DeFi rug pull i 2026: derfor er du utgangslikviditeten

For de fleste token som lanseres i 2026, er ikke en rug pull en risiko du løper. Det er sluttresultatet du bør regne med. Da analyseselskapet Solidus Labs gikk gjennom lanseringsplattformen Pump.fun, fant de at 98,6 prosent av alle token som ble laget der, endte som rug pull eller en form for svindel, ifølge CoinDesk. Det er ikke et lite mindretall som går galt. Det er nesten alt.

Den vanligste feilforståelsen er at en rug pull er et ærlig prosjekt som blir kapret av grådighet et sted underveis. Sannheten er nærmere det motsatte. For et stort flertall av disse token er svindelen selve forretningsmodellen, bygget inn i tokenomien fra første linje kode. Kjøperne er ikke ofre for et uhell. De er utgangslikviditeten, planlagt inn på forhånd: den kapitalen innsiderne trenger for å kunne selge seg ut med gevinst.

Denne artikkelen forklarer DeFi rug pull fra den vinkelen. Ikke som en rekke enkeltstående kriminelle innfall, men som det forutsigbare utfallet i et marked der hvem som helst kan lage et token på noen sekunder og selge det til fremmede. Vi går gjennom mekanikken (hard rug, honeypot, skjult mint og soft rug), de nye 2026-variantene i spill, NFT og hos AI-agenter, de store sakene, hvorfor revisjon ikke stopper det, og hva Finanstilsynet faktisk kan og ikke kan gjøre.

Hva en rug pull er, og hva den ikke er

En rug pull er når personene bak et kryptoprosjekt trekker ut verdien og forsvinner, slik at token de solgte, blir tilnærmet verdiløst i løpet av minutter. Navnet kommer av det engelske uttrykket om å dra teppet vekk under føttene på noen. Det avgjørende kjennetegnet er at det er prosjektets egne folk som gjør det, ofte ved hjelp av rettigheter de bygget inn i koden med vilje.

Det er verdt å skille en rug pull fra tre nærliggende, men ulike hendelser. Et hack er når en utenforstående angriper utnytter en sårbarhet eller stjeler en privatnøkkel; da er teamet i prinsippet et offer på linje med brukerne. Da rundt 4 000 bitcoin forsvant fra Liquid, var det et bro-angrep, ikke en exit-svindel, og logikken bak er en helt annen enn ved en rug pull, noe vi har gått gjennom i bro-hack-analysen av Liquid. En prismanipulasjon via et orakel er også et angrep utenfra, der noen lurer protokollen til å tro at en pris er noe annet enn den er; den eldste orakel-feilen rammer selv veldrevne prosjekter. Et pump-and-dump er markedsmanipulasjon der en gruppe blåser opp prisen og selger på toppen, men uten nødvendigvis å ha kontroll over selve kontrakten. En rug pull kan overlappe med alle tre, men kjernen er alltid den samme: innsiderne har en bakdør, og de bruker den.

Innenfor kategorien deler bransjen rug pull i tre etter tempo og metode. En hard rug er den brutale varianten: likviditeten tømmes eller kjøpsfunksjonen slås av på ett øyeblikk. En soft rug er langsommere: teamet dumper sin egen beholdning gradvis, slutter å levere det de lovet, og lar prosjektet visne. En slow rug ligger mellom og bruker gjerne planlagte opplåsninger av innsidetoken for å selge i etapper over uker eller måneder, ofte innenfor det som teknisk er lovlig.

Derfor er du utgangslikviditeten

For å forstå hvorfor rug pull er regelen og ikke unntaket, må du forstå hvordan et ferskt token faktisk får en pris. På en desentralisert børs finnes det ingen kjøper i den andre enden slik det er på en aksjebørs. I stedet legger noen penger i en likviditetspool, typisk halvparten i det nye token og halvparten i noe likvid som SOL, ETH eller en stablecoin. En automatisk markedspleier (AMM) setter prisen ut fra forholdet mellom de to sidene i poolen. Når du kjøper, tar du token ut av poolen og legger stablecoin inn, og prisen stiger.

