Un rug pull avviene quando gli insider usano il controllo su un token, una pool di liquidità o la tesoreria del progetto per estrarre valore e lasciare i detentori con le perdite. Prima di acquistare, controlla chi può creare o congelare token, se la liquidità può essere rimossa, come è gestita la proprietà e se i lock dichiarati sono verificabili on-chain.
Comprendi gli elementi in gioco#
Grafici in crescita e community attive non mostrano i poteri amministrativi. Un token può essere scambiato normalmente finché il proprietario non modifica le commissioni, blocca le vendite, crea nuova offerta o ritira la liquidità.
Esistono rug pull improvvisi e forme più lente, in cui il team vende gradualmente token concentrati, drena la tesoreria o abbandona il prodotto continuando la promozione. Il risultato economico può essere simile anche senza un singolo evento evidente.
Metodo decisionale#
Nessun controllo singolo dimostra la sicurezza. Combina permessi del contratto, custodia della liquidità, distribuzione dei token, responsabilità del team e prove del prodotto; riduci o evita l’esposizione quando una dimensione resta opaca.
Non scambiare un audit, un lock o una rinuncia alla proprietà per una garanzia generale. Ognuno copre soltanto una parte del rischio e può riferirsi a un contratto o versione diversa.
Sequenza di controllo#
- Verifica il contratto del token sul block explorer corretto. Confronta indirizzo completo, rete e codice pubblicato con più canali ufficiali indipendenti.
- Leggi le funzioni privilegiate e lo stato della proprietà. Cerca poteri di mint, blacklist, pausa, modifica delle commissioni, aggiornamento e trasferimento dei fondi.
- Controlla i termini del lock di liquidità e il vero contratto di blocco. Verifica percentuale, durata, beneficiario e possibilità di modificare o ritirare la posizione.
- Esamina la concentrazione dei detentori e i wallet collegati al deployer. Più indirizzi possono appartenere allo stesso soggetto; osserva finanziamenti iniziali e trasferimenti coordinati.
- Prova acquisto e vendita con una somma ridotta. Il test non prova la sicurezza futura, ma può rivelare honeypot, tasse estreme e limitazioni già attive.
Trappole comuni#
- Promozione anonima presentata come decentralizzazione. L’anonimato non è prova di frode, ma riduce la responsabilità e rende essenziali i controlli tecnici verificabili.
- Badge di audit che non coprono la versione distribuita. Controlla società, data, ambito, hash del codice e problemi esclusi dal rapporto.
- Liquidità «bloccata» soltanto per poco tempo. Il rischio ritorna alla scadenza e il lock potrebbe coprire solo una parte della pool.
- Tasse di trasferimento o blacklist modificabili. Il proprietario può rendere antieconomica o impossibile la vendita anche senza rimuovere la liquidità.
Un’analisi valida deve poter essere ripetuta partendo da contratti e dati on-chain, non soltanto dalla dashboard del progetto.
Conferma il risultato#
Non giudicare il progetto da un messaggio dell’interfaccia o dal successo di un piccolo acquisto. Conserva le prove dei poteri che hai controllato e delle condizioni che invaliderebbero la decisione.
| Punto di controllo | Prova | Condizione di arresto |
|---|---|---|
| Contratto verificato sulla rete corretta | Indirizzo esatto confrontato con documentazione ufficiale | Il team promuove un indirizzo diverso o non verificabile |
| Funzioni privilegiate e proprietà esaminate | Codice, proprietario e ruoli salvati con data | Poteri critici restano opachi o modificabili senza limiti |
| Lock di liquidità verificato nel contratto reale | Importo, durata e beneficiario visibili on-chain | Il lock è breve, parziale o soltanto dichiarato |
Conserva hash, numeri di pratica o screenshot datati utili a documentare la verifica, senza includere seed phrase, chiavi private o codici di autenticazione.
Domande frequenti#
Ogni progetto con team anonimo è un rug pull?
No, ma l’anonimato rimuove un livello di responsabilità e rende più importanti i controlli tecnici, la distribuzione e la limitazione dei poteri.
La liquidità bloccata impedisce un rug pull?
Limita soltanto il percorso coperto da quella liquidità. Mint, commissioni, tesoreria e contratti aggiornabili possono offrire altre vie di uscita.
Un audit può garantire la sicurezza?
No. Un audit è una prova limitata a uno specifico ambito e momento, non un’assicurazione né una garanzia contro frodi o modifiche successive.
Guide correlate#
Fonti#
- Ethereum.org: sicurezza degli smart contract
- OWASP: dieci principali rischi degli smart contract
- Supporto Uniswap: approvazioni dei token
Avvertenza sui rischi: Le operazioni crypto possono essere irreversibili. Non condividere seed phrase, chiavi private, password o codici di autenticazione e verifica separatamente ogni dominio e richiesta del wallet.
Standard editoriale
Questa guida è educativa e basata su fonti. Misure di sicurezza, regole degli exchange e requisiti legali possono cambiare: verifica i passaggi importanti sulle fonti ufficiali.
