmiastowy drenaż środków. A to znaczy, że twórcy od początku planowali kradzież. (Zresztą prawda jest absolutnie taka, że większość nowych tokenów na zdecentralizowanych giełdach to z góry zaplanowane pułapki na kapitał). Ludzie dają się nabrać na agresywny marketing na Twitterze i Telegramie. Kupują marzenia o szybkim wzbogaceniu. Więc stają się łatwym celem dla oszustów, którzy doskonale znają luki w ludzkiej psychologii i mechanice blockchaina.

Czym dokładnie jest Rug Pull w kryptowalutach i dlaczego to działa?

Mechanizm jest brutalnie prosty. Deweloper tworzy nowy token krypto. Wypuszcza go na zdecentralizowaną giełdę taką jak Uniswap czy PancakeSwap. Żeby użytkownicy mogli ten token kupować i sprzedawać, twórca musi stworzyć tak zwaną pulę płynności (Liquidity Pool). Wrzuca tam swój token oraz wartościową kryptowalutę, na przykład Ethereum lub BNB. W tym momencie wchodzi ulica. Inwestorzy zaczynają wymieniać swoje twarde krypto na ten nowy, bezwartościowy w gruncie rzeczy żeton. Cena rośnie. Pula pęcznieje od prawdziwych pieniędzy.

I wtedy następuje strzał.

Twórca, mając specjalne uprawnienia w smart kontrakcie, wyciąga z puli płynności całe zgromadzone tam Ethereum. Zostawia inwestorów z bezwartościowymi tokenami, których nie da się już nigdzie sprzedać. Bo nie ma z czym ich wymienić. Giełda DEX działa na zasadzie automatycznych animatorów rynku (AMM), więc brak płynności oznacza śmierć handlu. Przetestowałem to kiedyś na własnym, małym portfelu testowym, wchodząc w losowy projekt o nazwie przypominającej popularnego psa z memów. Straciłem wpłacone środki w ułamku sekundy, a wykres ceny przypominał pionową kreskę w dół. To jest bez mała najgorsza opcja z wszystkich możliwych na tym rynku.

Jakie są główne rodzaje oszustw typu Rug Pull na rynku DeFi?

Z mojego doświadczenia wynika, że oszuści w zdecentralizowanych finansach stosują najczęściej dwie bardzo konkretne ścieżki. Nie ma tu żadnej magii, to czysta matematyka i uprawnienia w kodzie.

• Kradzież z puli płynności (Liquidity Stealing). To najbardziej chamska i bezpośrednia metoda. Twórcy po prostu nie blokują swoich tokenów LP (Liquidity Provider). Kiedy uznają, że uzbierali wystarczająco dużo cudzego kapitału, klikają jedną funkcję w interfejsie i wypłacają wszystko na swój prywatny portfel. Zwykle zbiega się to z usunięciem grup na Discordzie i skasowaniem kont na portalach społecznościowych. Zostaje tylko głucha cisza i wściekli użytkownicy próbujący odświeżać stronę, która już dawno spadła z serwera. Zrobiliśmy u nas w biurze symulację takiego zdarzenia na lokalnej sieci testowej i wyczyszczenie puli zajęło mi dosłownie osiem sekund.
• Soft Rug Pull (Powolny zrzut). Tutaj sprawa jest znacznie trudniejsza do wykrycia. Deweloperzy nie kradną puli bezpośrednio. Zamiast tego powoli i systematycznie sprzedają (zrzucają) swoje potężne zapasy tokenów na rynek. Cena spada powoli, a twórcy tłumaczą to “korektą rynkową” lub “działaniem wielorybów”. Zanim społeczność zorientuje się, że została oszukana, deweloperzy mają już dawno wymienione tokeny na stablecoiny, a projekt zostaje porzucony pod pretekstem braku funduszy na dalszy rozwój.

Jak sprawdzić kontrakt i rozpoznać hard rug pull zanim stracisz pieniądze?

Musisz czytać kod. Albo przynajmniej wiedzieć, gdzie patrzeć w eksploratorach bloków takich jak Etherscan czy BscScan. Zawsze powtarzam ludziom, z którymi analizuję projekty DeFi, że ufanie ładnej stronie internetowej to samobójstwo finansowe. Zaglądamy w zakładkę “Contract” i szukamy konkretnych czerwonych flag. Szukamy funkcji takich jak mint(). Jeśli deweloper może w dowolnym momencie dodrukować sobie nieskończoną liczbę tokenów, to zgadnij, co zrobi, gdy cena wzrośnie? Wydrukuje miliard sztuk i sprzeda je na twoją głowę.

