GameFi rug pull i 2026: når spillet var åten

Våren 2026 kom analyseselskapet Caladan med et tall som burde få enhver som eier et spilltoken til å stoppe opp: av mer enn 3 200 blokkjedespill lansert siden 2020, er rundt 93 prosent nå i praksis døde. Sektoren trakk til seg i størrelsesorden 15 milliarder dollar på topp, men spillerne dukket aldri opp, og anslagsvis 11 milliarder dollar er borte. Flaggskipet Axie Infinity gikk fra rundt 2,7 millioner daglige brukere til omtrent 5 500, ifølge tallene CoinDesk gjenga.

Det er nettopp denne kirkegården som gjør GameFi til et ideelt gjemmested for svindel. Når nesten hvert eneste kryptospill dør uansett, blir det nesten umulig å se forskjell på et prosjekt som feilet ærlig og et prosjekt som var ment å tømmes fra dag én. En rug pull, altså at teamet trekker ut all verdi og forsvinner, ser til forveksling ut som nok en mislykket lansering. Den forskjellen, mellom tyveri og fiasko, er hele poenget i denne artikkelen.

HOGE Wire har tidligere dekket rug pull som mekanisme, som rettsoppgjør og som en hel tjenesteøkonomi. Her tar vi for oss varianten som treffer spillere direkte: GameFi rug pull, der selve spillet er åten. Et lovende spill er den perfekte innpakningen rundt et token- eller NFT-salg, fordi det gir en grunn til å kjøpe som ikke bare handler om ren spekulasjon. Vi går gjennom de fire lagene som kan trekkes vekk, de mest lærerike sakene, hva loven faktisk klarer å ta etter en fersk amerikansk dom, og hva som gjelder for norske spillere under Finanstilsynet og MiCA. Alle dollartall er omregnet til kroner med en dollarkurs rundt 9,5 i slutten av september 2026.

Hva en GameFi rug pull er, og hva den ikke er

En rug pull er ikke det samme som et hack, og heller ikke det samme som at et spill går konkurs. Skillet er verdt å holde fast ved, for det avgjør både hvem som har skylden og hva politiet og domstolene kan gjøre etterpå.

Ved et hack utnytter en angriper en svakhet i koden eller i nøkkelhåndteringen mot teamets vilje; pengene forsvinner, men de som lagde prosjektet er i utgangspunktet ofre selv. Ved en prismanipulasjon eller et orakelangrep forfalskes datagrunnlaget en protokoll stoler på, et tema vi har sett nærmere på i gjennomgangen av orakel-angrepene som forfalsker prisrapporten. Ved en rug pull er det derimot teamet selv som er angriperen: de bygger noe som ser legitimt ut, samler inn penger eller likviditet, og trekker den ut når oppmerksomheten er på topp.

I GameFi kompliseres bildet av en fjerde kategori: det ærlige sammenbruddet. Et play-to-earn-spill kan kollapse fordi tokenøkonomien var dårlig konstruert, ikke fordi noen stakk av med kassen. Utfallet for spilleren er det samme, verdiene er borte, men intensjonen er en helt annen. En GameFi rug pull er dermed en undergruppe: et spillprosjekt der teamet med vilje bruker spillet, tokenet eller NFT-samlingen som lokkemat for å hente ut verdi de aldri hadde tenkt å gi noe tilbake for.

Grensen er glidende, og den utnyttes bevisst. Et team som planlegger å forsvinne, snakker akkurat som et team som mener alvor: samme veikart, samme Discord-entusiasme, samme løfter om en beta «rett rundt hjørnet». Forskjellen viser seg først i handlingene når pengene er inne, og ofte er det da for sent å reagere.

Derfor er spill den perfekte innpakningen

Rene memecoins har et troverdighetsproblem: alle vet at det ikke ligger noe bak. Et spill løser det problemet for svindleren. Plutselig finnes det en «grunn» til at tokenet skal stige, nemlig at det skal brukes i et spill mange vil ønske å spille, og at etterspørselen bare vil vokse etter hvert som flere laster ned.

