Il rug pull è la truffa più comune in DeFi e nei meme coin. Il team raccoglie liquidità e poi sparisce. I segnali d'allarme, esempi famosi e come proteggersi.
Contenuto educativo: Questo articolo ha finalità esclusivamente informative. Non costituisce consulenza finanziaria, fiscale o di investimento. Le criptovalute sono strumenti ad alto rischio: il valore può azzerarsi. Prima di qualsiasi decisione consulta un consulente finanziario indipendente.
Un rug pull è una truffa che si verifica quando il team fondatore di un progetto crypto raccoglie fondi dalla community — attraverso il lancio di un token, la creazione di una liquidity pool su un exchange decentralizzato o una Initial Coin Offering (ICO) — e poi tira il tappeto da sotto i piedi degli investitori. In pratica, ritira tutta la liquidità disponibile e sparisce con i fondi raccolti, lasciando i possessori del token con asset privi di valore e nessuna controparte a cui rivolgersi. Il nome richiama esattamente questa immagine: qualcuno che cammina su un tappeto e se lo vede sfilare di sotto in un istante. Nei mercati decentralizzati, dove non esistono intermediari regolamentati, questo tipo di truffa è tecnicamente semplice da eseguire e straordinariamente difficile da perseguire.
Non tutti i rug pull si assomigliano. Esistono almeno tre varianti principali, con caratteristiche e tempistiche molto diverse tra loro.
Attenzione: Gli honeypot sono particolarmente insidiosi perché il prezzo del token può continuare a salire anche dopo che la truffa è operativa, attirando nuove vittime. La trappola si chiude nel momento in cui si tenta di vendere.
Alcuni casi reali aiutano a capire la portata del fenomeno.
Nota: I dati citati si riferiscono a fonti giornalistiche e dovrebbero essere verificati sulle fonti originali prima della pubblicazione. Le cifre esatte possono variare a seconda della fonte e del momento in cui il prezzo è stato rilevato.
Prima di interagire con qualsiasi progetto crypto, soprattutto su exchange decentralizzati, è utile verificare sistematicamente la presenza di questi segnali d'allarme.
Red flag principali: la presenza anche di uno solo di questi elementi dovrebbe indurre alla massima cautela.
Esistono strumenti pubblici che permettono di effettuare una due diligence minima prima di interagire con un token sconosciuto.
Importante: Nessuna di queste verifiche è infallibile. I truffatori si adattano continuamente agli strumenti di analisi, imparano a superare i controlli automatici e a simulare audit legittimi. La due diligence riduce il rischio, ma non lo elimina.
I rug pull rappresentano una delle forme di fruffa più difficili da contrastare sul piano legale e pratico.
Recupero dei fondi: quasi impossibile. I team che eseguono rug pull operano quasi sempre in forma anonima, attraverso wallet non identificabili e da giurisdizioni diverse. Anche nei rari casi in cui le autorità riescono a identificare i responsabili — come nel caso Frosties — i fondi sono già stati spostati, mixati o convertiti. Chi denuncia lo fa spesso quando ha già perso tutto. Non esistono meccanismi di rimborso automatici, né fondi di garanzia applicabili alle DeFi. La prevenzione rimane l'unico strumento realmente efficace.
Nella stragrande maggioranza dei casi, no. I fondi vengono rapidamente spostati, convertiti in altre valute o prelevati attraverso mixer che rendono impossibile il tracciamento. Alcune vittime hanno tentato vie legali, ma il percorso è lungo, costoso e raramente porta al recupero delle somme. È possibile sporgere denuncia presso la Polizia Postale in Italia, ma le probabilità di esito positivo dipendono fortemente dalla giurisdizione e dall'entità della truffa.
Strumenti come Token Sniffer o Honeypot.is analizzano il codice del contratto e simulano operazioni di acquisto e vendita per rilevare la presenza di restrizioni. Tuttavia, alcuni contratti malevoli sono scritti in modo da eludere questi controlli automatici. Un'ulteriore verifica consiste nell'osservare la cronologia delle transazioni su Etherscan: se nessun wallet risulta aver venduto il token con successo, potrebbe trattarsi di un honeypot.
Uniswap è un protocollo decentralizzato: chiunque può listare qualsiasi token senza alcuna verifica preliminare. La presenza di un token su Uniswap non implica alcuna forma di controllo, approvazione o garanzia. Il rischio di interagire con token fraudolenti su exchange decentralizzati è strutturalmente più elevato rispetto agli exchange centralizzati regolamentati, che applicano procedure di listing più rigorose.
No. Un audit riduce il rischio di vulnerabilità tecniche, ma non garantisce l'onestà del team. Esistono casi documentati di progetti che hanno ottenuto audit da aziende serie e hanno comunque eseguito un rug pull in seguito. Inoltre, circolano audit falsi o condotti da aziende create appositamente per dare un'apparenza di legittimità. Verifica sempre che il report sia pubblicato direttamente sul sito dell'azienda di auditing e che corrisponda all'indirizzo del contratto che stai analizzando.
Vuoi iniziare con le crypto in modo consapevole? Prima di aprire un conto su qualsiasi exchange, verifica che sia regolamentato MiCA e registrato OAM in Italia.
Le guide Moneyside hanno carattere educativo e informativo. Non costituiscono consulenza finanziaria, legale o fiscale ai sensi del D.Lgs. 58/1998 (TUF) e della Direttiva MiFID II. Verifica sempre le informazioni con fonti ufficiali o un professionista qualificato.