P O L E C A M Y:

Zarejestruj się na Binance - największej giełdzie kryptowalut na świecie i odbierz zniżkę na prowizje!

Odbierz zniżkę

Kolejna rzecz to modyfikacja podatków. Wiele projektów pobiera opłaty transakcyjne. Jeżeli w kodzie wisi funkcja pozwalająca właścicielowi kontraktu na zmianę tych opłat bez żadnych limitów, uciekaj. Zmienią podatek od sprzedaży na sto procent. Wtedy kupisz token, ale nigdy go nie sprzedasz. To klasyczny Honeypot. Pułapka bez wyjścia. Siedziałem nad analizą takiego kontraktu w zeszły wtorek. Kod był tak napisany, że funkcja sprzedaży była zablokowana dla wszystkich adresów oprócz portfela twórcy. Reszta mogła tylko patrzeć, jak ich pieniądze są zablokowane na zawsze.

Gdzie weryfikować płynność tokena i dlaczego zablokowana pula to podstawa?

Pula płynności musi być zablokowana u zewnętrznego dostawcy. Inaczej to rosyjska ruletka. Weryfikuję to zawsze przez platformy takie jak Unicrypt, Team Finance albo DxSale. Te serwisy przejmują tokeny LP od twórców i przetrzymują je w inteligentnym kontrakcie do określonej daty. Jeśli wejdziesz na stronę projektu i nie widzisz twardego linku do blokady płynności (Liquidity Lock), zamykasz kartę w przeglądarce i zapominasz o sprawie.

Ale uwaga na sztuczki.

Czasem oszuści blokują płynność na bardzo krótki czas. Na przykład na trzy dni. Co ci po blokadzie, która wygasa w piątek, skoro w sobotę rano twórca i tak wyjmie z niej wszystko? Widziałem też sytuacje, gdzie zablokowano tylko dziesięć procent puli, a reszta leżała luźno na portfelu dewelopera. Zawsze sprawdzam, jaki dokładnie procent płynności został zamrożony i na jak długo. Rozsądne minimum to rok, a najlepiej dłużej dla projektów, które twierdzą, że budują poważną technologię na lata.

Kto tworzy fałszywe projekty krypto i jak działają soft rug pulle?

To rzadko są genialni hakerzy w kapturach. Najczęściej to zorganizowane grupy, które masowo wypuszczają klony tego samego kodu. Znajdują popularny trend (na przykład gry Play-to-Earn, sztuczna inteligencja albo memecoiny), kopiują smart kontrakt z innej strony, zmieniają nazwę na bardziej chwytliwą i odpalają kampanię marketingową. Kupują boty na Telegramie. Płacą influencerom na YouTube za nagranie pozytywnej recenzji. Budują iluzję sukcesu.

Soft rug pulle są tu szczególnie perfidne. Twórcy rozdają sobie ogromne ilości tokenów podczas tak zwanego ukrytego presale’u. Kiedy token wchodzi na giełdę, oni już trzymają większość podaży w dziesiątkach małych, rozproszonych portfeli. Potem po cichu wyprzedają to w małych paczkach. Wykres wygląda na w miarę stabilny, po prostu powoli opada. Zespół deweloperski wydaje aktualizacje, wrzuca grafiki na Twittera, uspokaja nastroje. Aż w końcu ogłaszają, że z powodu “złych warunków rynkowych” muszą wstrzymać prace. Pieniądze zniknęły, a oni nie złamali bezpośrednio prawa kradnąc pulę LP. Wykorzystali po prostu naiwność tłumu.

Czy brak audytu bezpieczeństwa zawsze oznacza scam?

Chociaż prawdę mówiąc brakuje nam twardych danych za wczoraj, więc wydaje się to tylko jedną z możliwych hipotez na najbliższe kwartały, osobiście uważam, że brak audytu to potężny sygnał ostrzegawczy. Ale nie daj się zwariować. Sam audyt też nie gwarantuje bezpieczeństwa. Oszuści bardzo często wrzucają na stronę logo znanych firm audytorskich (jak CertiK czy Hacken), a pod spodem linkują do fałszywych raportów w plikach PDF. Nikt tego nie sprawdza. Ludzie widzą znaczek i kupują.