Poenget er at hele den verdien du ser i markedsverdien, ikke er ekte penger. Den er en beregning: pris ganger antall token. De eneste virkelige pengene i systemet er det som ligger i likviditetspoolen. Hvis et token har en markedsverdi på 100 millioner kroner, men bare noen hundre tusen kroner i poolen, er avstanden mellom papirverdi og innløsbar verdi enorm. Den som kontrollerer poolen, kontrollerer om noen som helst får solgt.

Legg til at innsiderne nesten alltid sitter på storparten av tilbudet, kjøpt for tilnærmet ingenting før noen andre visste at token fantes. Da har du oppskriften. Etter hvert som kjøpere strømmer inn og fyller poolen med ekte penger, vokser den summen innsiderne kan hente ut. Hver ny kjøper er bokstavelig talt den likviditeten en tidligere innsider trenger for å selge seg ut. Derfor kalles det utgangslikviditet. I et zero-sum-marked der ingen verdi skapes, er gevinsten til den som selger tidlig, nøyaktig lik tapet til den som kjøper sent.

Dette forklarer også et tall som ofte misforstås. Den samme gjennomgangen fra Solidus Labs, omtalt av CoinDesk, fant at den typiske rug pull-en er liten: medianverdien som ble hentet ut, lå rundt 2 800 dollar (i størrelsesorden 26 000 kroner). En seiglivet myte sier at Chainalysis målte 2,8 milliarder dollar i rug pull i 2025, men det tallet finnes ikke i noen primærkilde fra Chainalysis; det er nesten sikkert medianen på 2 800 dollar som har blitt til milliarder gjennom gjentatt feilsitering. Pump.fun har på sin side avvist Solidus-studien; talsmann Troy Gravitt sa at «What Solidus Labs lacks is a basic understanding of memecoins». Den skarpere innsikten er at de fleste rug pull er bittesmå, men at det finnes millioner av dem, med noen sjeldne gigasaker på toppen. Skaden er volum ganger frekvens, ikke størrelse per sak.

Chainalysis anslår at svindel og bedrageri i krypto samlet stjal rundt 17 milliarder dollar i 2025 (i størrelsesorden 160 milliarder kroner), og at den gjennomsnittlige svindelbetalingen steg fra 782 til 2 764 dollar på ett år, ifølge selskapets 2026-rapport. Rug pull er en stor del av den strømmen, drevet av at kostnaden ved å lage et token har falt til nær null mens gevinsten ved en heldig lansering kan bli enorm.

Hard rug: slik tømmes likviditetspoolen

Den reneste formen for rug pull er å tømme likviditetspoolen. Utvikleren som la inn likviditeten, sitter på LP-tokenene som representerer eierskapet til poolen. Når hypen har trukket inn nok ekte penger, kaller vedkommende funksjonen som tar ut hele posisjonen. På et blunk forsvinner stablecoin-siden av poolen, prisen kollapser mot null, og alle som fortsatt sitter med token, har noe som ikke lenger kan veksles inn i noe av verdi.

Det er her AMM-matematikken blir nådeløs. Fordi prisen settes av forholdet mellom de to sidene, betyr det å fjerne den likvide siden at kurven kollapser umiddelbart. Det trengs ingen kjøper på den andre siden for at prisen skal falle; det holder å ta ut motverdien. De som prøver å selge i sekundene mellom uttaket og kollapsen, konkurrerer om en pool som allerede er nesten tom, og får en pris som nærmer seg null.

Mange prosjekter later som om de har fjernet denne risikoen ved å låse likviditeten. En låst pool skal i teorien hindre at utvikleren tar ut LP-tokenene på en stund. I praksis finnes det en rekke måter å omgå dette på. Låsen kan gjelde bare en liten del av likviditeten, mens resten er fri. Den kan være kortvarig, satt til å utløpe om noen dager, slik at den gir et falskt inntrykk av trygghet. En populær variant i 2026 er lock extension-svindelen: teamet låser likviditeten, bygger tillit ved å annonsere at de forlenger låsen, men lar i stedet den opprinnelige låsen løpe ut og tømmer alt idet vinduet åpner seg. Andre bruker en migrator-funksjon som lar dem flytte likviditeten til en ny kontrakt uten å bryte selve låsen formelt.