Spillpublikummet gjør innpakningen enda mer effektiv. Gamere er vant til forhåndsbestillinger, sesongkort og lootbokser, altså til å betale før de får noe. De er samlet i tette fellesskap på Discord og X der hype sprer seg raskt, og mange er unge med begrenset erfaring med finansielle feller. Et løfte om at man kan «spille og tjene» treffer midt i en kultur som allerede bruker mange timer i uken på spill uansett.

Til dette kommer at et spill kan holdes «under utvikling» nesten uendelig. En DeFi-protokoll må levere en fungerende kontrakt for å ta imot penger. Et spill kan selge tokens og NFT-er i måneder, mot løfter om en verden som stadig er noen oppdateringer unna. Selve utviklingstiden blir et alibi: så lenge det finnes en trailer, en litt polert teaser og et veikart, ser prosjektet levende ut, også når ingenting egentlig bygges. For en svindler er det ideelt, fordi det gir tid til å samle inn og forsvinne før noen kan kreve å faktisk få spille.

De fire lagene som kan trekkes vekk

Et GameFi-prosjekt består sjelden av bare ett aktivum. Det stables gjerne i flere lag, og hvert lag er et eget mulig utgangspunkt for en rug pull. Å forstå lagene er nøkkelen til å se hvor pengene faktisk kan forsvinne, for et prosjekt kan være ærlig i ett lag og likevel tømmes i et annet.

Det første laget er spilltokenet, en ERC-20- eller SPL-token med en likviditetspool på en desentralisert børs. Det andre er NFT-samlingen: karakterer, land, våpen eller «egg» som selges i en mint. Det tredje er selve spilløkonomien, altså belønningstokenet spillerne tjener mens de spiller. Det fjerde er organisasjonslaget rundt: gilder, stipendordninger og statskasser som holder tokens og NFT-er på vegne av mange. Tabellen under viser hvordan hvert lag kan misbrukes.

Poenget med lagdelingen er at et prosjekt kan se trygt ut på ett nivå og likevel være dødelig på et annet. Likviditeten kan være låst, men mint-inntekten kan gå rett i en privat lommebok. Kontrakten kan være ren, men statskassen kan styres av en enkelt person uten innsyn. Når du vurderer et spilltoken, må du derfor spørre om hvert lag hver for seg, ikke nøye deg med at «kontrakten er revidert».

Honeypot-tokenet: da du kunne kjøpe, men aldri selge

Den mest ondsinnede varianten på tokenlaget er honeypotten. Her er kontrakten skrevet slik at hvem som helst kan kjøpe, men bare utvalgte adresser kan selge. Prisen ser ut til å stige jevnt og fint, fordi ingen av de vanlige kjøperne får solgt og presset den ned. Så trekker teamet ut likviditeten, og alle sitter igjen med tokens de aldri kunne bli kvitt.

Skoleeksempelet er fortsatt Squid Game-tokenet fra høsten 2021. Det red på suksessen til Netflix-serien, uten noen tilknytning til den, og lovet et «play-to-earn»-spill. På under en uke steg det med astronomiske prosenter til over 2 800 dollar per token, før det 1. november 2021 kollapset 99,99 prosent til tilnærmet null da utviklerne trakk ut likviditeten og forsvant med rundt 3,4 millioner dollar (i overkant av 30 millioner kroner). Kjøperne oppdaget for sent at kontrakten hadde en skjult mekanisme som blokkerte salg, meldte Washington Post.

Det som gjør honeypotten særlig farlig i GameFi, er at spill gir en naturlig unnskyldning for salgsbegrensninger. En vanlig token med «du kan ikke selge» er åpenbart mistenkelig. Men i et spill kan teamet pakke inn den samme fellen som spillmekanikk: du må «eie et bestemt in-game-objekt», «nå et visst nivå» eller «stake tokenet i et visst antall dager» før du får lov til å selge. Alt dette høres ut som balansering av spilløkonomien, men i praksis er det den samme sperren, bare med en fortelling rundt. Kjøperen godtar noe hun aldri ville godtatt for en ren finansiell token, fordi den er kledd som en spillregel.

Den tekniske lærdommen er enkel, men lett å glemme i hypen: kjøpsordre som går gjennom, sier ingenting om at salgsordre vil gå gjennom. Verktøy som simulerer et salg før du kjøper, kommer vi tilbake til, men den beste vanen er å behandle enhver salgsbegrensning som er begrunnet med «spillbalanse», som et rødt flagg til det motsatte er bevist.

