Co přesně je rug pull?
Rug pull (doslova "vytažení koberce zpod nohou") je typ podvodu, kdy lidé, kteří token vytvořili nebo ovládají, náhle odeberou hodnotu a znehodnotí ho pro všechny ostatní.
Nejde o to, že cena spadne. Ceny padají běžně. Rug pull je konkrétní mechanika: hodnota z projektu zmizí kvůli akci, kterou udělali jeho tvůrci, a udělat ji mohli jen proto, že měli oprávnění nebo přístup, který ostatní neměli.
Důležitá poznámka hned na začátku: v tomto textu popisujeme vzorce chování. Charliedesk neoznačí žádný konkrétní projekt za podvod, dokud to nekonstatuje regulátor nebo soud. Rozdíl mezi "vypadá to podezřele" a "je to prokázaný podvod" je celý smysl této rubriky.
Jak rug pull technicky proběhne?
Existují dva hlavní typy, a je dobré je nezaměňovat.
1. Odčerpání likvidity (liquidity pull). Aby se dal token na decentralizované burze (DEX, například Uniswap) vůbec směnit, musí někdo do tzv. poolu vložit dvojici: samotný token plus něco hodnotného, třeba ETH nebo stablecoin. Tato dvojice je likvidita. Kdo drží tzv. LP tokeny (potvrzení o vložené likviditě), může likviditu zase vybrat. Když ji vyberou tvůrci, z poolu zmizí to hodnotné (ETH/stablecoin) a zůstane jen samotný token, který teď nemá s čím být směněn. Cena na grafu se prakticky vynuluje během jedné transakce.
2. Podvod v samotném kontraktu (hard rug). Chytrý kontrakt (smart contract) tokenu obsahuje funkce, které dávají tvůrci mimořádnou moc: možnost dotisknout neomezené množství tokenů (mint), zablokovat prodej ostatním (tzv. honeypot, kde koupit lze, ale prodat ne), nebo měnit poplatky až na hodnoty, které prodej fakticky znemožní.
Rozdíl proti tomu, čemu se říká "soft rug" nebo pomalé opuštění projektu, je v tom, že tvůrci prostě přestanou pracovat a token pomalu vyšumí. To je špatné, ale technicky se to liší od jednorázového odčerpání.
Jaké stopy to nechává v blockchainu?
Hlavní věc, kterou je dobré pochopit: blockchain je veřejný a nezapomíná. Akce, která rug pull provede, je zapsaná transakce jako každá jiná.
Konkrétně jde po samotné události najít:
- Transakci odebrání likvidity (odstranění páru z poolu), s časovým razítkem a adresou, která ji provedla.
- Adresu tvůrce (deployera), tedy peněženku, ze které byl kontrakt nasazen, a kam případně odtekly prostředky.
- Rozložení držení tokenu před událostí: kolik procent drželo pár prvních adres.
- Prodeje z těchto velkých adres těsně před pádem ceny.
Problém není v tom, že by stopa neexistovala. Problém je, že po převodu přes mixér nebo přes řetěz peněženek se stopa nepřeruší, ale ztíží se přiřazení konkrétnímu člověku. Blockchain vám ukáže, že hodnota odtekla na adresu 0x...; nedokáže vám sám o sobě říct, kdo tu adresu ovládá. To je hranice mezi on-chain důkazem a identifikací pachatele.
Které signály jde ověřit za dvě minuty, ještě než se něco stane?
Toto je preventivní část, ne diagnostika po pádu. Žádný z těchto bodů sám o sobě neznamená podvod, a naopak jejich absence nezaručuje bezpečí. Jsou to indikátory, ne verdikty.
| Co zkontrolovat | Co hledáte | Proč na tom záleží |
|---|---|---|
| Koncentrace držení | Kolik % tokenů drží top 10 adres | Když pár adres drží velkou většinu, mají moc pohnout cenou nebo pool vyprázdnit |
| Uzamčení likvidity | Jsou LP tokeny uzamčené nebo spálené | Pokud může tvůrce likviditu kdykoli vybrat, je odčerpání technicky možné |
| Oprávnění v kontraktu | Existuje funkce mint, pauza prodeje, měnitelné poplatky | Tyto funkce dávají jedné straně mimořádnou moc |
| Vlastnictví kontraktu | Je kontrakt "renounced" (vzdané vlastnictví) nebo ho někdo ovládá | Ovládající adresa může měnit pravidla za pochodu |
| Ověření kódu | Je zdrojový kód veřejně ověřený | Neověřený kód nelze zkontrolovat, jen mu věřit |
Praktický příklad, jak to čtete: řekněme, že u tokenu vidíte, že jedna adresa (mimo samotný likviditní pool a burzy) drží 60 % nabídky a likvidita není nijak uzamčená. To vám neříká, že jde o podvod. Říká vám, že jediná strana má technickou možnost cenu i pool ovládnout, a že vaše případné rozhodnutí by mělo tuto možnost brát v úvahu. To je rozdíl mezi "tohle je scam" (verdikt, který si nedovolíme) a "tady je konkrétní riziko, které je vidět v datech" (popis).
Nástroje, které tato data ukazují, existují (block explo/exploreři jako veřejné prohlížeče blockchainu a různé automatické skenery kontraktů). Charliedesk žádný z nich nedoporučuje ani negarantuje jejich přesnost; automatický sken se může mýlit oběma směry.
Proč nejde poznat rug pull jistě předem?
Protože většina rizikových vlastností má i legitimní použití.
Funkce mint může sloužit k plánovanému, transparentnímu vydávání. Neuzamčená likvidita může znamenat, že tým teprve nastavuje uzamčení. Vysoká koncentrace může být u úplně nového projektu očekávaná. On-chain data vám ukážou schopnost něco udělat, ne záměr to udělat. A záměr je přesně to, co odlišuje podvod od rizikového, ale poctivého projektu.
Proto tvrzení "tohle je rug pull" před samotnou událostí je vždy odhad, ne fakt. Faktem se stává až ve chvíli, kdy je odčerpání zapsané v blockchainu, a podvodem v právním smyslu až tehdy, kdy to konstatuje příslušný orgán.
Co byste teď měli umět, a co zůstává nejisté
Po přečtení byste měli umět:
- Rozlišit pád ceny od rug pullu (mechanika odebrání hodnoty tvůrci).
- Rozlišit odčerpání likvidity od podvodu zabudovaného přímo v kontraktu.
- Za pár minut se v datech podívat na koncentraci držení, stav likvidity a oprávnění v kontraktu.
- Formulovat, co data prokazují (možnost) a co neprokazují (záměr a totožnost).
Co zůstává nejisté i s dokonalými daty:
- Kdo stojí za konkrétní adresou, dokud to nespojí vyšetřování s reálnou osobou.
- Zda ovládající strana svou moc skutečně zneužije.
- Jestli je konkrétní projekt podvod v právním smyslu; to nepatří novináři, ale regulátorovi nebo soudu.
Toto je součást série "Nenaletět" v charliedesk Classroom. Popisujeme mechaniku a data. Neříkáme vám, co koupit ani co prodat.