Kontraktsfellene: honeypot, skjult mint og eierprivilegier

Ikke alle rug pull handler om å ta ut likviditet. En stor familie av svindel ligger i selve smartkontrakten, der utvikleren har skrevet inn funksjoner som gir dem en fordel vanlige brukere ikke har. Den mest lærerike av dem er honeypot: en kontrakt som lar alle kjøpe, men som blokkerer salg for alle andre enn innsiderne. Prisen ser ut til å stige jevnt og fint, nettopp fordi ingen får solgt og skapt salgspress, helt til skaperne tømmer det de har bygget opp.

Skolebokeksempelet er SQUID-token fra 2021, bygget på hypen rundt Netflix-serien og markedsført som valutaen i et kommende play-to-earn-spill. Kontrakten krevde at du måtte eie en egen MARBLES-balanse for å kunne selge, og MARBLES kunne bare skaffes gjennom et spill utviklerne selv kontrollerte. I praksis kunne folk kjøpe fritt, men aldri selge. Etter at prisen hadde steget rundt 40 000 prosent, trakk skaperne likviditeten og forsvant med rundt 3,38 millioner dollar (i størrelsesorden 31 millioner kroner), ifølge TRM Labs. Mekanikken er den samme i 2026, bare pakket inn i mer moderne kode.

En annen felle er en skjult eller fortsatt aktiv mint-funksjon. Hvis utvikleren kan lage nye token når som helst, kan de fremstille en enorm mengde av dem og selge dem inn i poolen, noe som fungerer som en tømming selv om den opprinnelige likviditeten er låst. En ansvarlig utvikler fjerner (renounce) eierskapet til kontrakten, slik at mint-funksjonen ikke lenger kan brukes. Mange rug pull-kontrakter later som de har gjort dette, men beholder en bakdør via en egen adresse.

Eierprivilegier er den bredere kategorien: funksjoner som lar en privilegert adresse svarteliste andre lommebøker, sette en salgsskatt på 100 prosent, fryse overføringer eller endre gebyrer i sanntid. En oppgraderbar kontrakt (via en proxy) er spesielt farlig, fordi koden du gransket i dag, kan byttes ut med noe helt annet i morgen. Det du signerte, er ikke nødvendigvis det du sitter igjen med. Nettopp derfor er blindsignering et så stort problem: hvis lommeboken ikke viser deg hva du faktisk godkjenner, kan en tilsynelatende harmløs transaksjon gi bort rettigheter du aldri mente å gi.

Soft rug og slow rug: den langsomme uttømmingen

Ikke alle exit-svindler er dramatiske. En soft rug ser ofte ut som et prosjekt som mister dampen. Teamet slutter å levere veikartet, moderatorer forsvinner fra kanalene, og innsiderne selger beholdningen sin gradvis inn i det som er igjen av kjøpsinteresse. Det finnes sjelden ett enkelt øyeblikk der teppet dras vekk; verdien lekker ut over uker. For offeret er resultatet det samme som ved en hard rug, men det er mye vanskeligere å påvise at det var svindel og ikke bare et prosjekt som feilet.

Den mest krevende varianten juridisk er slow rug via planlagte opplåsninger. Mange token deler ut store andeler til team og tidlige investorer med en låseplan som frigjør dem over tid. Når en stor tranche låses opp, kan innsiderne selge helt lovlig, selv om effekten på prisen er den samme som en langsom tømming. Da PUMP-token låste opp rundt 20 prosent av det sirkulerende tilbudet 12. juli 2026, var det et lovlig, forhåndsvarslet salgsvindu. PUMP hadde en markedsverdi rundt 1,7 milliarder dollar (i størrelsesorden 16 milliarder kroner) i midten av september 2026, ifølge CoinGecko, som viser hvor mye kapital som fortsatt flyter gjennom en plattform der de aller fleste token ender som svindel.

Den ubehagelige innsikten er at en forhåndsvarslet innsideopplåsning er den ene formen for utgangslikviditet ingen verktøy flagger som svindel, fordi den ikke er det i teknisk forstand. Alt står i tokenomien, offentlig tilgjengelig fra dag én. At kjøperne likevel ender som utgangslikviditet for innsiderne, er en design-egenskap, ikke en bug.

