Il termine "rug pull" si riferisce a una tipologia di truffa legata alle criptovalute in cui gli sviluppatori di un progetto lo abbandonano deliberatamente dopo aver attratto ingenti investimenti, portando con sé i fondi degli investitori. Il termine deriva dall'espressione idiomatica "togliere il tappeto da sotto i piedi a qualcuno", ovvero rimuovere le fondamenta e causare un crollo improvviso e devastante. I "rug pull" sono tra le truffe più comuni e dannose nell'ecosistema delle criptovalute, particolarmente diffuse negli ambiti DeFi e Memecoin, dove chiunque può creare e quotare un token senza alcun controllo.
Esistono diversi tipi di rug pull. I liquidity pull si verificano quando gli sviluppatori creano un token, configurano un pool di liquidità su un DEX , aspettano che gli investitori acquistino (aggiungendo valore al pool) e poi rimuovono tutta la liquidità, rendendo il token non negoziabile e privo di valore. I selling pressure rug si verificano quando il team detiene una percentuale elevata dell'offerta di token e la immette gradualmente o improvvisamente sul mercato. Gli hard rug, invece, coinvolgono codice dannoso in smart contract con funzioni nascoste che consentono agli sviluppatori di svuotare il contratto (funzioni backdoor, capacità di conio nascoste o vendita consentita solo tramite whitelist).
Nel 2026, le truffe del tipo "rug pull" avevano già sottratto miliardi di dollari agli investitori in criptovalute. Chainalysis ha stimato che solo nel 2021 queste truffe abbiano generato oltre 2.8 miliardi di dollari di entrate illecite. Sebbene i principali protocolli DeFi su blockchain consolidate siano generalmente sicuri, la natura senza autorizzazione della creazione di token fa sì che nuove truffe del tipo "rug pull" vengano lanciate quotidianamente, soprattutto su blockchain più recenti, nei mercati dei memecoin e in concomitanza con tendenze di tendenza in cui la paura di perdere l'occasione (FOMO) prevale sulla dovuta diligenza.
Origine e storia
2017-2018: Le "truffe di uscita" dell'era ICO sono il precursore dei rug pull. I progetti raccolgono fondi tramite la vendita di token e poi scompaiono. Il meccanismo è diverso (ICO contro liquidità DEX), ma il concetto è lo stesso.
2020 (agosto-ottobre): Il termine "rug pull" (truffa a sorpresa) si diffonde ampiamente durante la DeFi Summer. Con il lancio di centinaia di nuovi protocolli DeFi su Ethereum, molti si rivelano essere truffe che prosciugano i fondi dai pool di liquidità.
Settembre 2020: l'incidente "Chef Nomi" di SushiSwap: il creatore, che si celava dietro uno pseudonimo, converte circa 13-14 milioni di dollari del fondo per sviluppatori in ETH, causando il panico. Sebbene non si sia trattato di un vero e proprio rug pull (i fondi sono stati poi restituiti), l'episodio ha contribuito a diffondere la consapevolezza dei rischi legati ai fondi per sviluppatori e del concetto di truffe di uscita nel mondo DeFi.
Marzo 2021: Meerkat Finance (su Binance Smart Chain) subisce un rug pull da 31 milioni di dollari il 4 marzo 2021, appena un giorno dopo il lancio, uno dei primi importanti rug pull nel settore DeFi su BSC. Gli sviluppatori inizialmente hanno affermato che si trattava di un attacco hacker esterno, prima di cancellare i propri account.
2021: Esplodono i casi di "rug pull" sulla BNB Chain (BSC), dove le basse commissioni del gas rendono conveniente l'implementazione di token fraudolenti. I nomi dei token sfruttano le tendenze del momento: cloni di "SafeMoon", token "Elon", token "Moon".
Ottobre 2021: AnubisDAO raccoglie circa 60 milioni di dollari in ETH e i fondi vengono prosciugati circa 20 ore dopo il lancio: uno dei più grandi e rapidi "rug pull" (pull di rug) nella storia della DeFi.
2021 (novembre): Il token Squid Game registra un'impennata di oltre il 40,000% sull'onda del successo della serie Netflix, per poi crollare quasi a zero quando gli sviluppatori svuotano il pool di liquidità. Gli investitori non sono riusciti a vendere a causa di un meccanismo anti-vendita nascosto, codificato nel contratto. Gli sviluppatori si sono intascati circa 3.3 milioni di dollari.
