Rug pull-økonomien: hvem tjener penger når et token dør?

Det finnes et bilde folk flest bærer med seg av en rug pull: en ensom, hettekledd utvikler som skrur sammen et token på gutterommet, lokker inn noen tusen kjøpere og forsvinner med kassa før frokost. Det bildet var kanskje treffende i 2021. I 2026 er det misvisende. Den moderne rug pullen er sjelden ett menneske. Den er en forsyningskjede.

Bak nesten hvert token som kollapser med vilje, finnes det i dag en rekke separate, tilsynelatende lovlige tjenester som svindleren har kjøpt ferdig: en launchpad som støper kontrakten, et revisjonsstempel som gir tillit, influensere som leverer rekkevidde, market makers som produserer volum, og miksetjenester som vasker utbyttet. Hver enkelt bit ser uskyldig ut alene. Til sammen utgjør de en industri. Det interessante spørsmålet er derfor ikke lenger bare hvordan pengene forsvinner, men hvem som får betalt på veien.

Paradokset som forteller hele historien, sitter i tallene til Pump.fun. Plattformens PUMP-token handles i skrivende stund rundt 0,0045 dollar, med en markedsverdi nær 1,87 milliarder dollar, i størrelsesorden 17 milliarder kroner (til en dollarkurs rundt 9,2 kroner tidlig i september), ifølge CoinGecko. Samtidig konkluderte en mye omtalt studie fra analyseselskapet Solidus Labs i 2025, gjengitt av CoinDesk, med at 98,6 prosent av alle tokener som er laget på plattformen, endte som rug pulls eller ren svindel. En fabrikk der nesten alt som lages er råttent, er blitt en av de mest lønnsomme adressene i kryptomarkedet. Det er ikke en selvmotsigelse. Det er forretningsmodellen.

I denne gjennomgangen følger vi pengene ledd for ledd: fra launchpaden som støper tokenet, via de leide revisjonene og den kjøpte rekkevidden, gjennom market makerne som forfalsker volum, og helt frem til mikserne som visker ut sporet. Underveis ser vi hva hvert ledd koster, hvem som tar betalt, og hvorfor rettsvesenet har så vanskelig for å plassere skyld når svindelen er delt opp i et dusin lovlige biter. Til slutt samler vi det til en praktisk sjekkliste for norske lesere.

Fra énmannssvindel til bestillingsverk

Da de første DeFi-svindlene rullet over skjermene i 2020 og 2021, var de ofte akkurat så primitive som ryktet tilsier. Noen skrev en enkel kontrakt, satte inn litt likviditet, ropte den opp i en Telegram-gruppe og trakk pengene ut da nok folk hadde kjøpt. Verktøyene var få, og den som lagde tokenet, gjorde som regel alt selv. Fem år senere er hvert eneste ledd i den prosessen blitt en tjeneste du kan bestille.

Vil du ha et token på markedet innen ti minutter, finnes det launchpads som gjør jobben for nær null kroner. Trenger du at prosjektet ser gjennomgått og seriøst ut, finnes det både ekte revisorer med travle ordrebøker og useriøse aktører som selger et grønt stempel uten å se på koden. Mangler du oppmerksomhet, kan rekkevidde kjøpes fra influensere som poster på bestilling. Ser tokenet dødt ut fordi ingen handler det, finnes det market makers som produserer volum på liksom. Og når det hele skal avvikles, står det klart et helt maskineri for å flytte og vaske utbyttet.

• Launchpaden som støper token og likviditetspool på minutter.
• Revisjonen som selger et stempel av troverdighet.
• Rekkevidden fra betalte influensere og KOL-er.
• Likviditeten som market makers forfalsker med wash trading.
• Utvaskingen som visker ut sporet gjennom miksere og broer.

Denne oppdelingen har to konsekvenser som resten av artikkelen handler om. For det første flyttes fortjenesten: den som utløser rug pullen, sitter ikke lenger igjen med hele gevinsten alene, for en del av den tilfaller mellommennene som leverte infrastrukturen. For det andre flyttes ansvaret. Når svindelen er satt sammen av et titalls uavhengige leverandører, som hver for seg kan hevde at de bare drev et lovlig produkt, blir det vanskeligere å plassere skyld på ett menneske. Følg pengene gjennom kjeden, og du finner ikke én skyldig. Du finner en bransje.