Mint-og-forsvinn: NFT-spillet som aldri kom

På NFT-laget er den klassiske fellen enklere og mer brutal: selg en samling mot løfte om et kommende spill, og forsvinn med inntekten før noen linje kode er skrevet. Fordi en NFT-mint kan hente inn millioner på minutter, trenger ikke svindleren engang å vedlikeholde en pris over tid. Det holder å åpne salget, ta imot, og slette kontoene.

Frosties er malen. I januar 2022 solgte to tjueåringer, Ethan Nguyen og Andre Llacuna, en samling på 8 888 iskrem-NFT-er som var utsolgt på under en time, og lovet kjøperne et tilhørende metaverse-spill, avlsmekanikker og andre goder. Under en time etter salget la de ned nettsiden og en Discord med 25 000 medlemmer, flyttet rundt 1,3 millioner dollar (omtrent 12 millioner kroner) til egne lommebøker, og trakk seg ut. Det spesielle er hva som skjedde etterpå: amerikanske myndigheter siktet begge for sammensvergelse om wire fraud og hvitvasking, med en strafferamme på opptil 20 år, og fant at duoen allerede var i gang med et nytt prosjekt kalt Embers, ifølge CoinDesk.

Evolved Apes er den samme historien med et spillskall rundt. Samlingen på 10 000 NFT-er lovet et kampspill der apene dine skulle slåss og øke i verdi. En uke etter lanseringen i oktober 2021 forsvant den anonyme utvikleren, kjent bare som «Evil Ape», med 798 ether (den gang rundt 2,7 millioner dollar, i overkant av 25 millioner kroner). Kampspillet ble aldri laget. Fellesskapet forsøkte å redde ansiktet ved å starte «Fight Back Apes», og i juni 2024 tiltalte påtalemyndigheten i New York tre personer, Mohamed-Amin Atcha, Mohamed Rilaz Waleedh og Daood Hassan, for wire fraud og hvitvasking i forbindelse med saken, meldte CoinDesk.

Begge sakene minner om at NFT-laget ikke lever i et vakuum. Kunsten byttes videre på markedsplasser lenge etter at teamet er borte, og andrehåndsmarkedet blir stedet der de siste kjøperne ofte gjør sine tap; vi har sett på hvordan verdien i en marktplass overlever eller kollapser når grunnleggerne trekker seg ut, i saken om Tensor uten grunnleggere. En NFT-samling uten et fungerende spill bak seg er ikke automatisk en svindel, men den har mistet den ene tingen som skulle gi den varig verdi.

CryptoZoo og «roadmap-rug»-en: når spillet aldri lanseres

Ikke alle GameFi-rug er raske. En mer utspekulert variant er den vi kan kalle veikart-rug eller «soft rug»: teamet forsvinner ikke over natten, men slutter gradvis å levere, mens verdien lekker ut i det stille. Spillet er alltid noen måneder unna, oppdateringene blir sjeldnere, og til slutt er det bare et token og en stille Discord igjen.

Det mest omtalte eksempelet er CryptoZoo, spillprosjektet influenseren Logan Paul lanserte i 2021. Ideen var å kjøpe NFT-«egg» og dyr, klekke hybrider og tjene ZOO-tokenet i et spill som skulle bli «et morsomt spill som gjør deg rik». Det spillbare spillet kom aldri i noen ferdig form. Etter en granskning fra YouTube-etterforskeren Coffeezilla i desember 2022, som kalte prosjektet en mulig rug pull, gikk Paul i januar 2024 med på å kjøpe tilbake NFT-er: han forpliktet seg til over 2,3 millioner dollar (rundt 22 millioner kroner) for å kjøpe tilbake hvert grunn-egg og grunn-dyr til 0,1 ETH, men ikke ZOO-tokenet, mot at deltakerne ga avkall på videre krav. Ifølge Cointelegraph var rundt 80 prosent av kravene behandlet og omtrent 1,9 millioner dollar utbetalt sommeren 2025.