Gennaio 2022: I casi di "rug pull" di NFT diventano frequenti. Frosties NFT vende 8,888 NFT, raccogliendo circa 1.1 milioni di dollari, e gli sviluppatori scompaiono immediatamente senza fornire alcuna informazione sulla roadmap. Nel marzo 2022, il Dipartimento di Giustizia degli Stati Uniti arresta Ethan Nguyen e Andre Llacuna, segnando il primo procedimento penale federale per "rug pull" di NFT. Baller Ape Club e altri seguono schemi simili.
2023-2024: Dominano le micro-proiezioni di token Memecoin. La facilità di lancio di token su Solana (tramite Pump.fun e piattaforme simili) consente migliaia di micro-proiezioni di token rivolte alla comunità di trading di Memecoin.
2026: Gli strumenti per l'individuazione delle truffe "rug pull" raggiungono la maturità (Token Sniffer, GoPlus, De.Fi). La consapevolezza della comunità aumenta, ma le truffe "rug pull" persistono come il tipo di truffa più comune nel mondo delle criptovalute.
"Nel mondo della DeFi, se non riesci a identificare il prodotto, sei tu il prodotto. Se non riesci a identificare il tappeto, ci stai camminando sopra." — La saggezza della comunità crypto
In parole semplici
Il negozio che scompare: immaginate che nella vostra città apra un negozio che vende prodotti fantastici a prezzi incredibili. La gente si precipita a comprare. Poi, una mattina, il negozio è vuoto: i proprietari hanno preso tutti i soldi e sono spariti. Questa è una truffa: un'allettante opportunità di investimento progettata fin dall'inizio per rubarvi i soldi.
Lo scarico della piscina: Immaginate una piscina (una piscina di liquidità) in cui tutti contribuiscono con acqua (denaro). La piscina diventa sempre più grande man mano che le persone aggiungono acqua. Poi il proprietario della piscina apre uno scarico nascosto sul fondo e tutta l'acqua scompare. Gli investitori si ritrovano con una piscina vuota.
Lo spettacolo di magia in cui sei il volontario: una truffa con il tappeto è come uno spettacolo di magia in cui il mago ti chiede il portafoglio per dimostrare un trucco, e poi "magicamente" scompare con esso. Il trucco era sempre quello di prendersi i tuoi soldi, lo spettacolo era solo la distrazione.
La versione crittografica del "prendi i soldi e scappa": gli sviluppatori creano qualcosa che sembra legittimo, generano entusiasmo e investimenti, e poi spariscono con i fondi. È la truffa più vecchia del mondo, solo che utilizza la tecnologia blockchain come mezzo.
Importante: se un nuovo token promette rendimenti irrealistici, ha sviluppatori anonimi, non blocca la liquidità e viene pubblicizzato in modo aggressivo sui social media, è probabile che si tratti di una truffa. Effettua sempre ricerche prima di investire: controlla il codice del contratto, verifica l'identità del team, assicurati che la liquidità sia bloccata e non investire mai più di quanto puoi permetterti di perdere.
Principali caratteristiche tecniche
Liquidity Pool Rug Pull
Lo sviluppatore crea un token e lo aggiunge al pool di liquidità di un DEX (in coppia con ETH, SOL, ecc.).
Quando gli investitori acquistano il token, aggiungono valore (ETH) al pool.
Quando si accumula un valore sufficiente, lo sviluppatore rimuove tutta la liquidità, prendendo l'ETH
Il token diventa non negoziabile: il suo prezzo scende a zero all'istante.
Può essere evitato "bloccando" la liquidità in contratti intelligenti a tempo determinato.
Codice di contratto intelligente dannoso
Funzioni nascoste della zecca: consentono allo sviluppatore di creare un numero illimitato di nuovi token e di venderli
Funzioni della blacklist: impediscono a chiunque, eccetto lo sviluppatore, di vendere (modello Squid Game Token)
Manipolazione delle commissioni: il contratto consente allo sviluppatore di impostare le commissioni di vendita al 99-100%
Aggiornamenti del proxy: il contratto può essere modificato dopo l'implementazione per aggiungere funzioni dannose
Rilevamento: strumenti come Token Sniffer, GoPlus Security e De.Fi Scanner analizzano il codice del contratto
Tappeto lento (Tappeto morbido)
Gli sviluppatori vendono gradualmente le loro ingenti quantità di token nel corso del tempo (da giorni a settimane).