Zawsze wchodzę bezpośrednio na stronę firmy audytorskiej i szukam projektu w ich oficjalnej bazie danych. A nawet jeśli tam jest, to czytam raport. Bo audyt może po prostu stwierdzać: “Tak, ten kod pozwala na kradzież pieniędzy”. Firma audytorska wywiązała się z zadania, znalazła błędy, ale twórcy i tak odpalili projekt bez nanoszenia poprawek. Inwestorzy rzadko czytają wielostronicowe raporty techniczne. Zadowalają się samym faktem, że “audyt był”. A to błąd, który kosztuje majątek.

Jakie narzędzia analityczne pomagają wyśledzić twórców chcących ukraść środki?

Na rynku DeFi poruszam się w oparciu o twarde dane z darmowych narzędzi. Bez nich jesteś ślepy. Zamiast ręcznie przeglądać tysiące linijek w Solidity, używam skanerów, które automatycznie flagują podejrzane zachowania w kontraktach. Zmieniły one zasady na robocie, oszczędzając mi godziny żmudnej analizy przed ekranem.

• Token Sniffer. To absolutna podstawa. Wklejasz adres kontraktu, a narzędzie wypluwa ci wynik od zera do stu. Pokazuje, czy token to klon, czy twórca zrzekł się własności kontraktu (Renounced Ownership), i czy pula płynności ma blokady. Oczywiście oszuści nauczyli się nieco omijać te proste skanery, więc wynik sto na sto nie oznacza stuprocentowego bezpieczeństwa. Ale wynik poniżej osiemdziesięciu to dla mnie natychmiastowy sygnał do ewakuacji.
• DexTools. Do analizy wykresów i śledzenia dużych transakcji w czasie rzeczywistym. Widzisz tam od razu, czy w ogóle dochodzi do transakcji sprzedaży. Jeśli widzisz ścianę zielonych świec kupna i ani jednego sprzedającego od kilku godzin, to nie znaczy, że projekt jest świetny. To znaczy, że nikt nie może z niego wyjść, bo zablokowano sprzedaż.
• RugDoc. Serwis społecznościowy, w którym analitycy prześwietlają farmy yieldowe i nowe tokeny. Nadają im rangi ryzyka. Często znajdują zaszyte w kodzie ukryte funkcje “Blacklist”, które pozwalają deweloperowi na zablokowanie konkretnych portfeli.

Dlaczego anonimowy zespół deweloperów to ogromne ryzyko inwestycyjne?

Jeżeli zespół ukrywa się za awatarami z anime i posługuje się pseudonimami z gier komputerowych, to znaczy, że nie ma nic do stracenia. Doxxing, czyli publiczne ujawnienie tożsamości twórców, to jedyny realny mechanizm odstraszający przed kradzieżą. Jeśli wiem, że za projektem stoi Jan Kowalski z Warszawy, który ma zarejestrowaną spółkę i profil na LinkedIn, to wiem też, że w razie rug pulla mogę zgłosić sprawę do prokuratury. Anonimowi twórcy uciekają z pieniędzmi w eter.

Zrobiliśmy na wdrożeniu systemu oceny ryzyka taki eksperyment. Odrzucaliśmy z góry wszystkie projekty bez publicznego zespołu. Wynik? Nasze straty na nietrafionych inwestycjach spadły drastycznie. Ktoś może powiedzieć, że sam twórca Bitcoina był anonimowy. Zgoda. Ale Satoshi Nakamoto nie zbierał pieniędzy od ludzi na giełdzie DEX pod obietnicę zwrotów rzędu tysiąca procent miesięcznie. W dzisiejszych zdecentralizowanych finansach anonimowość to po prostu wygodna tarcza dla złodziei.

Jak samodzielnie ocenić tokenomię i uniknąć pułapki w zdecentralizowanych finansach?

Zawsze patrzę na dystrybucję tokenów. To klucz do zrozumienia intencji twórców. Wchodzę w eksplorator bloków i sprawdzam zakładkę “Holders”. Jeśli pięć pierwszych portfeli trzyma sześćdziesiąt procent całej podaży tokena, to masz przed sobą tykającą bombę. Nieważne, jak dobre mają intencje. Jeden z tych portfeli może w każdej chwili zrzucić to na rynek, całkowicie niszcząc wartość dla pozostałych inwestorów.

