Czym dokładnie jest rug pull?
Rug pull (dosłownie "wyciągnięcie dywanu spod nóg") to rodzaj oszustwa, w którym osoby, które token stworzyły lub nim kontrolują, nagle odbierają wartość i pozbawiają go wartości dla wszystkich pozostałych.
Nie chodzi o to, że cena spada. Ceny spadają na porządku dziennym. Rug pull to konkretna mechanika: wartość z projektu znika w wyniku działania podjętego przez jego twórców, a wykonać je mogli tylko dlatego, że mieli uprawnienia lub dostęp, którego pozostali nie mieli.
Ważna uwaga już na wstępie: w tym tekście opisujemy wzorce zachowań. Charliedesk nie określi żadnego konkretnego projektu jako oszustwo, dopóki nie stwierdzi tego regulator lub sąd. Różnica między "to wygląda podejrzanie" a "to jest udowodnione oszustwo" jest istotą tej rubryki.
Jak rug pull przebiega technicznie?
Istnieją dwa główne typy i warto ich nie mylić.
1. Wyprowadzenie płynności (liquidity pull). Aby token dało się w ogóle wymienić na zdecentralizowanej giełdzie (DEX, na przykład Uniswap), ktoś musi wpłacić do tzw. puli parę: sam token plus coś wartościowego, na przykład ETH lub stablecoin. Ta para to płynność. Kto trzyma tzw. tokeny LP (potwierdzenie wpłaconej płynności), może płynność z powrotem wypłacić. Kiedy wypłacą ją twórcy, z puli znika to wartościowe (ETH/stablecoin) i zostaje tylko sam token, który teraz nie ma z czym być wymieniony. Cena na wykresie praktycznie zeruje się w ciągu jednej transakcji.
2. Oszustwo w samym kontrakcie (hard rug). Inteligentny kontrakt (smart contract) tokena zawiera funkcje, które dają twórcy nadzwyczajną władzę: możliwość dodrukowania nieograniczonej ilości tokenów (mint), zablokowania sprzedaży pozostałym (tzw. honeypot, gdzie kupić można, ale sprzedać nie), albo zmiany opłat aż do wartości, które faktycznie uniemożliwiają sprzedaż.
Różnica w stosunku do tego, co nazywa się "soft rug" lub powolnym porzuceniem projektu, polega na tym, że twórcy po prostu przestają pracować i token powoli wygasa. To jest złe, ale technicznie różni się od jednorazowego wyprowadzenia.
Jakie ślady zostawia to w blockchainie?
Główna rzecz, którą warto zrozumieć: blockchain jest publiczny i nie zapomina. Działanie, które realizuje rug pull, jest zapisaną transakcją jak każda inna.
Konkretnie po samym zdarzeniu można odnaleźć:
- Transakcję odebrania płynności (usunięcie pary z puli), z sygnaturą czasową i adresem, który ją wykonał.
- Adres twórcy (deployera), czyli portfel, z którego kontrakt został wdrożony, i dokąd ewentualnie odpłynęły środki.
- Rozkład posiadania tokena przed zdarzeniem: ile procent trzymało kilka pierwszych adresów.
- Sprzedaże z tych dużych adresów tuż przed spadkiem ceny.
Problem nie polega na tym, że ślad by nie istniał. Problem jest taki, że po przekazaniu przez mikser lub przez łańcuch portfeli ślad nie zostaje przerwany, ale utrudnia się przypisanie konkretnej osobie. Blockchain pokaże wam, że wartość odpłynęła na adres 0x...; sam z siebie nie potrafi wam powiedzieć, kto ten adres kontroluje. To jest granica między dowodem on-chain a identyfikacją sprawcy.
Które sygnały można zweryfikować w dwie minuty, jeszcze zanim coś się stanie?