Rug pull, hack eller pump-and-dump: hva er forskjellen?

Ordene brukes om hverandre i overskriftene, men de beskriver ulike ting, og forskjellen er avgjørende både for hvordan du oppdager dem og for hva loven kan gjøre. En rug pull er et tillitsbrudd begått av noen som har kontroll: utviklerne eller innsiderne bruker en makt de allerede har over kontrakten eller likviditeten til å trekke verdien ut under føttene på kjøperne. Det er ikke et innbrudd. Det er de som eier huset som stikker av med møblene.

Fagfolk skiller gjerne mellom tre varianter. Den harde rug pullen skjer i én bevegelse: likviditeten tømmes, en skjult mint-funksjon trykker uendelig med nye tokener, eller kontrakten er en honeypot der du kan kjøpe, men aldri selge. Den myke, eller «slow rug», er langsommere: teamet selger seg gradvis ned, slutter å utvikle, og lar prosjektet dø mens de tømmer kassa i det stille. En tredje variant er den forhåndsvarslede innsidelåsingen, der store token-mengder til teamet og investorene er avtalt å frigjøres på en bestemt dato; når de treffer markedet, oppfører de seg som en rug pull i sakte film, men alt er formelt opplyst på forhånd.

Et hack er noe helt annet: en utenforstående angriper utnytter en feil teamet ikke hadde til hensikt å ha der. Pengene ender ofte samme sted, gjennom miksere og broer, men skylden ligger utenfor prosjektet, ikke i det. En pump-and-dump kan skje uten at noen kontrollerer kontrakten i det hele tatt: en gruppe koordinerer kjøp, blåser opp prisen med hype og selger på toppen. Poenget med hele denne artikkelen er at tjenesteøkonomien vi beskriver, gjør alle tre lettere å sette i scene, fordi rekkevidde, likviditet og troverdighet nå kan kjøpes ferdig.

Myten om «2,8 milliarder»: hvorfor de fleste rugs er små

Før vi følger pengene, må vi rydde opp i et tall som spøker overalt. En rekke nettsteder gjentar at rug pulls «stjal 2,8 milliarder dollar i 2025», og tilskriver gjerne tallet analyseselskapet Chainalysis. Problemet er at ingen primærkilde fra Chainalysis inneholder den setningen. Selskapets egen rapport for 2026 bryter ikke ut en egen dollarpost for rug pulls i det hele tatt.

Det «2,8 milliarder» nesten helt sikkert er, er en forvrengning av et helt annet tall: Solidus Labs fant at medianverdien i en rug pull var rundt 2 800 dollar, altså i underkant av 26 000 kroner, ifølge den samme CoinDesk-omtalen. Ett komma, tre nuller og en tapt sammenheng skiller de to. Og skillet er ikke pedantisk, for det endrer hele bildet. De fleste rug pulls er små. Skaden i markedet kommer av volum, hundretusenvis av bittesmå svindler, pluss noen sjeldne gigantsaker, ikke av at hvert enkelt token tømmer investorene for milliarder.

De tallene som faktisk står i Chainalysis’ rapport, er likevel dystre nok: rundt 17 milliarder dollar forsvant i svindel og bedrageri i kryptomarkedet i 2025, og den gjennomsnittlige svindelutbetalingen steg fra 782 til 2 764 dollar på ett år. For tjenesteøkonomien er nettopp den lille medianen poenget. En bransje som tjener noen få tusen dollar per svindel, kan bare overleve hvis kostnaden ved å sette den opp er nær null og alt kan gjentas i industriell skala. Det er akkurat det launchpaden leverer.

Fabrikkgulvet: launchpaden som trykker tokener på samlebånd

Det første leddet i kjeden er selve token-fabrikken. Pump.fun på Solana gjorde det trivielt: hvem som helst kan lage et token på sekunder, uten teknisk kunnskap og for tilnærmet ingenting. Resultatet er en flom. Siden lanseringen i januar 2024 er det opprettet flere millioner tokener på plattformen, og den nevnte studien fra Solidus Labs, gjengitt av CoinDesk, fant at 98,6 prosent av dem endte som rug pulls eller pump-and-dumps. Bare rundt 97 000 av dem holdt noen gang mer enn 1 000 dollar i likviditet.