CryptoZoo illustrerer det juridisk vanskeligste ved veikart-rug: skillet mellom svindel og et prosjekt som bare feilet. Forsøkene på å holde Paul personlig ansvarlig for tapene førte i liten grad frem i retten, fordi salgsprat og optimistiske løfter er vanskelige å omgjøre til bevist bedrageri. Det er en lærdom som går igjen: en tom Discord og et spill som aldri kom, er ikke i seg selv nok til en fellende dom, selv når resultatet for kjøperen er identisk med en rug pull. Nettopp derfor er veikart-rug så attraktiv for den som vil operere i gråsonen.

Play-to-earn-dødsspiralen: rug eller kollaps?

Spilløkonomilaget rommer den mest omdiskuterte formen for GameFi-tap, og også den som sjeldnest er en ekte rug pull. Play-to-earn fungerer bare så lenge nye spillere strømmer inn. Modellen er enkel: du kjøper tokens eller NFT-er for å komme i gang, spiller for å tjene et belønningstoken, og selger belønningen videre til neste spiller i køen. Så lenge flere kommer til, stiger alt. Når tilstrømmingen stopper, snur løkken, og belønningstokenet du har brukt timer på å tjene, faller mot null.

Axie Infinity er lærebokeksempelet. Belønningstokenet ble utstedt nesten uten tak, slik at tilbudet vokste raskere enn etterspørselen, og prisen kollapset da veksten i nye spillere stoppet. Dette var ikke en rug pull; studioet bak fortsatte å drive, og problemet lå i selve konstruksjonen av tokenøkonomien. Men for spilleren i Manila eller Lagos som hadde regnet med en inntekt, var utfallet det samme som ved en svindel. Caladan-tallene om at 93 prosent av sektoren er død, handler i stor grad om nettopp slike dødsspiraler, ikke om kriminelle exit-svindler.

Her ligger den vanskeligste vurderingen for både etterforskere og investorer: å bevise hensikt. Var det en dårlig konstruert økonomi, eller var kollapsen planlagt fra start med teamet som selger på toppen? Ofte er svaret umulig å fastslå med sikkerhet, og debatten blir en skyldkrig der alle peker på hverandre. Vi har sett hvor betent et slikt oppgjør kan bli, i saken om den omstridte obduksjonen og kryptoens skyldkrig etter hacket. På kjeden ser en planlagt exit og en ærlig fiasko nesten identiske ut.

Belønningstokenet er heller ikke det eneste som kan tape verdi. Mange spill- og samlingsprosjekter har et eget «nytte»-token knyttet til økosystemet, og verdien av det står og faller med at folk faktisk deltar. Da DeGods flyttet og nedgraderte deler av tilbudet sitt, ble spørsmålet om hva et slikt token egentlig er verdt, satt på spissen; vi gikk gjennom den saken i artikkelen om DeGods og kunsten som aldri fikk stå i ro. Poenget for spilleren er at et token hvis eneste verdi er «du kan bruke det i spillet», er verdiløst i det øyeblikket spillet mister spillerne, uansett om teamet var ærlig eller ikke.

Rundt dette laget vokste det også frem en egen organisasjonsform: gildene og stipendmodellen. Et gilde kjøper dyre spill-NFT-er og låner dem ut til «stipendiater» som spiller og deler inntekten. Så lenge belønningstokenet stiger, ser det ut som en vinn-vinn. Men modellen har samme svakhet som resten: den avhenger av nye deltakere, og den samler verdiene i en felles kasse styrt av noen få. Faller belønningstokenet, sitter stipendiatene igjen uten inntekt, og forvalter kassen seg selv, kan hele beholdningen forsvinne i ett grep. Gildetokens har generelt fulgt play-to-earn-tokenene nedover, og flere handles i dag til en brøkdel av toppnivået.

Token-fabrikkene: launchpads for spilltokens

Mye av det som markedsføres som spilltokens, fødes i dag på lanseringsplattformer som gjør det trivielt å opprette en token på minutter. Den mest kjente er Pump.fun på Solana, der hvem som helst kan lage en token nesten gratis og få en likviditetspool på plass umiddelbart. Volumet er enormt, og det samme er svinnet.

Analysefirmaet Solidus Labs fant at 98,6 prosent av tokenene på Pump.fun endte som rug pulls eller ren svindel, av mer enn 7 millioner tokens opprettet siden januar 2024, meldte CoinDesk. En talsperson for Pump.fun, Troy Gravitt, avviste rapporten med at «det Solidus Labs mangler, er en grunnleggende forståelse av memecoins». Uansett hvem som har rett i tolkningen, er retningen tydelig: den store majoriteten av tokens som lages på slike plattformer, er verdiløse kort tid etter.

