Glossario / Privacy e sicurezza
Rug pull
- Che cos'è un rug pull?
- Un rug pull è il lancio di un token i cui creatori svuotano la liquidità di trading o vendono in blocco la propria scorta riservata, lasciando gli acquirenti con qualcosa per cui non esiste un mercato su cui vendere.
Ogni rug pull richiede una leva che una sola parte possa azionare, e i nuovi token arrivano con diverse. Chainalysis ha contato 2,8 miliardi di $ prelevati in questo modo nel corso del 2021, pari al 37 per cento di tutti i ricavi da truffe con criptovalute di quell'anno contro l'1 per cento dell'anno precedente. Il bitcoin non ha una leva del genere: nessuna assegnazione ai fondatori, nessuna funzione di conio e nessun fondo di liquidità che qualcuno possa ritirare.
Come funziona
Un rug pull è un abuso dei poteri che il creatore si è riservato, e quei poteri sono visibili nel contratto prima che qualcuno compri.
Rimozione della liquidità. La maggior parte dei nuovi token viene scambiata contro un fondo su un automated market maker, finanziato da chi distribuisce il contratto, che riceve token del fondo che rappresentano quel deposito. Chi detiene i token del fondo può ritirare il fondo. Quando lo fa, l'altro lato di ogni scambio scompare e il prezzo va a zero in un solo blocco. Un'affermazione di "liquidità bloccata" vale solo quanto il contratto di blocco e la sua data di scadenza.
Conio illimitato. Se il contratto conserva una funzione di conio riservata al proprietario, la cifra dell'offerta sulla pagina di quotazione è un suggerimento. Il proprietario conia, vende agli acquirenti esistenti e il grafico fa il resto. Lo standard ERC-20 non dice nulla su chi possa coniare: la questione è lasciata interamente a chi ha scritto il contratto.
Restrizioni sulle vendite, talvolta dette honeypot. La funzione di trasferimento contiene una condizione che lascia passare gli acquisti e blocca le cessioni, oppure applica un'imposta punitiva sulla vendita. Gli acquirenti vedono un prezzo in salita e non possono agire di conseguenza. Il grafico è reale; l'uscita no.
La versione soft. Nessuna singola transazione drammatica, solo il team che vende in silenzio la propria assegnazione nel corso di settimane e poi abbandona il progetto. L'esito per i detentori è identico e l'azione penale è molto più difficile.
Le procure hanno iniziato a trattare la versione deliberata come una frode ordinaria. A marzo 2022 l'Ufficio del Procuratore degli Stati Uniti a Manhattan ha incriminato due uomini per il progetto NFT "Frosties", che ha sottratto agli acquirenti circa 1,1 milioni di $ prima che i suoi creatori chiudessero il sito web e lo abbandonassero, contestando loro frode elettronica e riciclaggio di denaro anziché un reato specifico per le cripto.
Un audit non risolve questo problema. I revisori leggono il codice per cercare difetti; non possono leggere le intenzioni, e chi distribuisce il contratto esercitando una chiave di amministrazione legittima non sta sfruttando un bug.
Dove lo vedi
I detentori di bitcoin incontrano i rug pull ai margini del proprio ecosistema, non sul livello di base.
Gli scenari ricorrenti sono i lanci di BRC-20 e Runes durante una febbre del conio, i token di "rendimento in bitcoin" su altre catene, le imitazioni di bitcoin incapsulato con un custode senza nome e le prevendite pubblicizzate nelle risposte sotto i post popolari sul bitcoin. La proposta di solito prende in prestito la credibilità del bitcoin mentre offre qualcosa che il bitcoin strutturalmente non può offrire: un rendimento, un'assegnazione per gli addetti ai lavori, un ingresso anticipato.
Quattro domande filtrano gran parte dei casi. Chi detiene l'offerta, e su quanti indirizzi? Se ne può coniare dell'altra, e da chi? La liquidità è bloccata, da quale contratto, e fino a quando? Chi distribuisce il contratto può sospendere o tassare i trasferimenti? Se le risposte non sono pubbliche e verificabili, la descrizione onesta della posizione è una scommessa sull'autocontrollo di uno sconosciuto.
Il confronto che vale la pena fare è con ciò che già possiedi. Il calendario di emissione del bitcoin è stato fissato nel software prima del primo blocco, il 3 gennaio 2009, nessun indirizzo detiene una chiave di amministrazione e non c'è alcun fondo da ritirare. Non è un'affermazione sul prezzo. È un'affermazione su quali modalità di fallimento esistono.
Rug pull vs shitcoin
Una shitcoin è un'attività di bassa qualità che può semplicemente fallire; un rug pull è un'estrazione deliberata con un autore identificabile. La distinzione è legale, non emotiva. Un token senza valore il cui team ha provato onestamente ed è rimasto senza fondi non lascia nessuno da incriminare, e i detentori subiscono una perdita di investimento. Un rug pull lascia un imputato, una serie di trasferimenti on-chain che mostrano esattamente quando si è mossa la liquidità e, nei casi sopra citati, un'incriminazione formale. Entrambi vanno a zero, ma solo uno dei due è un reato.