Er det rug eller kollaps? Problemet med hensikt

Grensen mellom en rug pull og en ærlig kollaps er ofte uklar, og den er avgjørende både for etterforskere og for hvordan offeret oppfatter det som skjedde. Det klareste eksempelet er OM-token fra prosjektet Mantra. 14. april 2025 falt OM mer enn 90 prosent på omtrent én time, og rundt 6 milliarder dollar i markedsverdi ble utradert, ifølge CoinDesk. Teamet hevdet at kollapsen skyldtes tvangslikvidasjoner på en børs i tynn helgelikviditet, ikke en exit-svindel. Kritikere pekte på at team-tilknyttede lommebøker hadde flyttet OM til børser før kollapsen.

Ingen etterforskning har konkludert med at Mantra var en planlagt rug pull, og prosjektet fortsatte å operere etterpå. Det gjør saken til et perfekt eksempel på kjerneproblemet: for å kalle noe en rug pull, må du bevise hensikt og kontroll. Blokkjeden viser deg hva som skjedde, hvilke lommebøker som flyttet hva og når, men den viser deg ikke hvorfor. En innsider som selger rett før et fall, kan være en kynisk svindler eller en nervøs investor som fikk panikk. Kjeden skiller dem ikke.

Denne tvetydigheten er ikke bare akademisk. Den er grunnen til at så få rug pull ender med domfellelse, og den er grunnen til at svindlerne som er flinkest, alltid legger igjen en historie de kan fortelle: markedet vendte, en børs likviderte oss, en partner sviktet. Jo mer et prosjekt ligner en lovlig satsing som gikk galt, desto tryggere er de som stod bak.

Fra memecoin til spill-token: rug pull i GameFi og NFT

Rug pull er ikke lenger noe som bare rammer navnløse memecoin. Noen av de mest effektive svindlene har brukt spill og digital kunst som innpakning, fordi løftet om et kommende spill eller en eksklusiv samling gir en naturlig grunn til å kjøpe tidlig og vente. SQUID-token er allerede nevnt som en play-to-earn-felle. NFT-verdenen har sin egen variant: mint-and-run, der et team selger en samling under løfter om et spill, en metavers eller fremtidige fordeler, og forsvinner så snart mynten er sluttsolgt.

Det mest omtalte eksempelet er Frosties. I mars 2022 siktet amerikanske myndigheter to menn, Ethan Nguyen og Andre Llacuna, for bedrageri og hvitvasking etter at de solgte 8 888 NFT-er til 0,04 ETH stykket, hentet inn rundt 1,1 million dollar (i størrelsesorden 10 millioner kroner), og la ned prosjektet og nettstedet nesten umiddelbart, ifølge det amerikanske justisdepartementet. Det var en av de første NFT-rug pull-sakene som endte i straffesak, og den viste at teknologien er ny, men svindelen gammel.

Spill- og NFT-token har også et ekstra lag av risiko som rene memecoin mangler: belønningstoken. Mange play-to-earn-økonomier deler ut et token som belønning for å spille, og verdien av den belønningen avhenger av at nye spillere hele tiden kjøper seg inn. Når tilstrømmingen stopper, kollapser belønningen, ofte uten at noen trenger å gjøre noe kriminelt i det hele tatt. Vi så en beslektet dynamikk da belønningstokenen DUST rundt DeGods brant opp: en token hvis hele verdi var avhengig av et økosystem som skrumpet inn.

Handelsvolumet i disse markedene er dessuten notorisk upålitelig, noe som gjør det lettere å iscenesette en falsk suksess før exit. Wash trading, der de samme aktørene handler med seg selv for å blåse opp volumet, er utbredt, og det er en viktig grunn til at NFT-volumtallene spriker så mye. Et token eller en samling som ser livlig ut på skjermen, kan i realiteten være en scene rigget for å lokke inn den siste bølgen av ekte kjøpere.

