Rug pull i 2026: rettsoppgjøret bak DeFi-exit-svindelen

En rug pull pleide å være en historie som var over på minutter. En utvikler samlet inn penger i en likviditetspool, trakk ut alt, og forsvant før noen rakk å reagere. Sluttscenen var alltid den samme: en tom pool, en slettet Discord-server og en token-graf som falt loddrett mot null. I 2026 endret handlingen seg. For første gang er det ikke bare svindlerne selv, men infrastrukturen rundt dem, som står tiltalt.

Året da rug pull-en møtte rettssystemet

I januar 2026 leverte saksøkerne i Aguilar mot Baton Corporation en kraftig utvidet stevning i en føderal domstol på Manhattan. Det opprinnelige søksmålet handlet om én enkelt memecoin-plattform, Pump.fun. Den nye versjonen navngir ikke bare plattformen, men også Solana Labs, Solana Foundation og sentrale Solana-topper, blant dem grunnleggerne Anatoly Yakovenko og Raj Gokal, sammen med infrastrukturselskapet Jito og 25 anonyme markedsførere. Påstanden er ikke lenger bare at et par tokens var svindel. Påstanden er at hele apparatet var et koordinert kriminelt foretak, «et digitalt kasino drevet ulovlig under dekke av å lage og handle memecoins», med et samlet erstatningskrav på rundt 5,5 milliarder dollar (cirka 52 milliarder kroner), ifølge Decrypt.

Det er et sprang. Denne artikkelen handler ikke om hva en rug pull er; det har vi forklart før. Den handler om året da exit-svindelen sluttet å være et rent teknisk fenomen og ble et juridisk, økonomisk og politisk oppgjør. Vi ser på hvorfor tallene alle siterer er feil, hvordan den lovlige innsideopplåsingen ble den nye rug pullen, hvorfor en argentinsk president fortsatt etterforskes, og hvorfor verken Finanstilsynet eller MiCA rekker frem når poolen tømmes fra en adresse ingen kjenner.

Rug pull, hack og pump-and-dump: tre ting folk blander sammen

Tre ord brukes om hverandre i overskriftene, og de betyr ikke det samme. Skillet er ikke pedantisk; det avgjør hvem som i det hele tatt kan holdes ansvarlig.

Et hack utnytter en feil i koden eller i nøkkelhåndteringen. Angriperen bryter seg inn i noe som var ment å være sikkert. De store brohackene i 2026 er skoleeksempler: kompromitterte signeringsnøkler og forfalskede meldinger tømte protokoller for hundrevis av millioner, uten en eneste linje ondsinnet kontraktskode, slik vi har analysert i vår gjennomgang av bro-hackene i 2026. Ved et hack er offeret protokollen selv.

En rug pull er det motsatte. Koden gjør akkurat det utviklerne mente den skulle gjøre. Det var aldri noen feil å utnytte, fordi bakdøren var funksjonen. Skaperen bygde inn muligheten til å trekke ut likviditeten, prege ubegrenset med nye tokens, eller blokkere salg, og brukte den som planlagt. Ved en rug pull er offeret kjøperen, og gjerningspersonen er den som skrev kontrakten.

En pump-and-dump ligger imellom. Her manipuleres prisen oppover gjennom koordinert kjøp og markedsføring, ofte av betalte influensere, før innsiderne selger på toppen. Tokenet trenger ingen bakdør; mekanismen er sosial, ikke teknisk. Grensene flyter, og mange Pump.fun-lanseringer er alle tre på én gang. Distinksjonen er juridisk sprengstoff: et hack kan forfølges som datainnbrudd, en rug pull ligner ordinært bedrageri, og en pump-and-dump ligner markedsmanipulasjon, men bare hvis tokenet regnes som et finansielt instrument. Og som vi skal se, er nettopp det siste spørsmålet, om et token overhodet er et verdipapir, der hele håndhevingen står og faller.

Tallene ingen klarer å måle: myten om «2,8 milliarder dollar»

Hvis du googler «rug pull 2025», dukker det opp ett tall overalt: 2,8 milliarder dollar, angivelig tapt til rug pulls, ofte tilskrevet analyseselskapet Chainalysis. Tallet er nesten helt sikkert feil, og historien om hvordan det oppsto sier noe viktig om hele feltet.