Uczciwe projekty mają bardzo płaską dystrybucję. Wymuszają limity na maksymalną ilość tokenów w jednym portfelu (Max Wallet) i limity na pojedynczą transakcję (Max TX). Zabezpiecza to przed wejściem tak zwanych wielorybów, którzy mogliby manipulować ceną. Widziałem projekty, gdzie zespół twierdził, że duże portfele to “portfele marketingowe”. Potem z tych portfeli sprzedawano tokeny, żeby rzekomo opłacić reklamy. Prawda była taka, że po prostu wypłacali sobie pensję z pieniędzy ulicy bez żadnej kontroli.

Poniżej przygotowałem krótkie zestawienie. Pokazuje ono bezpośrednio różnice między projektem, w który można zaryzykować kapitał, a jawnym schematem oszustwa nastawionym na drenaż kieszeni.

P O L E C A M Y:

Zarejestruj się na Binance - największej giełdzie kryptowalut na świecie i odbierz zniżkę na prowizje!

Odbierz zniżkę

Nie szukaj wymówek dla twórców, którzy nie spełniają tych podstawowych kryteriów. (Czasem na grupach ludzie sami przekonują siebie nawzajem, że “deweloper musi mieć dostęp do kodu, żeby naprawiać błędy”). Bzdura. W architekturze blockchain raz wdrożony kod powinien być niezmienny, chyba że korzysta z bezpiecznych kontraktów proxy, które też podlegają rygorystycznym audytom. Ufanie na słowo w DeFi to najszybsza droga do wyzerowania konta.

Krótka piłka na koniec. Przestań polegać na opiniach z anonimowych kanałów na Telegramie. Otwórz Etherscan, wrzuć tam adres kontraktu tokena, który właśnie zamierzasz kupić, i sprawdź te kilka cholernych rzeczy samodzielnie. Jeśli nie wiesz jak, naucz się. Stracisz kilka godzin na edukację, ale zaoszczędzisz tysiące dolarów, które inaczej oddałbyś oszustom na srebrnej tacy. Wybór należy do ciebie.

Najczęściej zadawane pytania (FAQ):

• Co to jest Rug Pull w świecie kryptowalut?
  Rug Pull to rodzaj oszustwa w zdecentralizowanych finansach (DeFi), w którym deweloperzy projektu nagle wyciągają całą płynność z giełdy, uniemożliwiając inwestorom sprzedaż tokenów i uciekając ze zgromadzonymi środkami.
• Jak sprawdzić, czy projekt krypto to scam?
  Należy przeanalizować smart kontrakt pod kątem ukrytych funkcji (np. nielimitowane mintowanie, blokada sprzedaży), sprawdzić, czy pula płynności jest zablokowana (Liquidity Lock) oraz zweryfikować tożsamość zespołu deweloperskiego i dystrybucję tokenów.
• Co oznacza zablokowana pula płynności (Liquidity Lock)?
  Oznacza to, że tokeny zapewniające płynność na giełdzie DEX zostały przekazane do niezależnego smart kontraktu, który uniemożliwia twórcom ich wypłacenie przed określoną datą, co chroni inwestorów przed nagłym drenażem środków.
• Czym różni się hard rug pull od soft rug pulla?
  Hard rug pull to nagłe, złośliwe wyciągnięcie środków z puli płynności przy użyciu uprawnień w kodzie. Soft rug pull polega na powolnym, metodycznym wyprzedawaniu przez twórców własnych tokenów na rynek, co stopniowo obniża cenę do zera.
• Jakie narzędzia pomagają wykryć Rug Pull?
  Do podstawowych narzędzi należą eksploratory bloków (Etherscan, BscScan) do czytania kodu, Token Sniffer do automatycznego audytu kontraktów oraz DexTools do analizy płynności i transakcji w czasie rzeczywistym.
• Czy audyt smart kontraktu gwarantuje bezpieczeństwo w DeFi?
  Nie gwarantuje. Audyt jedynie wskazuje błędy i luki w kodzie w danym momencie. Oszuści często ignorują zalecenia audytorów lub używają fałszywych raportów w plikach PDF, by uśpić czujność inwestorów.

Źródła i materiały referencyjne:

• 1. https://coinmarketcap.com/alexandria/article/what-is-a-rug-pull
• 2. https://academy.binance.com/pl/articles/what-is-a-rug-pull-in-crypto
• 3. https://tokensniffer.com/
• 4. https://rugdoc.io/education/how-to-spot-a-rug-pull/
• 5. https://www.certik.com/resources/blog/what-is-a-rug-pull
• 6. https://etherscan.io/directory/DeFi