Her er det verdt å rydde i et tall som stadig sirkulerer. Påstanden om «2,8 milliarder dollar i rug pulls» stammer trolig fra en forvekslet gjengivelse av Solidus’ funn om at den typiske rug-verdien var rundt 2 800 dollar, altså medianen, ikke en samlet sum. De aller fleste rug pulls er små; skaden ligger i mengden og i de sjeldne storsakene. Til sammenligning fant Chainalysis at svindel og bedrageri i krypto samlet utgjorde rundt 17 milliarder dollar i 2025, og at den gjennomsnittlige svindelbetalingen steg fra 782 til 2 764 dollar.

For spilltokens er poenget at fabrikkmodellen fjerner nesten all friksjon. Et «spill» kan settes opp som en token med en trailer og et veikart uten at noe faktisk bygges, og plattformen tjener på gebyrene uansett om prosjektet lever eller dør. PUMP, tokenet til Pump.fun, handles i slutten av september 2026 til rundt 0,0037 dollar med en markedsverdi i størrelsesorden 2,3 milliarder dollar, ifølge CoinGecko, samtidig som brorparten av tokenene som lages på plattformen, ender som tap for kjøperne. Den kontrasten, en blomstrende fabrikk oppå et hav av verdiløse tokens, er selve forretningsmodellen.

Røde flagg før du kjøper et spilltoken

De fleste GameFi-rug etterlater spor før de skjer, hvis du vet hva du skal se etter. Ingen enkelt indikator er en dom, men flere sammen bør stoppe kjøpet. Tabellen under samler de vanligste varseltegnene og hva du kan gjøre med dem.

Legg spesielt merke til kombinasjonen anonymt team pluss eierprivilegier i kontrakten pluss et spill som stadig utsettes. Hver for seg kan de forklares bort; sammen er de oppskriften på en veikart-rug. Og husk at et ekte, engasjert fellesskap ikke er bevis på at prosjektet er trygt. De fleste rug pulls har blomstrende Discord-servere helt frem til minuttet pengene forsvinner.

Verktøy som kan avsløre en GameFi rug

Det finnes en voksende verktøykasse for å sjekke en token eller en kontrakt før du kjøper. Ingen av dem er ufeilbarlige, men de fanger de mest åpenbare fellene på sekunder. Tabellen viser noen av de mest brukte.

En viktig begrensning bør understrekes: verktøyene finner tekniske feller, ikke intensjon. De kan avsløre en honeypot eller en ulåst likviditetspool, men de kan ikke se at teamet planlegger å slutte å bygge om tre måneder, eller at en lovlig, forhåndsvarslet frigivelse av teamets tokens skal fungere som en langsom exit. En revisjon er heller ingen garanti; en gjennomgang av koden sier noe om kvaliteten, ikke om hensikten til dem som styrer nøklene. Hva et sikkerhetsstempel egentlig er verdt, og hvem som betaler for det, så vi nærmere på da CertiK ville på børs. Bruk verktøyene som et første filter, ikke som en fasit.

Rettsoppgjøret: blokkjeden slipper unna, grunnleggerne står igjen

Det store spørsmålet for enhver som har tapt penger, er om noen kan holdes ansvarlig. Her kom det et vendepunkt i 2026. I søksmålet mot Pump.fun (Aguilar mot Baton Corporation) avsa dommer Colleen McMahon i New York en avgjørelse i slutten av august 2026 som tegner et nytt kart over hvem loven faktisk kan ta.

Ifølge CryptoTimes avviste dommeren verdipapirkravene: en memecoin på en bonding curve er, med rettens ord, ikke et «felles foretak» i verdipapirlovens forstand. Solana Labs, Solana Foundation og deres ledere ble frikjent fullstendig; å vite at en plattform er «svært aktiv», er ikke det samme som å vite at den er svindel. Det som derimot fikk gå videre, var RICO-kravene mot Baton Corporation og grunnleggerne, bygget på to helt andre grunnlag enn verdipapirrett: wire fraud (konkrete offentlige løgner, som utsagn om at plattformen var en «unruggable fair launch») og drift av pengeoverføring uten lisens etter amerikansk lov. Anslåtte tap for småsparere ligger på 4 til 5,5 milliarder dollar, og dommeren ga saksøkerne frist til 10. september for å forklare hvorfor kravene mot 25 uidentifiserte promotører ikke også skulle avvises.