AI-agenten som «utvikler»: token-fabrikken i 2026

Den ferskeste vrien er at utvikleren ikke lenger trenger å være et menneske. I 2026 kan en AI-agent finne på et navn, skrive bakgrunnshistorien, generere kunsten, publisere kontrakten, fylle en likviditetspool og legge ut lanseringstråden raskere enn en person rekker å drikke en kaffe. Tilhengerne markedsfører dette som en fordel: en agent har ingen grådighet og kan programmeres til å styre likviditeten etter faste regler. I praksis betyr det bare at exit-logikken kan flyttes fra en menneskelig hensikt til noen kodelinjer, og hvis de kodelinjene har en feil, eller er skrevet slik med vilje, kan økonomien kollapse på sekunder.

Det viktigste med AI-vinkelen er skala. Når det å produsere et troverdig prosjekt, komplett med hvitbok, nettsted og et tilsynelatende aktivt fellesskap, kan automatiseres, faller kostnaden ved å sette opp tusen feller like mye som ved å sette opp én. Analyseselskaper som Chainalysis har pekt på at AI-drevne svindeloperasjoner er langt mer lønnsomme enn tilsvarende operasjoner uten AI. Det er ikke fordi AI-en er en smartere svindler, men fordi den lar den samme lille gruppen kjøre langt flere svindler samtidig, med troverdig innpakning på hver enkelt.

For en kjøper endrer dette lite ved selve forsvaret, men mye ved sannsynligheten for å møte en felle. Et prosjekt som ser gjennomarbeidet ut, betyr mindre enn før, fordi et gjennomarbeidet utseende nå er gratis. De strukturelle spørsmålene er de samme: hvem kontrollerer likviditeten, hvem eier tilbudet, og hva kan kontrakten gjøre mot deg?

LIBRA: da en president ble utgangslikviditet

Hvis medianen på 2 800 dollar er den ene enden av skalaen, er LIBRA den andre. 14. februar 2025 la Argentinas president Javier Milei ut en melding på X som promoterte et token kalt LIBRA. Prisen steg over 2 000 prosent på rundt 40 minutter, markedsverdien nådde en topp rundt 4,4 milliarder dollar (i størrelsesorden 41 milliarder kroner), og innsiderne hentet ut anslagsvis 87 millioner dollar (i størrelsesorden 810 millioner kroner) på den første dagen før det kollapset, ifølge CoinDesk. Milei slettet innlegget og tok avstand fra prosjektet. Argentinas antikorrupsjonskontor renvasket ham senere, mens rettslige undersøkelser fortsatte.

LIBRA er lærerik nettopp fordi den viser utgangslikviditets-logikken i ren form, forsterket av det mest verdifulle en lansering kan ha: oppmerksomhet. Rekkevidden til en statsleder trakk inn ekte penger fra hele verden på minutter, og den kapitalen ble til uttaket for en liten gruppe innsidere som satt på tilbudet på forhånd. Ingen kompleks kontraktsfelle var nødvendig. Konsentrert eierskap pluss en enorm og plutselig kjøpsbølge er nok.

Saken sier også noe om hvor grensen mellom svindel og markedsføring har blitt. Når en betalt eller frivillig omtale fra en kjendis eller politiker kan skape milliardverdier på minutter og deretter en tilsvarende kollaps, er skillet mellom en lovlig lansering og en rug pull i praksis et spørsmål om hvem som visste hva, og når, snarere enn om teknologien som ble brukt.

Revisjon er ikke et stempel

Mange kjøpere behandler ordet «revidert» som en garanti. Det er en farlig misforståelse. En sikkerhetsrevisjon er en gjennomgang av koden for sårbarheter på et gitt tidspunkt; den er ikke en godkjenning av at teamet er ærlig, at tokenomien er rettferdig, eller at prosjektet ikke vil bli forlatt. Et revidert prosjekt kan fortsatt rugge, og flere har gjort nettopp det.

Det tydeligste eksempelet er Swaprum, som forsvant med rundt 3 millioner dollar (i størrelsesorden 28 millioner kroner) fra Arbitrum i mai 2023 til tross for at prosjektet var revidert av CertiK. Hugh Brooks, sikkerhetssjef i CertiK, formulerte poenget presist overfor DL News: «an audit is not a stamp of approval or a ‘pass’ or fail, it’s an objective review of a project’s code». Med andre ord: en revisjon kan flagge at kontrakten er oppgraderbar eller at eieren har spesielle rettigheter, men den forbyr ikke prosjektet å bruke dem senere.