Chainalysis sin rapport om kryptosvindel bryter faktisk ikke ut noen egen dollarsum for rug pulls. Det den måler, er samlet svindel og bedrageri: rundt 17 milliarder dollar (cirka 162 milliarder kroner) i 2025, med en gjennomsnittlig svindelbetaling som steg fra 782 til 2 764 dollar, og AI-drevne svindeloperasjoner som var 4,5 ganger mer lønnsomme enn de uten, ifølge Chainalysis. Ingen «2,8 milliarder» finnes i primærkilden.

Tallet ser i stedet ut til å være en forvrengning av noe helt annet: medianverdien av en rug pull, som ifølge Solidus Labs sin analyse av Solana-tokens er rundt 2 800 dollar (cirka 27 000 kroner), gjengitt av CoinDesk. Ikke 2,8 milliarder, men 2 800. Forskjellen er en faktor på en million, og den er ikke tilfeldig. Den forteller sannheten om rug pulls: de aller fleste er små. Skaden ligger ikke i den enkelte svindelen, men i volumet, tusenvis av bittesmå tapper hver dag, med en sjelden mega-rug som drar snittet opp.

Dette er også grunnen til at rug pulls er så vanskelige å telle. Et hack lar seg måle presist: en angriper tar en bestemt sum fra en bestemt kontrakt på et bestemt tidspunkt. En rug pull har ingen slik klar kant. Skal man telle det innsiderne tok ut, eller markedsverdien som forsvant? De to tallene kan avvike med flere størrelsesordener, og aggregatorene som lager overskrifter, blander dem rutinemessig.

Poenget er ikke at rug pulls er harmløse. Poenget er at når selv grunntallet er upålitelig, blir det lettere for en hel bransje å avfeie problemet som overdrevet, og vanskeligere for en domstol å fastslå et konkret tap.

Anatomien til en rug pull: fra likviditetstapping til honeypot

For å forstå rettssakene må man forstå håndverket. En rug pull er ikke ett triks, men en verktøykasse, og de fleste sakene kombinerer flere av delene.

Den klassiske harde rug pullen angriper likviditetspoolen. På en desentralisert børs handles et token mot en motpost, typisk en stablecoin eller kjedens eget token, i en felles pool. Den som eier LP-tokenene som representerer poolen, kan i prinsippet trekke ut alt. Er ikke disse LP-tokenene låst i en tidslås eller brent, kan skaperen tømme poolen i én transaksjon. Kjøperne sitter igjen med et token det ikke lenger finnes en motpost for; det kan ikke selges til noen pris.

Honeypot-kontrakten er mer utspekulert. Her kan du kjøpe, men koden hindrer deg i å selge, enten helt, eller ved å pålegge en salgsavgift på tilnærmet 100 prosent som går rett til skaperen. Grafen ser sunn ut, kjøpstrykket bygger seg opp, og først når du forsøker å realisere gevinsten, oppdager du at utgangen var murt igjen fra start.

Skjult preging (hidden mint) lar skaperen lage nye tokens etter behag. Tilbudet ser fast ut i grensesnittet, men en privilegert funksjon i kontrakten kan blåse det opp. Idet innsideren preger og selger en flom av nye tokens, kollapser prisen, og de opprinnelige kjøperne fortynnes mot null. Oppgraderbare kontrakter, såkalte proxy-mønstre, er den mest lumske teknikken, fordi de kan gjøre et prosjekt som var trygt i går til en felle i dag. En proxy lar utviklerne bytte ut logikken bak en adresse i ettertid, slik at en kontrakt som er revidert og ren ved lansering kan oppgraderes til en med bakdør uker senere, lenge etter at revisorene har gått videre.

Det er verdt å merke seg hva alle disse har til felles: makten ligger hos én privilegert adresse. Der eierskapet til en kontrakt aldri er gitt fra seg, eller admin-nøkkelen sitter hos én anonym person uten tidslås, er faren strukturell, ikke hypotetisk.

Den lovlige rug pullen: innsidere, vesting og PUMP-opplåsningen

De mest omdiskuterte rug pulls i 2026 bryter ingen lover og utnytter ingen kodefeil. De står i hvitboken.