Lærdommen er skarp, og den gjelder spilltokens like mye som rene memecoins: forsøket på å stemple tokenene som ulovlige verdipapirer er i praksis dødt, mens de vinnende sporene er å bevise faktiske løgner og ulisensiert pengeflytting. Infrastrukturlaget, altså kjeden og plattformen, går fri så lenge det ikke kan bevises at det visste om svindelen. Advokat Ariel Givner, som fulgte saken, understreket at «denne avgjørelsen betyr ikke at alle memecoins ikke er verdipapirer»; den gjelder disse konkrete tokenene. SEC-kommissær Hester Peirce har uttrykt den samme grensen fra tilsynssiden: «Mange av memecoinene der ute har trolig ikke noe hjem i SEC under vårt nåværende regelverk», sa hun ifølge The Block.

At verdipapirsporet er svekket, betyr ikke at spillsvindlere går fri. Frosties- og Evolved Apes-sakene viser den andre veien inn: begge endte med straffesiktelser for wire fraud og hvitvasking, ikke for verdipapirbrudd. Når et team lyver om hva som skal leveres og flytter kjøpernes penger til egne lommebøker, er det bedrageri og hvitvasking, og det er der påtalemyndigheten treffer hardest. For en spiller er det en nøktern trøst: veien til ansvar går via løgnene og pengesporet, ikke via en abstrakt diskusjon om tokenet var et verdipapir.

Finanstilsynet, Skatteetaten og det norske vernet

For en norsk spiller er det viktig å vite hvor tynt vernet faktisk er. Finanstilsynet fører tilsyn med tilbydere av kryptotjenester (CASP-er) etter MiCA-regelverket, som gjelder i Norge gjennom EØS-avtalen og er innlemmet i den norske kryptoeiendelsloven. Men tilsynet retter seg mot tjenestetilbydere som børser og forvaltere, ikke mot selve spillprosjektene. Finanstilsynet understreker på sine sider om kryptoeiendeler at investeringer i kryptoeiendeler innebærer svært høy risiko, og at ingen erstatningsordning dekker deg om verdiene forsvinner.

Her ligger et hull som er verdt å forstå. MiCA har i fortalen (resital 22) et unntak for kryptoeiendeler uten en identifiserbar utsteder: de faller utenfor de tyngste opplysningskravene, selv om tjenestetilbyderne som håndterer dem fortsatt er omfattet. De fleste spilltokens som ender som rug pulls, har nettopp ingen registrert utsteder og handles på desentraliserte børser utenfor noen norsk CASP. Regelverket når dem knapt, og det er kjøperens egen aktsomhet som blir førstelinjeforsvaret.

Skjer skaden likevel, teller hvert minutt. Finanstilsynet er nøkternt om utsiktene: «Det er svært vanskelig å få tilbake penger som er overført til svindlere via kryptoplattformer», og «det er svært viktig å sperre tilgang slik at svindelen ikke kan fortsette». Det praktiske rådet er å endre alle passord, sperre BankID og eventuelle kredittkort, og anmelde forholdet til politiet. Du finner Finanstilsynets sjekkliste på siden om svindel med kryptovaluta. Vær samtidig på vakt mot det neste laget av svindel: aktører som kontakter tidligere ofre og lover å hente pengene tilbake mot et forskudd, den såkalte gjenvinningssvindelen.

Skattemessig er bildet blandet. Tap ved realisasjon av kryptoeiendeler kan i utgangspunktet føres til fradrag i skattemeldingen, på samme måte som gevinst er skattepliktig. Utfordringen ved en rug pull er praktisk: hvordan realiserer og dokumenterer du et token du ikke får solgt fordi likviditeten er borte eller kontrakten blokkerer salg? Her bør du sjekke de konkrete kravene hos Skatteetaten før du fører opp tapet, i stedet for å anta at et verdiløst token automatisk gir fradrag.