Bildet blir verre av at revisjoner selv kan forfalskes. Svindlere pynter på nettsidene sine med logoer fra kjente revisjonsselskaper for prosjekter disse aldri har sett, eller de siterer en revisjon som i virkeligheten flagget alvorlige problemer de bare ignorerte. Den bredere sammenhengen er at tapene fortsetter uansett: sikkerhetsselskaper som CertiK måler fortsatt milliardbeløp tapt til Web3-sikkerhetshendelser fordelt på flere hundre hendelser hvert halvår. En revisjon er nyttig som ett signal blant flere, men den erstatter ikke din egen sjekk av hvem som kontrollerer likviditeten og tilbudet. Den samme lærdommen gjelder bug bounty-programmer: de kan gjøre et prosjekt sikrere mot angrep utenfra, men de sier ingenting om innsidernes hensikter.

Slik gjenkjenner du faresignalene

Ingen sjekkliste fanger alt, og den mest sofistikerte slow rug via lovlige opplåsninger vil aldri utløse et rødt flagg. Men de fleste hard rug og honeypot røper seg gjennom noen få strukturelle trekk du kan sjekke på minutter. Tabellen under oppsummerer de viktigste.

Gratis verktøy dekker mye av dette. RugCheck er innrettet mot Solana og ser på likviditet, holderfordeling og nettverk av tilknyttede lommebøker. GoPlus Security dekker mange kjeder og flagger honeypot, skjult eier og aktiv mint. Token Sniffer og Honeypot.is er nyttige på EVM-kjeder, det siste for å simulere om et salg faktisk går gjennom. Den delte begrensningen er verdt å gjenta: ingen av dem fanger en forhåndsvarslet innsideopplåsning, fordi den ikke er teknisk svindel. Å oppbevare det du kjøper i egen lommebok i stedet for hos en tredjepart endrer ikke om et token er en felle, men det er en grunnleggende vane.

Finanstilsynet, MiCA og loven som sliter

Bedrageri er straffbart etter norsk lov uansett om pengene er kroner, dollar eller krypto. Problemet er ikke at rug pull er lovlig, men at det er ekstremt vanskelig å håndheve. Utviklerne er ofte anonyme og befinner seg i utlandet, midlene flyttes raskt gjennom miksere og på tvers av kjeder, og selve token faller gjerne utenfor de delene av regelverket som krever en identifiserbar utsteder.

I Norge fører Finanstilsynet tilsyn med tilbydere av kryptoaktivatjenester under MiCA, som er innlemmet i EØS-avtalen. Det betyr at børser, vekslere og forvaringstjenester må være registrert og følge regler for blant annet markedsmisbruk. Men MiCA regulerer tjenestetilbyderne og utstederne, ikke selve protokollen eller et token uten en identifiserbar utsteder; regelverket har et unntak (fortalepunkt 22) for kryptoaktiva uten en utsteder, som er nettopp det de fleste memecoin er. Det etterlater et hull der de token som oftest rugger, faller mellom stolene. Finanstilsynet oppsummerer sin rolle og MiCA-rammen på sine egne sider om kryptoeiendeler.

Den amerikanske debatten speiler det samme hullet. SEC-kommissær Hester Peirce har sagt at «Many of the memecoins that are out there probably do not have a home in the SEC under our current set of regulations», ifølge The Block, altså at mange memecoin faller utenfor tilsynets myndighet. Andre mener det åpner en dør for svindlere som bare trenger å kalle prosjektet sitt en memecoin. Uansett hvem som har rett, er den praktiske konsekvensen for en norsk kjøper at det offentlige sjelden vil kunne hjelpe deg i etterkant.

Det leder til det viktigste rådet om penger du allerede har tapt. Finanstilsynet skriver rett ut at «Det er svært vanskelig å få tilbake penger som er overført til svindlere via kryptoplattformer», på sine forbrukersider. I noen tilfeller kan en stablecoin-utsteder fryse midler eller en børs stanse en utbetaling, men de fleste får ingenting igjen. Vær samtidig på vakt mot den andre bølgen: aktører som kontakter tidligere ofre og lover å hente pengene tilbake mot forskuddsbetaling. Vi har gått nærmere gjennom hva som faktisk er mulig i artikkelen om hvorvidt du kan få kryptoen tilbake etter en rug pull.

