Rug pull crypto: controlli su token, liquidità e contratto
Un rug pull crypto è uno schema in cui chi crea o promuove un token o un protocollo attira partecipanti e poi sottrae valore, per esempio ritirando la liquidità o vendendo una quota dominante di token. In italiano si usa spesso il termine inglese “rug pull”. Banca d’Italia descrive lo schema insieme al pump-and-dump: un progetto può essere promosso con promesse di guadagni rapidi, mentre chi lo organizza può scomparire dopo aver attirato fondi. La parola chiave da ricordare è “segnale”: un singolo dato anomalo non prova da solo che ci sia una frode.
Perché la liquidità conta, ma non basta
Nei mercati decentralizzati, molti token vengono scambiati attraverso pool che accoppiano il token con un’altra attività. Se chi controlla una parte rilevante delle posizioni di liquidità la ritira, chi possiede il token può trovare pochissima profondità per venderlo. Una pagina che mostra un valore di mercato elevato non garantisce che quella somma possa essere convertita: la liquidità disponibile, lo slippage e la possibilità effettiva di eseguire un ordine sono questioni diverse.
Controlla chi possiede o controlla le quote del pool, quale quantità è bloccata e fino a quando. Un blocco di breve durata può scadere presto; un lock può coprire solo una parte della liquidità; esistono inoltre altri pool o posizioni che non sono bloccati. Verifica l’indirizzo del token e del contratto di lock tramite l’explorer della rete e le fonti ufficiali del progetto, non soltanto tramite uno screenshot pubblicato sui social. Un lock verificabile riduce uno specifico rischio di ritiro nel periodo indicato, ma non dimostra che il contratto o il progetto siano sicuri.
Esamina distribuzione e attività dei wallet
Un piccolo numero di indirizzi che detiene una quota molto ampia dell’offerta può vendere abbastanza token da incidere sul prezzo e sulla liquidità. Consulta l’elenco dei principali holder su un explorer e prova a distinguere i wallet di persone, contratti, pool, bridge, indirizzi di burn e depositi di exchange. La lista grezza può ingannare: un indirizzo grande non è automaticamente un insider, mentre più wallet possono essere controllati dalla stessa entità.
Osserva se molti indirizzi sono stati finanziati da una fonte comune in una sequenza ravvicinata, se gli acquisti si concentrano in pochi blocchi e se la distribuzione annunciata coincide con i movimenti on-chain. Questi indizi meritano verifica, ma non sono un verdetto. Team, vesting e allocazioni dovrebbero essere documentati in modo leggibile; quando le informazioni non si possono controllare indipendentemente, registra la lacuna invece di trasformarla in certezza.
Permessi dello smart contract da individuare
Il codice e i privilegi amministrativi possono determinare quali azioni sono possibili dopo il lancio. Se il contratto lo consente, una chiave con privilegi può creare nuovi token, mettere in pausa i trasferimenti, inserire indirizzi in blacklist, modificare commissioni o cambiare il comportamento attraverso un proxy aggiornabile. Per alcune reti esistono anche funzioni di freeze o mint. La presenza di una funzione non dimostra che verrà usata male; è però importante capire chi può esercitarla e se la chiave è rinunciata, controllata da più firmatari o gestita da un timelock.
Leggi il contratto verificato sull’explorer ufficiale della rete e cerca documentazione tecnica o un audit con il relativo perimetro. Un audit riguarda una versione e componenti specifici: non copre automaticamente modifiche successive, interfacce, wallet amministrativi o contratti esterni. Se il codice è non verificato o il proxy può essere aggiornato senza un processo trasparente, la visibilità è ridotta. Gli strumenti automatici possono aiutare a individuare funzioni note, ma non sostituiscono una revisione tecnica e possono produrre falsi allarmi o omissioni.
Segnali di rischio da valutare insieme
- Liquidità esile o non verificabile: confronta profondità effettiva, lock, scadenza, proprietario e altri pool.
- Offerta concentrata: indaga i maggiori holder, i wallet collegati e le allocazioni dichiarate.
- Privilegi opachi: controlla mint, pause, blacklist, commissioni modificabili, ownership e proxy.
- Vendita difficile: alcune funzioni o imposte possono limitare o rendere costosa la vendita; verifica con attenzione le simulazioni e non autorizzare operazioni sospette.
- Promesse di rendimenti garantiti: urgenza, referral aggressivi e pressione a investire subito sono segnali di allarme, non prove autonome.
- Documentazione incoerente: confronta contratto, sito, white paper, repository e canali ufficiali; controlla che gli indirizzi coincidano.
- Audit presentato come garanzia: leggi data, codice analizzato, criticità aperte e limiti dell’incarico.
La combinazione di segnali è più informativa del singolo indicatore. Anche un progetto con team identificabile e liquidità bloccata può avere altri rischi; un progetto giovane o un creatore pseudonimo non è automaticamente fraudolento. Valuta le verifiche mancanti e il possibile impatto, senza lasciarti convincere né da un’etichetta di sicurezza né da una classifica opaca.
Una procedura prudente prima di collegare il wallet
- Raggiungi il contratto attraverso documenti o canali verificati in modo indipendente, poi conferma l’indirizzo sulla rete corretta.
- Esamina holder, pool e privilegi con un explorer affidabile; annota fonte e momento del controllo perché i dati possono cambiare.
- Leggi i termini dell’interfaccia e l’azione che la firma autorizza. Non condividere seed phrase o chiavi private con alcun sito o presunto supporto.
- Se non capisci l’approvazione richiesta, fermati: una firma può autorizzare un contratto a trasferire token secondo condizioni specifiche.
- Non inviare denaro per “sbloccare” un profitto o recuperare un investimento. Le offerte di recupero rivolte a chi è già stato truffato possono essere un’ulteriore frode.
Se sospetti un rug pull, conserva URL, messaggi, indirizzi dei wallet, hash delle transazioni, importi e orari. Segnala l’accaduto alle autorità e alle piattaforme pertinenti. Una transazione confermata su blockchain in genere non può essere annullata dall’utente; nessun soggetto può garantire il recupero dei fondi chiedendo una commissione anticipata senza una verifica affidabile.
Domande frequenti
Un liquidity lock rende sicuro un token?
No. Può limitare il ritiro della quota bloccata per una certa durata, ma non neutralizza privilegi del contratto, concentrazione dei token o altri pool non coperti.
Un audit certifica che non ci sarà un rug pull?
No. Un audit analizza elementi e versioni definite e non garantisce il comportamento futuro del team, la liquidità del mercato o la sicurezza di parti fuori dal perimetro.
Come distinguo una truffa da un progetto rischioso?
Non sempre è possibile stabilirlo da una pagina o da un solo dato. Verifica fonti indipendenti, conserva l’incertezza e considera l’insieme di liquidità, permessi, holder e comunicazioni.
Che cosa devo fare se ho firmato un’approvazione sospetta?
Non condividere credenziali o seed phrase. Consulta la documentazione ufficiale del wallet e della rete per valutare le autorizzazioni e chiedi assistenza a canali verificati, senza pagare servizi di recupero non verificabili.
Per altre nozioni operative consulta l’hub di sicurezza crypto e gli approfondimenti CryptoSigy in italiano. Questo è materiale educativo, non un consiglio d’investimento o una garanzia di sicurezza: le cripto-attività possono comportare la perdita totale del capitale e delle somme trasferite.