Vurder mekanikken i en typisk token-lansering: en stor andel av tilbudet settes av til teamet og til tidlige investorer, med en vesting-plan som låser tokenene i en periode før de gradvis frigjøres. På papiret er dette ryddig, en måte å binde grunnleggerne til prosjektet på lang sikt. I praksis kan en forhåndsannonsert opplåsing fungere som en «rug pull i sakte film»: innsiderne vet nøyaktig når en flom av nye tokens treffer markedet, og småsparerne sitter på den andre siden.

Pump.fun sitt eget token, PUMP, ble selve prøvesteinen. Den 12. juli 2026 ble rundt 82,5 milliarder PUMP låst opp, en betydelig andel av det sirkulerende tilbudet verdt et sted mellom 125 og 135 millioner dollar (cirka 1,2 milliarder kroner), fordelt mellom teamet og investorene, ifølge CryptoTimes. Frykten var et fritt fall. Det som skjedde var mer forvirrende: handelsvolumet steg kraftig, og prisen holdt seg, i hvert fall en stund. Ved skrivende stund handles PUMP rundt 0,0025 dollar (vel to øre), godt under toppnoteringen på 0,0088 dollar fra september 2025, men over bunnen fra juni 2026, med en markedsverdi rundt 9,3 milliarder kroner, ifølge CoinGecko.

Nettopp uklarheten er poenget. Var opplåsingen en overføring av verdi fra nye kjøpere til innsidere som visste bedre? Antakelig. Var den ulovlig? Nei. Ingen honeypot-kontrakt, ingen skjult preging, bare en kalender alle kunne lese, men få tok inn over seg. Det er her det tradisjonelle rug pull-begrepet slår sprekker, og, som vi kommer tilbake til, hvorfor deteksjonsverktøyene er maktesløse: ingen bytekode-skanner flagger en lovlig, forhåndskunngjort vesting-utløsning som en trussel.

Pump.fun og 98,6 prosent-tallet

Ingen enkeltplattform har formet rug pull-samtalen i 2026 mer enn Pump.fun. Ideen var å gjøre token-skaping til noe hvem som helst kunne gjøre på sekunder, uten kode. Resultatet ble en fabrikk som har spyttet ut over syv millioner tokens siden januar 2024.

Den mest siterte statistikken kommer fra sikkerhetsselskapet Solidus Labs, som analyserte Solana-tokens og konkluderte med at 98,6 prosent av Pump.fun-tokenene endte som rug pulls eller på annet vis bar preg av svindel. Bare rundt 97 000 av dem holdt noen gang mer enn 1 000 dollar i likviditet, og den største enkeltsaken de fant, et token kalt «MToken», dreide seg om rundt 1,9 millioner dollar, ifølge CoinDesk.

Pump.fun avviste tallet. En talsperson, Troy Gravitt, svarte at «det Solidus Labs mangler, er en grunnleggende forståelse av memecoins», og argumentet er ikke uten kraft. En memecoin er ikke ment å være en investering med indre verdi; den er en kollektiv spøk med en prislapp, og de fleste går mot null av samme grunn som de fleste vitser blir glemt. Å kalle hver verdiløs memecoin en rug pull blander sammen svindel med normal dødelighet.

Men forsvaret har en svakhet. Plattformen har tjent enorme summer på strømmen, kumulativt over 935 millioner dollar (cirka 8,9 milliarder kroner) i inntekter ifølge tallene som også ligger til grunn for søksmålene. Når huset tjener uansett om spillerne vinner eller taper, blir «memecoins er bare moro» et vanskeligere argument å føre. Og det er akkurat den logikken saksøkerne griper fatt i.

Solana i skuddlinjen: RICO og «det digitale kasinoet»

Det opprinnelige søksmålet mot Pump.fun handlet om verdipapirlovgivning, om at plattformens tokens var uregistrerte verdipapirer solgt til publikum. I løpet av 2025 og 2026 vokste det til noe langt mer ambisiøst.

Vendepunktet kom da en varsler leverte over 5 000 interne meldinger som saksøkerne mener viser direkte koordinering mellom Solana Labs-ingeniører og Pump.fun-ansatte. I desember 2025 ga dommer Colleen McMahon i Southern District of New York grønt lys for å utvide saken, og den 7. januar 2026 ble den andre endrede samlestevningen levert. Den omdefinerte hele historien: ikke en plattform som solgte tvilsomme tokens, men et «Solana-Pump.fun-racketeering-foretak», der kjedeselskapet og stiftelsen angivelig ikke var passive infrastrukturleverandører, men aktive deltakere som vred utviklingsprioriteringene sine etter Pump.fun sine behov og delte i fortjenesten, ifølge Decrypt.