Pump.fun avviste tallene den gangen. Selskapets talsmann Troy Gravitt svarte kort at «What Solidus Labs lacks is a basic understanding of memecoins», altså at kritikerne ikke forstår at et hav av verdiløse tokener er memecoin-kulturens natur, ikke et bevis på svindel. Uansett hvem som har rett i den debatten, står det økonomiske faktumet igjen: launchpaden selv gjør aldri en rug pull. Den tar en avgift av alle som gjør det.

Og den avgiften er blitt stor. Mens 98,6 prosent av tokenene råtner, bokfører plattformen rekordinntekter; i perioder har de ukentlige avgiftene passert det etablerte derivatbørser tjener, og PUMP-tokenets markedsverdi på rundt 1,87 milliarder dollar gjør den til et av de mest verdifulle prosjektene i sektoren. Fabrikken som produserer nesten utelukkende skrap, er altså en av de mest lønnsomme bedriftene i bransjen.

Modellen ligner en bomstasjon. Launchpaden bryr seg ikke om hvorvidt den enkelte bilisten kommer trygt frem, bare om at nok kjøretøy passerer. Hvert token som opprettes, hver handel som gjennomføres og hver graduering til en større børs utløser en liten avgift, og med millioner av tokener blir summen enorm selv når snittet per token er nær null. Det forklarer hvorfor plattformen kan blomstre mens produktet den selger, statistisk sett er verdiløst: inntekten kommer fra trafikken, ikke fra kvaliteten.

Et kart over token-fabrikkene

Det er lett å tro at dette er et Solana-fenomen, men modellen har spredt seg til flere kjeder, hver med sine egne avgifter og sin egen DEX å «graduere» til når et token blir stort nok. Oversikten fra Coin Bureau viser hvor likt maskineriet er satt opp på tvers av økosystemene.

Detaljene varierer, men strukturen er den samme overalt: opprettelse koster nesten ingenting, en «bonding curve» styrer prisen mens tokenet er ungt, og når det når en terskel, flyttes likviditeten over til en større børs. For en svindler betyr det at inngangskostnaden er triviell uansett kjede, og at et mislykket forsøk bare kan gjentas på neste plattform. For mellommennene betyr det en jevn strøm av avgifter uavhengig av om det enkelte tokenet lever eller dør.

Revisjon til leie: når et grønt stempel kan bestilles

Neste ledd selger troverdighet. En smartkontraktrevisjon er i utgangspunktet noe nyttig: uavhengige sikkerhetseksperter går gjennom koden og peker på svakheter. Problemet oppstår når stemplet, ikke innholdet, blir varen. Noen prosjekter viser til en revisjon uten å nevne at rapporten var full av advarsler; andre viser til revisjoner som aldri fant sted, med forfalskede logoer fra kjente firmaer.

Selv en ekte revisjon fra et anerkjent firma er ingen garanti. Det tydeligste eksempelet er Swaprum, et DeFi-prosjekt på Arbitrum som forsvant med rundt tre millioner dollar i mai 2023 etter å ha vært revidert av CertiK, ifølge DL News. Utviklerne hadde bevisst latt en oppgraderingsfunksjon stå igjen i kontrakten, og brukte den senere til å tømme midlene til de over 22 000 lommebøkene som holdt tokenet. CertiKs direktør for sikkerhetsoperasjoner Hugh Brooks oppsummerte grensen for hva et slikt dokument egentlig sier: «an audit is not a stamp of approval or a ‘pass’ or fail, it’s an objective review of a project’s code.» Med andre ord: en revisjon vurderer koden på ett tidspunkt, ikke teamets hensikter, og en oppgraderbar kontrakt kan endres i ettertid.