Kan rug pull bygges bort?

Den korte teoretiske versjonen er ja. Det finnes lanseringsformater som gjør en klassisk hard rug tilnærmet umulig: automatisk låst likviditet uten uttaksmulighet, fjernet eierskap til kontrakten, ingen mint-funksjon, ingen oppgraderbar proxy, og jevn fordeling av tilbudet. Noen plattformer standardiserer flere av disse trekkene, og det gjør honeypot og øyeblikkelig likviditetstømming vanskeligere.

Men den strukturelle svindelen forsvinner ikke, for den ligger ikke i koden. Den ligger i markedsstrukturen. Så lenge hvem som helst kan lage et token på sekunder, sitte på storparten av tilbudet, og selge til fremmede som håper å komme seg ut før neste person, vil noen alltid være utgangslikviditeten. En soft rug krever ingen bakdør, bare at teamet slutter å bry seg. En slow rug via lovlige opplåsninger krever ingen svindel i det hele tatt. Å bygge bort den tekniske hard rug-en flytter bare tyngdepunktet mot de variantene verktøy og lovverk sliter mest med å ta.

Det realistiske forsvaret er derfor ikke å vente på at problemet skal reguleres eller kodes vekk. Det er å forstå posisjonen du faktisk går inn i. På et ferskt token med lav likviditet, konsentrert eierskap og en anonym utvikler er standardutfallet at du er den siste kjøperen som finansierer noens exit. Pump.fun-tallet på 98,6 prosent er ikke en advarsel om at noe kan gå galt. Det er en beskrivelse av hva som vanligvis skjer. Å behandle det som utgangspunktet, og kreve gode grunner til å tro noe annet, er den mest verdifulle vanen en kjøper kan ha.

Ofte stilte spørsmål

Hva er en rug pull i krypto?

En rug pull er når skaperne bak et kryptoprosjekt trekker ut likviditeten eller verdien og forsvinner, slik at token blir tilnærmet verdiløst. Den skiller seg fra et hack ved at det er utviklerne selv, ikke en utenforstående angriper, som tømmer prosjektet, ofte som en planlagt del av tokenomien.

Hvordan kan jeg oppdage en rug pull før jeg kjøper?

Se etter ulåst eller kortvarig låst likviditet, en stor andel token på få lommebøker, en anonym utvikler med full kontroll over kontrakten, en mint-funksjon som ikke er fjernet, og en oppgraderbar kontrakt. Gratis verktøy som RugCheck, GoPlus og Token Sniffer kan flagge mange av disse signalene, men ingen av dem fanger en lovlig varslet innsideopplåsning.

Kan jeg få tilbake pengene etter en rug pull?

Sjansen er liten. Finanstilsynet skriver at det er svært vanskelig å få tilbake penger som er overført til svindlere via kryptoplattformer. I noen tilfeller kan stablecoin-utstedere fryse midler eller en børs stanse en utbetaling, men de fleste ofre får ingenting igjen, og du bør være på vakt mot aktører som krever forskuddsbetaling for å hjelpe deg.

Er rug pull ulovlig i Norge?

Bedrageri er straffbart etter norsk lov uansett om pengene er kroner eller krypto, og tjenestetilbydere reguleres av Finanstilsynet under MiCA. Problemet er håndhevelsen: mange utviklere er anonyme og befinner seg i utlandet, og selve token faller ofte utenfor de delene av regelverket som krever utsteder og prospekt.

Hva er forskjellen på en rug pull og et hack?

Ved et hack utnytter en utenforstående angriper en sårbarhet i koden eller stjeler en privatnøkkel. Ved en rug pull er det prosjektets egne folk som tar midlene, gjerne ved hjelp av privilegier de bygget inn med vilje. Grensen kan være uklar, for eksempel når et team hevder at en kollaps skyldtes markedet og ikke dem selv.

Av Anneke de Vries, seniorredaktør i HOGE Wire.