De juridiske grepene er verdt å merke seg. Saksøkerne påberoper seg RICO, den amerikanske loven mot organisert kriminalitet, med påstander om ulovlig pengespill, wire fraud, tyveri av immaterielle rettigheter og uregistrert pengeoverføring som underliggende handlinger, i tillegg til brudd på verdipapirloven av 1933 og urettmessig berikelse. Bildet de tegner er ikke en teknisk svindel, men et kasino: et hus som er bygget for at spilleren skal tape, uansett hvilket token hun velger.

Forsvaret svarte med de klassiske kryptoargumentene. Selskapene ba retten avvise saken, og hevdet at domstolen mangler jurisdiksjon, og at tokenene ikke er verdipapirer. Fristen for å levere avvisningsbegjæringene var 23. januar 2026, med saksøkernes tilsvar og forsvarets replikk utover februar. Ved skrivende stund har retten ikke avgjort de grunnleggende spørsmålene, og hele saken hviler fortsatt på dem: klarer et token å være et verdipapir, og kan en blokkjede holdes ansvarlig for hva folk bygger på den? Det er verdt å understreke at dette foreløpig er påstander, ikke bevis; ingen av de tiltalte er funnet skyldig i noe.

Nettopp det siste spørsmålet gjør saken til noe mer enn en enkelt tvist. Hvis en domstol godtar at en blokkjede og dens grunnleggere kan være part i et kriminelt foretak fordi noen brukte infrastrukturen til svindel, endrer det risikobildet for hele bransjen.

LIBRA og presidenten: rug pull som statsaffære

Hvis Pump.fun-saken handler om industriell skala, handler LIBRA om at en rug pull kan nå helt inn i et statsoverhode sitt kontor.

Den 14. februar 2025 la Argentinas president Javier Milei ut en melding på X som promoterte et token ved navn LIBRA, angivelig for å finansiere små argentinske bedrifter. Tokenet steg over 2 000 prosent på rundt 40 minutter og nådde en markedsverdi på rundt 4,4 milliarder dollar (cirka 42 milliarder kroner). Så kollapset det. Innsidere hadde posisjonert seg på forhånd og stakk av med rundt 87 millioner dollar (cirka 830 millioner kroner) på den første dagen, mens Milei slettet meldingen sin, ifølge CoinDesk. Anslagene over hva vanlige kjøpere tapte varierer, men de aller fleste satt igjen med tap.

Det gjør LIBRA til noe annet enn en anonym Solana-lansering. Da promotoren er en sittende president, blir spørsmålet om ansvar plutselig et konstitusjonelt et. Og saken er ikke lagt død. I april 2026 rapporterte CoinDesk at Mileis telefonlogger, ifølge New York Times, knytter ham tettere til operatørene bak tokenet, og at strafferettslige etterforskninger fortsatt pågår i Argentina, USA og Spania, ifølge CoinDesk. Milei er tidligere blitt renvasket av Argentinas antikorrupsjonskontor, men de rettslige sakene lever videre.

LIBRA viser hvorfor rug pull-begrepet har vokst ut av kodesfæren. Det var ingen honeypot her, ingen skjult mint. Våpenet var oppmerksomhet: en enkelt melding fra en mann med millioner av følgere og en viss troverdighet, brukt til å skape akkurat nok kjøpstrykk til at innsiderne kunne selge. Det er en påminnelse om at den dyreste komponenten i en moderne rug pull sjelden er koden. Det er tilliten.

Rug eller kollaps? Mantra-saken og bevisbyrden

Ikke alle sammenbrudd er rug pulls, og en av de vanskeligste øvelsene i 2026 er å skille en svindel fra en katastrofe.

Ta Mantra sitt OM-token. Den 14. april 2025 falt OM over 90 prosent på omtrent en time; rundt seks milliarder dollar (cirka 57 milliarder kroner) i markedsverdi ble utslettet da prisen stupte fra over seks dollar til under femti cent, ifølge CoinDesk. Reaksjonen var umiddelbar: mange kalte det en rug pull. Teamet selv skyldte på hensynsløse tvangslikvidasjoner på sentraliserte børser i en tynn søndagslikviditet, og pekte bort fra seg selv.