Enda mer utbredt enn den mangelfulle ekte revisjonen er den oppdiktede. I flere kollapsede prosjekter har markedsføringen vist til revisjoner fra kjente sikkerhetsfirmaer som senere har avvist at de noen gang gjennomgikk koden. For en kjøper som ikke klikker seg inn på selve rapporten, er en forfalsket logo like betryggende som en ekte, og den koster svindleren ingenting å lage. Derfor er ikke spørsmålet «er prosjektet revidert», men «av hvem, når, med hvilket resultat, og kan jeg finne rapporten hos revisoren selv».

Det gjør «revidert» til et av de farligste ordene i en token-beskrivelse, fordi det gir en falsk trygghet som svindleren har betalt for å plassere der. Nettopp derfor har bransjen begynt å svare med automatiserte, kontinuerlige kontroller heller enn engangsstempler, en utvikling vi har sett nærmere på i saken om Halborn og kryptoens nye sikkerhetskappløp. Lærdommen for en vanlig kjøper er enkel: les selve rapporten, sjekk hvem som skrev den, og se om kontrakten fortsatt kan endres av utvikleren.

Rekkevidde til leie: kjendiser, KOL-er og betalt hype

Et token uten oppmerksomhet dør stille. Derfor er tredje ledd i kjeden rekkevidde, og den kan kjøpes like enkelt som alt annet. På kryptospråket kalles de innflytelsesrike stemmene KOL-er (key opinion leaders); i praksis er det alt fra anonyme Telegram-kanaler med betalte «calls» til verdenskjendiser.

Den mest kjente saken satte prislappen svart på hvitt. Kim Kardashian ble i 2022 ilagt et forlik på 1,26 millioner dollar, rundt 11,6 millioner kroner, av det amerikanske finanstilsynet SEC for å ha promotert kryptotokenet EthereumMax på Instagram uten å opplyse at hun var betalt for det, ifølge SEC. Betalingen for det ene innlegget var 250 000 dollar. Forliket besto av rundt 260 000 dollar i tilbakebetaling og en bot på én million dollar, og hun gikk med på ikke å promotere kryptoaktiva på tre år. Saken handlet ikke om at tokenet var en rug pull, men den blottla mekanismen: udeklarert, betalt rekkevidde som produserer etterspørsel på bestilling.

Den samme mekanismen driver de langt billigere KOL-pakkene som selges i det små hver dag: en koordinert bølge av innlegg som får et verdiløst token til å se ut som en bevegelse. For kjøperen ser det ut som organisk begeistring. For svindleren er det en utgiftspost, og en av de mest kostnadseffektive i hele oppsettet.

Likviditet på liksom: market makers og wash trading

Et token som ingen handler, ser mistenkelig ut. Fjerde ledd løser dette ved å produsere handel som ikke er ekte. Wash trading vil si at de samme aktørene kjøper og selger til seg selv gjennom lenkede lommebøker, slik at volumet og prisdiagrammet ser levende ut for utenforstående. Kunstig volum er blitt en tjeneste med egne leverandører og egne prislister.

Amerikanske myndigheter satte et navn på bransjen i 2026. I «Operation Token Mirrors» siktet justisdepartementet ti personer på tvers av fire market maker-firmaer for å ha manipulert kryptomarkeder, etter en skjult operasjon der FBI selv opprettet et token for å lokke tjenestene frem, ifølge TRM Labs. I ett av firmaene viste stikkprøver at 99 prosent av transaksjonene var handel mellom egne, koblede lommebøker, til en pris rundt 5 000 dollar i måneden per kunde. Volumet var altså kjøpt, ikke ekte.

Falsk volum er farligere enn det ser ut til, fordi det mater alt annet. Rangeringssider løfter tokener med høy omsetning, prisorakler og aggregatorer henter tall fra de samme markedene, og nye kjøpere leser et livlig diagram som et tegn på at noen andre allerede har gjort undersøkelsene. Ett kjøpt lag av aktivitet kan dermed utløse en kaskade av ekte penger fra folk som tror de følger mengden. Det er nettopp derfor tjenesten selges: den kunstige likviditeten er ikke målet, men lokkematen.