To jest część prewencyjna, nie diagnostyka po upadku. Żaden z tych punktów sam w sobie nie oznacza oszustwa, a i odwrotnie, ich brak nie gwarantuje bezpieczeństwa. To są wskaźniki, nie werdykty.
| Co sprawdzić | Czego szukacie | Dlaczego to ma znaczenie |
|---|---|---|
| Koncentracja posiadania | Ile % tokenów trzyma top 10 adresów | Kiedy kilka adresów trzyma dużą większość, mają moc, by poruszyć cenę lub opróżnić pulę |
| Zablokowanie płynności | Czy tokeny LP są zablokowane lub spalone | Jeśli twórca może płynność w każdej chwili wypłacić, wyprowadzenie jest technicznie możliwe |
| Uprawnienia w kontrakcie | Czy istnieje funkcja mint, pauza sprzedaży, zmienne opłaty | Te funkcje dają jednej stronie nadzwyczajną władzę |
| Własność kontraktu | Czy kontrakt jest "renounced" (zrzeczenie się własności), czy ktoś go kontroluje | Kontrolujący adres może zmieniać reguły w trakcie gry |
| Weryfikacja kodu | Czy kod źródłowy jest publicznie zweryfikowany | Niezweryfikowanego kodu nie da się sprawdzić, można mu tylko zaufać |
Praktyczny przykład, jak to czytacie: powiedzmy, że przy tokenie widzicie, że jeden adres (poza samą pulą płynności i giełdami) trzyma 60 % podaży, a płynność nie jest w żaden sposób zablokowana. To nie mówi wam, że chodzi o oszustwo. Mówi wam, że jedna strona ma techniczną możliwość zdominowania zarówno ceny, jak i puli, oraz że wasza ewentualna decyzja powinna tę możliwość brać pod uwagę. To jest różnica między "to jest scam" (werdykt, na który sobie nie pozwolimy) a "tutaj jest konkretne ryzyko, które widać w danych" (opis).
Narzędzia, które pokazują te dane, istnieją (block explo/exploreri jako publiczne przeglądarki blockchaina i różne automatyczne skanery kontraktów). Charliedesk żadnego z nich nie poleca ani nie gwarantuje ich dokładności; automatyczny skan może się mylić w obie strony.
Dlaczego nie da się rozpoznać rug pulla z pewnością z góry?
Bo większość ryzykownych właściwości ma też legalne zastosowanie.
Funkcja mint może służyć do planowego, transparentnego wydawania. Niezablokowana płynność może oznaczać, że zespół dopiero ustawia blokadę. Wysoka koncentracja może być przy zupełnie nowym projekcie oczekiwana. Dane on-chain pokażą wam zdolność coś zrobić, nie zamiar to zrobić. A zamiar jest właśnie tym, co odróżnia oszustwo od ryzykownego, ale uczciwego projektu.
Dlatego twierdzenie "to jest rug pull" przed samym zdarzeniem jest zawsze szacunkiem, nie faktem. Faktem staje się dopiero w chwili, gdy wyprowadzenie jest zapisane w blockchainie, a oszustwem w sensie prawnym dopiero wtedy, gdy stwierdzi to właściwy organ.
Co powinniście teraz umieć, a co pozostaje niepewne
Po przeczytaniu powinniście umieć:
- Odróżnić spadek ceny od rug pulla (mechanika odebrania wartości przez twórców).
- Odróżnić wyprowadzenie płynności od oszustwa wbudowanego bezpośrednio w kontrakt.
- W kilka minut spojrzeć w danych na koncentrację posiadania, stan płynności i uprawnienia w kontrakcie.
- Sformułować, co dane udowadniają (możliwość) i czego nie udowadniają (zamiar i tożsamość).
Co pozostaje niepewne nawet przy doskonałych danych:
- Kto stoi za konkretnym adresem, dopóki nie połączy tego śledztwo z realną osobą.
- Czy kontrolująca strona swojej mocy faktycznie nadużyje.
- Czy konkretny projekt jest oszustwem w sensie prawnym; to nie należy do dziennikarza, lecz do regulatora lub sądu.
To jest część serii "Nie dać się nabrać" w charliedesk Classroom. Opisujemy mechanikę i dane. Nie mówimy wam, co kupić ani co sprzedać.