Kan GameFi-rug bygges bort? Sjekklisten før kjøp

Kan man konstruere seg bort fra problemet? Delvis. De tekniske fellene lar seg motvirke: likviditet kan låses i en troverdig periode, eierrettigheter kan gis fra seg, kontrakter kan revideres, statskasser kan sikres med multisig, og en salgssimulering kan avsløre en honeypot på sekunder. Alt dette hever terskelen for den enkleste formen for rug pull.

Men ingen kode kan tvinge et team til å faktisk lage spillet, eller hindre en lovlig, forhåndsvarslet frigivelse av teamets egne tokens i å fungere som en langsom exit. Intensjon lar seg ikke revidere bort. Så lenge et spill kan selge tokens og NFT-er mot løfter alene, vil veikart-rugen bestå, og den fanges ikke av noe verktøy. Regelverket tetter noe av hullet, men MiCA-unntaket for utstederløse tokens, kombinert med desentraliserte børser og jurisdiksjonsshopping, gjør at mye faller mellom stolene.

Konklusjonen er derfor mindre teknisk enn man skulle tro: det sterkeste vernet er kjøperens egen disiplin. Før du legger penger i et spilltoken, gå gjennom de fire lagene hver for seg. Er teamet identifiserbart, eller kan noen holdes ansvarlig? Er likviditeten låst, og er eierrettighetene gitt fra seg? Kan du faktisk selge, testet med en simulering, eller er salg gated bak vage «spillregler»? Finnes det en spillbar versjon i dag, ikke bare en trailer og et veikart? Har belønningstokenet et tak, eller kan det utstedes i det uendelige? Og styres en eventuell statskasse av flere signaturer med innsyn? Får du ikke rene svar på disse, er det tryggeste valget å ikke kjøpe. I GameFi, mer enn i det meste annet, gjelder regelen om at et spill som først og fremst selger deg en token, sjelden er et spill du kommer til å få spille.

Ofte stilte spørsmål

Hva er en GameFi rug pull?

En GameFi rug pull er en svindel der et spillprosjekt bruker selve spillet, tokenet eller NFT-samlingen som lokkemat, og der teamet trekker ut verdien og forsvinner i stedet for å levere spillet. Den skiller seg fra et hack, der en utenforstående angriper, og fra et ærlig sammenbrudd, der prosjektet feiler uten at noen stikker av med pengene.

Hvordan vet jeg om et spilltoken er en honeypot?

En honeypot lar deg kjøpe, men ikke selge. Simuler et salg før du kjøper med verktøy som Honeypot.is eller GoPlus, og vær ekstra skeptisk hvis salg er begrenset bak «spillregler» som at du må nå et visst nivå eller holde et bestemt objekt. At en kjøpsordre går gjennom, sier ingenting om at en salgsordre vil gjøre det.

Er et play-to-earn-spill som kollapser det samme som en rug pull?

Nei. En play-to-earn-dødsspiral skjer når nye spillere slutter å komme og belønningstokenet faller mot null, ofte uten at teamet har stjålet noe. En rug pull er derimot planlagt exit-svindel. Utfallet for spilleren kan være likt, men hensikten er ulik, og hensikt er nettopp det vanskeligste å bevise.

Kan jeg få pengene tilbake etter en GameFi rug pull?

Sjansene er små. Finanstilsynet skriver at det er svært vanskelig å få tilbake penger som er overført til svindlere via kryptoplattformer. Det viktigste er å handle raskt: sperr tilgang, endre passord, sperr BankID eller kredittkort, og anmeld forholdet til politiet. Vær også på vakt mot gjenvinningssvindlere som lover å hente pengene tilbake mot forskudd.

Hva sier norsk regelverk om tap på spilltokens?

Finanstilsynet fører tilsyn med kryptotjenestetilbydere under MiCA, som gjelder i Norge gjennom EØS, men understreker at kryptoeiendeler er svært høy risiko og at ingen erstatningsordning dekker tap. Tap ved realisasjon av kryptoeiendeler kan i utgangspunktet føres som fradrag i skattemeldingen, men å dokumentere et verdiløst token du ikke får solgt, er en egen utfordring; sjekk reglene hos Skatteetaten.

Av Anneke de Vries, sikkerhetsredaktør i HOGE Wire.