Fenomenet er ikke begrenset til memecoins. Vi har sett den samme dynamikken i NFT-markedene, der oppblåste gulvpriser og vasket volum har holdt liv i samlinger lenge etter at den reelle interessen forsvant, noe vi gikk grundig gjennom i saken om DeGods og gulvprisen ingen kan selge til. Fellesnevneren er den samme: når et marked er tynt, er det billig å forfalske aktivitet, og et forfalsket diagram er ofte alt som skal til for å overbevise neste kjøper.

Utgangen: slik forsvinner pengene ut av kjeden

Når svindelen er gjennomført, gjenstår siste ledd: å få pengene ut uten å bli sporet. Her møter forsyningskjeden sin egen infrastruktur, for utvaskingsverktøyene er de samme som brukes etter et rent hack. Et ferskt eksempel er Hypervault, et avkastningsprosjekt på Hyperliquids HyperEVM som forsvant med rundt 3,6 millioner dollar høsten 2025, ifølge The Block. Midlene ble sendt over en bro til Ethereum og deretter presset gjennom mikseren Tornado Cash, mens nettsiden ble tatt ned og X-kontoen slettet. Sikkerhetsselskapet PeckShield varslet om saken, men klarte ikke å følge sporet lenger enn til innskuddet i mikseren.

Det er her kjedeanalyse støter på sin grense. Blokkjeden er åpen, og den kan vise nøyaktig hva som skjedde og hvordan, men den sier sjelden hvem som står bak når sporet forsvinner inn i en mikser eller hopper mellom kjeder via broer. Vi har fulgt den delen av reisen i detalj i artikkelen om hvor de stjålne kryptomilliardene tar veien, og konklusjonen er ubehagelig lik hver gang: teknisk sett er alt synlig, men identiteten bak lommeboken er det ikke.

Verdt å merke seg er også hvordan ofrene mister kontrollen i utgangspunktet. Ved en honeypot eller en ondsinnet godkjenning er det ikke uvanlig at brukeren selv signerer bort tilgangen sin uten å forstå det, fordi signeringsvinduet i lommeboken viser en uleselig transaksjon. Vi har skrevet om nettopp denne fellen i saken om EIP-7702 og blindsignering: den dagen du godkjenner noe du ikke kan lese, har du kanskje allerede gitt fra deg nøklene.

Regningen for en ferdig rug pull

Setter vi de fem leddene sammen, får vi noe som ligner en faktura. Tallene under er omtrentlige og hentet fra de sakene vi allerede har gjennomgått, men de gir et bilde av hvor lite det koster å bygge en troverdig fasade, og hvor spredt fortjenesten er mellom leverandørene.

To ting er slående. Det ene er hvor billig hele stabelen er sammenlignet med hva et vellykket forsøk kan gi. Det andre er hvor godt fordelt ansvaret blir: launchpaden solgte bare et verktøy, revisoren skrev bare en rapport, influenseren postet bare et innlegg, market makeren leverte bare likviditet. Hver enkelt kan hevde uskyld. Det er nettopp denne oppdelte ansvarsstrukturen som gjør tjenesteøkonomien så vanskelig å slå ned på.

Denne asymmetrien er også grunnen til at problemet ikke forsvinner. Å bygge fasaden koster lite og kan gjentas i det uendelige; å etterforske og straffeforfølge den koster mye og tar år. Slår én kjede eller ett land ned på tjenestene, flytter de bare til neste, for launchpads, market makers og miksere finnes over hele verden og bryr seg lite om landegrenser. Så lenge oppsiden er stor, nedsiden liten og ansvaret pulverisert mellom mange lovlige leverandører, vil forsyningskjeden bestå, uansett hvor mange enkeltsaker som ender i retten.

LIBRA: da rekkevidden nådde presidentkontoret

Ingen sak viser bedre hva «rekkevidde til leie» kan bli i sin ytterste konsekvens enn LIBRA. Den 14. februar 2025 delte Argentinas president Javier Milei en lenke til tokenet på X. Prisen steg over 2 000 prosent på rundt 40 minutter, markedsverdien toppet nær 4,4 milliarder dollar, og innsiderne tok ut anslagsvis 87 millioner dollar, i størrelsesorden 800 millioner kroner, allerede den første dagen før prisen kollapset, ifølge CoinDesk. Milei slettet innlegget etterpå og hevdet han ikke kjente detaljene.