Il prezzo scende lentamente a causa della costante pressione di vendita che assorbe gli ordini di acquisto.
Meno drammatico di un tappeto rigido, ma altrettanto dannoso per gli investitori.
Più difficile da individuare perché assomiglia a una normale attività di vendita
Spesso accompagnato da una graduale diminuzione dell'attività sui social media.
NFT Tappeti Tirati
Il team lancia una collezione di NFT molto attesa, promettendo future utilità (gioco, metaverso, airdrop di token).
La collezione va a ruba (il ricavato della vendita dei conio va al portafoglio del team).
Il team scompare senza consegnare nessuno degli elementi promessi nella roadmap.
Gli account Discord e dei social media vengono silenziati o eliminati.
Gli NFT perdono valore con il collasso della comunità
Vantaggi e svantaggi
Vantaggi
Svantaggi
Nessuno: i furti di tappeti sono truffe senza alcun vantaggio legittimo
Perdita finanziaria: Gli investitori perdono l'intero investimento
Erosione della fiducia: Lo scandalo dei tappeti danneggia la reputazione dell'intero settore delle criptovalute.
Danno emotivo: Le vittime provano stress, vergogna e perdita di fiducia.
Complicazioni legali: Spesso i responsabili sono anonimi, il che rende il recupero quasi impossibile.
Impatto sul mercato: Il ritiro di tappeti di alto profilo provoca un crollo generalizzato del mercato.
Ostacolo all'adozione: La diffusione delle truffe scoraggia i nuovi arrivati dall'entrare nel mondo delle criptovalute.
Risk Management
Bandiere rosse a cui prestare attenzione
Membri del team anonimi o non verificabili
Nessun vincolo di liquidità o periodo di vincolo molto breve.
Strategie di marketing estremamente aggressive e tattiche che inducono la paura di perdersi qualcosa (FOMO).
Promesse irrealistiche ("100 volte il valore", "rendimenti senza rischi")
Nessuna verifica degli smart contract da parte di un'azienda affidabile.
Proprietà concentrata dei token: il team detiene oltre il 50% della fornitura.
Impossibile vendere il token (contratto honeypot)
Copia e incolla white paper o siti web da altri progetti
Nuovi account sui social media con follower acquistati
Lista di controllo della dovuta diligenza
Verifica l'identità dei membri del team (LinkedIn, progetti precedenti, partecipazione a conferenze).
Verifica lo smart contract su Token Sniffer, GoPlus o strumenti simili.
Verifica che la liquidità sia bloccata (controlla i contratti di blocco della liquidità su piattaforme come Unicrypt o TeamFinance).
Esamina la distribuzione dei token: controlla i principali detentori sull'explorer della blockchain.
Leggi il codice dello smart contract (o incarica qualcuno di farlo) e cerca le funzioni nascoste.
Verifica se il contratto è stato verificato e se il codice sorgente è stato pubblicato sull'explorer della blockchain.
Cerca il progetto nei database delle truffe e nelle liste di allerta.
Se sospetti che un tappeto sia stato tirato
Ritira subito i tuoi fondi se puoi ancora
Documenta tutto (hash delle transazioni, screenshot, indirizzi dei portafogli).
Segnalare alla piattaforma (DEX, borsa) e alle autorità competenti
Avvertire la comunità sui social media e sui forum.
Valuta la possibilità di segnalare il caso alle forze dell'ordine: alcune giurisdizioni hanno avviato procedimenti penali per furto di tappeti.
Rilevanza culturale
"Rug pull" è diventato uno dei termini più riconosciuti nella cultura crypto, usato sia letteralmente (per indicare vere e proprie truffe) che colloquialmente (per qualsiasi risultato deludente). Quando un progetto non soddisfa le aspettative o prende una decisione impopolare, la comunità lo definisce sarcasticamente "slow rug" (un tappeto lento). Il termine è persino entrato nel linguaggio comune: "getting rugged" (in gergo crypto) è un'espressione comprensibile anche al di fuori del contesto crypto.