Bildet er uklart. On-chain-data viste at teamtilknyttede lommebøker flyttet OM til børser før krasjet, noe som ser mistenkelig ut. Samtidig fastslo ingen etterforskning at det faktisk var en innsideutgang, prosjektet fortsatte å operere, og teamet kunngjorde en stor token-brenning. Til forskjell fra en klassisk rug pull forsvant verken teamet eller pengene i en tydelig, sporbar bevegelse.

Det er nettopp derfor Mantra er lærerik. En rug pull krever intensjon og kontroll: noen som med hensikt tok noe de ikke hadde krav på. Begge deler er vanskelige å bevise når alt du har er en priskurve og noen bevegelser i lommebøker. Var det svindel, eller en dårlig konstruert token-økonomi som knakk under press? Svaret avgjør om dette er en sak for påtalemyndigheten eller bare en advarsel om risiko, og ofte lar det seg ikke avgjøre. De fleste tap i krypto lever i denne gråsonen, ikke i den rene, filmatiske rug pullen.

Håndhevelsen strammer til: DOJ, SEC og de to kommissærene

Mens sivile søksmål maler rundt Pump.fun, har amerikanske myndigheter beveget seg på to fronter, og de peker i hver sin retning.

Den 30. mars 2026 kunngjorde det amerikanske justisdepartementet «Operation Token Mirrors», en straffesak mot ti utenlandske statsborgere fra fire såkalte market maker-firmaer, anklaget for å ha manipulert kryptomarkeder gjennom vaskehandel, altså kjøp og salg med seg selv for å simulere aktivitet. I en undercover-operasjon som løp fra oktober 2024, opprettet FBI og skattemyndighetenes etterforskere sitt eget token, «Lexobit», for å avsløre metodene. I ett av firmaene var 99 prosent av et utvalg på over tolv hundre transaksjoner selvhandel mellom tilknyttede lommebøker, til rundt 5 000 dollar i måneden per kunde, ifølge TRM Labs. Flere ble utlevert fra Singapore, og enkelte har erkjent straffskyld.

Vaskehandel er ikke det samme som en rug pull, men den er ofte forstadiet: den kunstige aktiviteten som får et dødfødt token til å se levende ut lenge nok til at noen kjøper. Det DOJ demonstrerte, er at når det finnes navngitte, gripbare aktører, finnes det også håndheving.

Problemet er alt det som ikke har en navngitt aktør. Her går det amerikanske verdipapirtilsynet SEC i to retninger samtidig. I februar 2025 utstedte tilsynets stab en uttalelse om at de fleste memecoins ikke er verdipapirer; de mangler den «felles virksomheten» og forventningen om fortjeneste fra andres innsats som Howey-testen krever, og ligner mer på samleobjekter. Kommissær Hester Peirce oppsummerte linjen slik: «Mange av memecoinene som finnes der ute, har trolig ingen plass hos SEC under dagens regelverk», ifølge The Block.

Hennes kollega Caroline Crenshaw var skarpt uenig. I sitt dissensnotat kalte hun uttalelsen verdiløs «bortsett fra kanskje som et veikart for kryptoforetak som vil unngå tilsyn ved å kalle seg en memecoin», og pekte på at koordinering mellom utviklerteam og promotører nettopp kan oppfylle Howey-testens krav om fortjeneste fra andres innsats, ifølge SEC. Splittelsen er ikke akademisk. Hvis Peirce har rett, faller de fleste rug pull-ofre utenfor verdipapirvernet helt. Hvis Crenshaw har rett, er den samme døra åpen for enhver svindler som bare kaller prosjektet sitt en spøk.

Norge og EØS: der Finanstilsynet og MiCA stopper

For en norsk leser er det fristende å tenke at dette er et amerikansk problem. Det er det ikke, men rekkevidden til det norske og europeiske vernet er snevrere enn mange tror.

MiCA, EUs regelverk for kryptoeiendeler, er tatt inn i norsk rett gjennom kryptoeiendelsloven og gjelder i Norge via EØS-avtalen. Finanstilsynet fører tilsyn med tilbydere av kryptoeiendelstjenester, altså børser, vekslere og forvaringstjenester (CASP-er), mens Skatteetaten håndterer beskatningen, også av tap, som skal føres i skattemeldingen. På papiret er dette et solid rammeverk. I praksis har det et hull som er formet akkurat som en rug pull.