Det som gjør LIBRA så illustrerende, er ikke størrelsen alene, men at «influenseren» var et statsoverhode. Rekkevidden det ga, kunne ingen betalt KOL matche, og den demonstrerte at hele modellen skalerer: jo større plattform den lånte troverdigheten kommer fra, desto større blir fangsten. I 2026 fortsatte de rettslige etterspillene i flere land, og nye opplysninger knyttet presidenten tettere til aktørene bak tokenet. Enten Milei var medskyldig eller bare naiv, står lærdommen igjen: den dyreste og mest effektive varen i hele forsyningskjeden er andres tillit.

Derfor saksøker loven mellommennene, ikke spøkelsene

Når svindleren selv er anonym og utenfor rekkevidde, retter rettsvesenet seg mot dem det faktisk kan finne: de synlige, betalte mellommennene. Det tydeligste eksempelet er søksmålet mot Pump.fun. Det som startet som en klage fra en enkelt investor, er utvidet til et gruppesøksmål som også navngir Solana Labs, Solana-stiftelsen, flere ledere og rundt 25 anonyme KOL-er, med krav bygget på både verdipapirlovgivning og den amerikanske RICO-loven mot organisert kriminalitet, ifølge Decrypt. Klassen anslås til rundt 5,5 milliarder dollar. Saken var fortsatt på avvisningsstadiet tidlig i september 2026, og påstandene er ikke bevist.

Samtidig sliter myndighetene med selve tokenet. Et notat fra staben i det amerikanske finanstilsynet SEC slo i februar 2025 fast at de fleste memecoins neppe er verdipapirer, noe som fjerner mye av opplysningsplikten som ellers ville gjelde. SEC-kommisjonær Hester Peirce oppsummerte hullet slik: «Many of the memecoins that are out there probably do not have a home in the SEC under our current set of regulations», ifølge The Block. Kommisjonær Caroline Crenshaw var uenig og advarte om at et slikt syn kan bli et veikart for dem som vil unngå tilsyn ved å kalle seg en memecoin.

Det europeiske regelverket har det samme blinde punktet. MiCA unntar kryptoeiendeler uten en identifiserbar utsteder fra de mest omfattende opplysningskravene, selv om tjenestetilbyderne som håndterer dem, fortsatt er omfattet. I praksis betyr det at en anonymt lansert memecoin faller mellom stolene på begge sider av Atlanteren: verken det amerikanske eller det europeiske regelverket biter på selve tokenet, bare på de synlige aktørene rundt det. Det er den samme logikken som gjør at søksmålene retter seg mot Solana-selskaper og influensere heller enn mot den anonyme lommeboken som utløste kollapsen.

Resultatet er et lovverk som treffer skjevt. Hvis tokenet verken har en utsteder eller regnes som et verdipapir, biter ikke opplysningsreglene, og forfølgelsen må skje via omveier: RICO, regler mot udeklarert promotering, og siktelser mot market makers. Loven når altså leddene i kjeden, men sjelden det anonyme spøkelset som utløste selve rug pullen.

Finanstilsynet, Skatteetaten og MiCA: hva gjelder i Norge?

For en norsk leser er det verdt å vite hvor lite av dette maskineriet det norske regelverket faktisk rekker. MiCA, EUs regelverk for kryptoeiendeler, er innlemmet i EØS-avtalen og forvaltes her av Finanstilsynet, som fører tilsyn med tjenestetilbyderne (børser, vekslere og oppbevaringstjenester), ikke med de enkelte memecoinene. Har et token ingen identifiserbar utsteder, faller det utenfor mye av opplysningsplikten i MiCA på samme måte som i det amerikanske systemet, mens en norsk plattform som tilbyr handel i det, fortsatt er underlagt tilsyn.

Finanstilsynet er tydelig på risikoen. På sine sider om svindel med kryptovaluta advarer tilsynet om at det er svært vanskelig å få tilbake penger som er overført til svindlere via kryptoplattformer, og understreker at uoppfordrede tilbud om kryptoinvesteringer på telefon i praksis alltid er svindel. Det er en nøktern påminnelse om at når pengene først har passert utgangen vi beskrev over, er sjansen for å se dem igjen liten.