La diffusione delle truffe "rug pull" ha creato una cultura di ipervigilanza nel mondo DeFi. Il motto "DYOR" (Do Your Own Research, fai le tue ricerche) viene ripetuto costantemente e gli strumenti per la verifica dei contratti dei token sono diventati essenziali. Le comunità crypto hanno sviluppato una sofisticata intelligenza collettiva: quando qualcuno individua del codice sospetto in un contratto, l'informazione si diffonde rapidamente tramite Twitter, Discord e Telegram.
"La velocità con cui la comunità crypto identifica e segnala i rug pull è davvero impressionante, solo che molte persone vedono gli avvisi e comprano comunque per paura di perdere l'occasione (FOMO)." — Ricercatore sulla sicurezza DeFi
Il database "Rekt" (rekt.news) è diventato un'istituzione culturale nel mondo delle criptovalute, documentando ogni importante rug pull e exploit con analisi dettagliate. Essere presenti su Rekt è l'equivalente, nel mondo delle criptovalute, di un'autopsia pubblica.
Esempi del mondo reale
1. Gettoni del gioco del calamaro (novembre 2021)
Il token Squid Game ha sfruttato il successo virale della serie Netflix. Lanciato a 0.01 dollari il 26 ottobre 2021, ha registrato un'impennata di oltre il 40,000% in circa una settimana, raggiungendo un prezzo massimo di circa 2,861 dollari. Tuttavia, lo smart contract conteneva un meccanismo anti-vendita nascosto: gli acquirenti potevano acquistare ma non vendere. Quando il prezzo ha raggiunto il picco il 1° novembre 2021, gli sviluppatori hanno svuotato il pool di liquidità e sono scomparsi con circa 3.3 milioni di dollari. L'incidente ha ricevuto copertura mediatica mondiale ed è diventato un esempio da manuale di "rug pull" (truffa speculativa).
2. AnubisDAO (ottobre 2021)
AnubisDAO, presentato come un fork di OlympusDAO, ha raccolto circa 60 milioni di dollari in ETH tramite il lancio di un token il 28 ottobre 2021. Appena 20 ore dopo il lancio, l'intero tesoro è stato svuotato e concentrato in un unico wallet. Il progetto non aveva un sito web, né un white paper, e gli sviluppatori erano anonimi, eppure gli investitori hanno riversato decine di milioni di dollari basandosi esclusivamente sull'hype e sulla paura di perdere l'occasione (FOMO). Questo rimane uno dei più grandi casi di "rug pull" (truffa con frode) nella storia della DeFi.
3. Frosties NFT (gennaio 2022)
Frosties era una collezione di NFT su Ethereum che prometteva un gioco del metaverso, merchandising e uno sviluppo continuo. Dopo aver venduto 8,888 NFT il 9 gennaio 2022 (raccogliendo circa 1.1 milioni di dollari), gli sviluppatori hanno abbandonato il progetto nel giro di poche ore, disattivando il sito web ed eliminando tutti gli account sui social media. Nel marzo 2022, il Dipartimento di Giustizia degli Stati Uniti ha arrestato i due sviluppatori, Ethan Nguyen e Andre Llacuna, a Los Angeles, segnando il primo procedimento penale federale per un rug pull di NFT. Entrambi sono stati accusati di frode telematica e riciclaggio di denaro, reati per i quali è prevista una pena massima di 20 anni.
Tavola di comparazione
Tipo di tirata del tappeto
Metodo
Velocità
Difficoltà di rilevamento
Possibilità di recupero
Richiesta di liquidità
Rimuovere la liquidità del DEX
Istantaneo
Medio (verificare se bloccato)
Molto basso
Vaso di miele
Il contratto impedisce la vendita
Graduale (trappola)
Medio (strumenti di scansione)
Nona
Menta nascosta
Crea token illimitati e vendili
Connessione
Difficile (richiede una revisione del codice)
Molto basso
Tappeto lento
Elimina gradualmente i gettoni della squadra
Settimane/mesi
Difficile (sembra una vendita normale)
Basso
Tappeto NFT
Vendere la collezione, abbandonare il progetto
Giorni a settimane
Difficile (le promesse sono vaghe)
Molto basso (a meno che non si tratti di forze dell'ordine)
Manipolazione delle tariffe
Imposta l'imposta sulle vendite al 99% o più.
Graduale
Medio (verificare i costi del contratto)
Nona
Termini correlati
DYOR (Do Your Own Research - Fai le tue ricerche) — La pratica essenziale di informarsi prima di investire.