MiCA sitt fortalepunkt 22 unntar kryptoeiendeler «uten en identifiserbar utsteder» fra de mest krevende opplysningspliktene i regelverket. En fullstendig desentralisert memecoin lansert fra en anonym adresse har per definisjon ingen utsteder å regulere, ingen prospektplikt, ingen ansvarlig å saksøke. Tjenestetilbyderne som lister tokenet forblir i regelverket, men selve tokenet, og personen bak, glir ut. ESMA legger vekt på substans over form og krever reell desentralisering før unntaket gjelder, men gapet er der, og det er det samme gapet som SEC-kommissærene krangler om på den andre siden av Atlanteren.

Finanstilsynet er tydelig på hva dette betyr for forbrukeren. Tilsynet advarer om at kryptoinvesteringer bærer «svært høy risiko», og understreker at selv med MiCA er vernet ikke like omfattende som for tradisjonelle finansprodukter; du kan for eksempel ikke regne med å være dekket av noen erstatningsordning, og bør være ekstra varsom overfor tilbydere etablert utenfor EØS eller utenfor MiCA, ifølge Finanstilsynet. Det er den nøkterne versjonen av det hele artikkelen sirkler rundt: når poolen tømmes fra en adresse ingen kjenner, finnes det ingen kundeklageordning, ingen garantifond og ingen CASP å holde ansvarlig. Rettsoppgjørene i USA er dramatiske nettopp fordi de er unntaket, ikke regelen.

Slik gjennomskuer du et token før du kjøper

Ingen sjekkliste gjør deg immun, men de fleste rug pulls røper seg på forhånd for den som vet hva hun leter etter. Verktøyene faller i noen kategorier, og det er like viktig å forstå hva de ikke fanger.

En håndfull skannere leser kontrakten for deg. RugCheck er spesialisert på Solana og fungerer som et slags trafikklys som også ser etter klynger av tilknyttede innsidelommebøker. GoPlus Security gir kontraktsvurderinger på tvers av kjeder. Token Sniffer gransker EVM-bytekode og historikk, mens Honeypot.is simulerer et kjøp og et salg for å avsløre om salget i det hele tatt går gjennom. De besvarer alle det tekniske grunnspørsmålet: kan jeg selge dette igjen, og hvem sitter med makten?

Manuelt er det noen få forhold som betyr mest. Er likviditeten låst, og hvor lenge? Er kontraktens eierskap gitt fra seg, eller kan én adresse fortsatt prege og endre? Hvordan er tilbudet fordelt, sitter noen få lommebøker på en dominerende andel? Er teamet identifiserbart, eller helt anonymt? Og finnes det en oppgraderbar proxy uten tidslås, som kan gjøre dagens rene kontrakt til morgendagens felle?

Mye av dette handler om lommebokhygiene. Å bruke en lommebok som viser deg hva du faktisk signerer, og som advarer mot ondsinnede kontrakter, er et undervurdert forsvar; forskjellene mellom de store alternativene er reelle nok til at vi har testet dem opp mot hverandre i vår gjennomgang av MetaMask, Phantom og Rabby. Fremveksten av smarte kontoer, der lommeboken selv kan sette grenser og regler for hva den godtar, slik vi beskriver i artikkelen om account abstraction, peker mot et forsvar som er innebygd, ikke etterpåklokt.

Men her er den ubehagelige begrensningen, den samme som gikk igjen i PUMP-opplåsingen: ingen av disse verktøyene kan flagge en lovlig innsideutgang. En forhåndsannonsert vesting-utløsning, en VC-allokering som frigjøres etter planen, en memecoin som simpelthen mister interessen, alt dette passerer enhver skanner med glans. Den beste beskyttelsen mot den langsomme rug pullen er ikke en app, men en vane: å lese token-fordelingen og opplåsingskalenderen før du kjøper, ikke etter.

Revisjon, whitehats og grensene for teknisk forsvar

Et vanlig instinkt er å spørre: var prosjektet revidert? Svaret er ofte ja, og det hjelper mindre enn man skulle tro.