På skattesiden gjelder alminnelige regler: gevinst på kryptoeiendeler er skattepliktig og skal føres i skattemeldingen, og et reelt, konstaterbart tap kan etter omstendighetene være fradragsberettiget. Grensen mellom et fradragsberettiget tap og et beløp som rett og slett er svindlet bort, kan være vanskelig, og her bør man søke konkret veiledning fra Skatteetaten heller enn å stole på tommelfingerregler. Poenget for denne artikkelen er at det norske sikkerhetsnettet er tynt: ingen erstatningsordning dekker tapte kryptomidler, og tilsynets fremste råd er å unngå fellen i første omgang.

Slik gjenkjenner du en betalt fasade

Hvis rug pullen er satt sammen av kjøpte tjenester, kan du snu det til din fordel: hver tjeneste etterlater et spor. Tabellen under samler de vanligste tegnene på at troverdigheten er betalt for, og hvor du kan sjekke selv før du legger inn en krone.

Den siste og viktigste forsvarslinjen er likevel signeringsvinduet i din egen lommebok. Uansett hvor overbevisende fasaden er, kan ingen tømme lommeboken din uten at du godkjenner en transaksjon, og altfor mange godkjenninger signeres blindt. Kampen om å gjøre nettopp dette vinduet leselig, slik at du ser hva du faktisk sier ja til, har vi fulgt i saken om kampen om signeringsskjermen. Å lese før du signerer er det ene grepet som stopper de fleste angrep, uansett hvor mange betalte lag av troverdighet som ligger foran.

Ofte stilte spørsmål

Hva er forskjellen på en rug pull og et hack?

En rug pull begås av noen som allerede har kontroll over prosjektet, som utviklere eller innsidere, og som bruker den kontrollen til å trekke verdien ut fra kjøperne. Et hack er et angrep utenfra der en angriper utnytter en feil teamet ikke hadde til hensikt å ha. Pengene ender ofte samme sted, men skylden ligger ulikt: en rug pull er en forbrytelse begått av prosjektet, et hack en forbrytelse mot det.

Er det ulovlig å lage en memecoin i Norge?

Å lage et token er ikke i seg selv ulovlig, men å svindle folk er det, uansett innpakning. Mange memecoins har verken en identifiserbar utsteder eller regnes som verdipapirer, og faller dermed utenfor mye av opplysningsplikten i MiCA. Finanstilsynet fører tilsyn med plattformene som tilbyr handel, ikke med hvert enkelt token, så det juridiske ansvaret havner ofte hos mellommennene heller enn hos den anonyme skaperen.

Betyr en revisjon at et prosjekt er trygt?

Nei. En revisjon er en gjennomgang av koden på et gitt tidspunkt, ikke en garanti for teamets hensikter. Prosjekter med ekte revisjoner har likevel gjennomført rug pulls, blant annet fordi de lot en oppgraderbar kontrakt stå åpen slik at reglene kunne endres i ettertid. Les alltid selve rapporten, sjekk hvem som skrev den, og undersøk om kontrakten fortsatt kan endres av utvikleren.

Kan jeg få tilbake penger jeg taper i en rug pull?

Som regel ikke. Finanstilsynet er tydelig på at det er svært vanskelig å få tilbake penger som er overført til svindlere via kryptoplattformer, og ingen norsk erstatningsordning dekker tapte kryptomidler. Anmeld forholdet til politiet uansett, vær ekstra på vakt mot svindlere som lover å hente de tapte pengene tilbake mot et gebyr, og ta vare på all dokumentasjon.

Hvordan vet jeg om handelsvolumet på et token er ekte?

Sammenlign volumet med antallet unike lommebøker som faktisk handler. Ekte aktivitet kommer fra mange ulike adresser, mens wash trading kommer fra noen få lenkede lommebøker som handler frem og tilbake med seg selv. Et jevnt, høyt volum døgnet rundt fra svært få adresser er et klassisk tegn på kunstig likviditet, og det kan du kontrollere gratis i en blokkutforsker.

Anneke de Vries dekker sikkerhet, svindel og exit-svindel i kryptomarkedene for HOGE Wire.