Honeypot : un contratto intelligente che consente l'acquisto ma impedisce la vendita.
Truffa di uscita : termine più ampio per indicare le truffe in cui i truffatori spariscono con i fondi raccolti.
Smart Contract Audit : revisione professionale del codice in grado di identificare meccanismi di manipolazione dei contratti.
Blocco di liquidità : blocco dei token LP in un contratto a tempo determinato per impedire prelievi di liquidità.
Token Sniffer : uno strumento per rilevare contratti di token dannosi.
FOMO — La motivazione emotiva che rende le persone vulnerabili alle truffe.
Pump and Dump — Una truffa correlata che prevede la manipolazione dei prezzi prima della vendita.
Rekt — Slang del mondo delle criptovalute per indicare la perdita di denaro, spesso a causa di truffe (rug pull).
Team Anonimo : un importante campanello d'allarme per potenziali casi di furto di identità.
FAQ
D: Quanto sono comuni i rug pull? Sono molto comuni, soprattutto nel settore dei memecoin e dei nuovi token. Chainalysis ha stimato che i rug pull abbiano sottratto 2.8 miliardi di dollari nel 2021. Su piattaforme come Pump.fun (Solana), vengono creati migliaia di token ogni giorno e la stragrande maggioranza sono rug pull o falliscono rapidamente. I principali protocolli consolidati sono generalmente sicuri, ma i nuovi progetti non sottoposti ad audit comportano un rischio significativo di rug pull.
D: Posso recuperare i miei soldi dopo un rug pull? Nella maggior parte dei casi, no. Le transazioni blockchain sono irreversibili e gli autori dei rug pull sono solitamente anonimi. Tuttavia, ci sono rari casi di recupero: alcune giurisdizioni hanno perseguito penalmente gli operatori di rug pull (caso Frosties NFT) e, in alcuni casi, la pressione della comunità ha costretto gli sviluppatori a restituire i fondi (Chef Nomi/SushiSwap e, in parte, nel caso di Meerkat Finance). Non contate sul recupero: la prevenzione è l'unica strategia affidabile.
D: Come posso individuare un potenziale rug pull? Segnali di allarme principali: (1) Team anonimo o non verificabile, (2) Nessun blocco di liquidità, (3) Smart contract non sottoposto ad audit, (4) Il contratto consente il conio o ha funzioni di blacklist, (5) Il team detiene un'enorme percentuale di token, (6) Marketing aggressivo basato sulla FOMO (Fear Of Missing Out, paura di perdere l'occasione), (7) Promesse irrealistiche, (8) Nessun prodotto o caso d'uso reale, (9) Sito web/whitepaper copiato, (10) Grandi acquisti dai wallet del team subito dopo il lancio. Utilizza strumenti come Token Sniffer e GoPlus per analizzare i contratti.
D: I rug pull sono illegali? Sì, i rug pull sono frode e furto, reati illegali praticamente in ogni giurisdizione. Tuttavia, l'applicazione della legge è difficile perché: i responsabili di questi reati nel settore delle criptovalute sono spesso anonimi, possono operare in diverse giurisdizioni e le transazioni blockchain sono pseudonime. Alcuni casi di rug pull di alto profilo hanno portato ad arresti e condanne (Frosties NFT), ma la stragrande maggioranza rimane impunita.
D: Qual è la differenza tra un rug pull e un progetto fallito? L'intento è la differenza fondamentale. Un rug pull è progettato deliberatamente per rubare fondi: gli sviluppatori non hanno mai avuto l'intenzione di consegnare un prodotto reale. Un progetto fallito, invece, aveva intenzioni genuine ma non è stato possibile realizzarlo. La distinzione può essere sfumata: alcuni progetti iniziano legittimamente ma diventano dei rug pull quando il team si arrende e vende i token. Se il team è trasparente riguardo alle difficoltà e non vende i token, è probabile che si tratti di un fallimento, non di un rug pull.
fonti
Chainalysis. “Rapporto sui crimini legati alle criptovalute: scoperte inaspettate.” chainalysis.com
Rekt Notizie. "Tira il tappeto e sfrutta il database." rekt.news
Token Sniffer. “Analisi degli smart contract.” tokensniffer.com
Dipartimento di Giustizia degli Stati Uniti. "Due imputati accusati di frode con token non fungibili." justice.gov (2022)