En smartkontraktsrevisjon vurderer koden på et gitt tidspunkt, mot et avtalt omfang. Den kan finne en honeypot-funksjon eller en usikret mint. Men den kan ikke stoppe en oppgraderbar kontrakt fra å byttes ut etter at revisjonen er levert, og den uttaler seg sjelden om intensjonen til menneskene bak. En revisjon er en uttalelse om kode, ikke en garanti mot svindel, og det er verdt å forstå nøyaktig hva et slikt dokument faktisk lover og ikke lover, slik vi går gjennom i vår gjennomgang av hva som egentlig står i en revisjonsrapport. Gjentatte hendelser der «revidert» kode likevel er blitt tømt, har gjort bransjen mer ærlig om dette: en revisjon flytter tilliten, den fjerner den ikke.

Det finnes et mer levende forsvarslag. Whitehat-miljøer og bug bounty-plattformer betaler etiske hackere for å finne feil før skurkene gjør det, og rapid-response-grupper griper stadig oftere inn midt i et angrep for å redde midler. Disse markedene for sikkerhet, med premiepotter og konkurranserevisjoner, har vokst til et reelt alternativ til den tradisjonelle enkeltrevisjonen, noe vi ser nærmere på i artikkelen om konkurranserevisjon og bug bounties. De er effektive mot kodefeil.

Og her ligger kjernen i hele problemet. Bug bounties, revisjoner og skannere er alle bygget for å finne feil i kode. En rug pull er ikke en feil i koden. Den er en beslutning tatt av et menneske, ofte helt i tråd med hva koden var ment å gjøre. Du kan ikke revidere deg ut av dårlig tro. Det tekniske forsvaret stopper der intensjonen begynner, og det er nettopp derfor oppgjøret i 2026 har flyttet seg fra revisjonsrapporten til rettssalen.

Kan exit-svindelen bygges bort?

Så kan rug pullen konstrueres bort? Delvis, og det er verdt å være ærlig om hvor grensen går.

Noe kan løses i kode. Låst eller brent likviditet, eierskap gitt fra seg, tidslåser på oppgraderinger og åpne, verifiserbare token-fordelinger fjerner de groveste harde rug pulls. Lanseringsplattformer kan gjøre slike vern til standard i stedet for til unntak, og noen gjør det allerede. En stadig mer kompetent deteksjonsindustri hever kostnaden ved den plumpe svindelen.

Men den lovlige rug pullen, innsideopplåsingen, den asymmetriske informasjonen, presidenten med en token-lenke, lar seg ikke kompilere bort. Den lever i insentiver, ikke i bytekode. Og gapet i regelverket, både MiCA sitt unntak for tokens uten utsteder og SEC sin uenighet om hva en memecoin egentlig er, betyr at den reneste versjonen av svindelen, den fra en anonym adresse, fortsatt faller mellom alle stoler.

Det gjør 2026 til et vendepunkt av det tvetydige slaget. RICO-søksmålet mot Solana, DOJ sin vaskehandelssak, den argentinske etterforskningen: for første gang møter exit-svindelen et rettsapparat som tar den på alvor. Om disse sakene vinner frem, kan de flytte ansvaret oppover, fra den anonyme skaperen til plattformene og infrastrukturen som tjener på strømmen. Om de taper, vil de ha bekreftet at den mest desentraliserte svindelen fortsatt er den tryggeste å begå. Uansett utfall er lærdommen for den enkelte den samme som den alltid har vært: i et marked uten garantifond er din egen aktsomhet fortsatt førstelinjeforsvaret, og ofte det eneste.

Ofte stilte spørsmål

Hva er forskjellen på en rug pull og et vanlig krypto-hack?

En rug pull er svindel bygd inn i prosjektet: skaperne tapper likviditet, preger nye tokens eller blokkerer salg, og koden gjør akkurat det den var ment å gjøre. Et hack utnytter en utilsiktet feil i kode eller nøkkelhåndtering. Ved en rug pull er gjerningspersonen prosjektet selv; ved et hack er prosjektet offeret.

Er det ulovlig å lage en rug pull, og kan man saksøke?

Ren likviditetstapping eller en honeypot kan forfølges som bedrageri, og i USA pågår store søksmål og straffesaker knyttet til memecoin-plattformer. Problemet er praktisk: er skaperen anonym og tokenet lansert uten en identifiserbar utsteder, finnes det ofte ingen å saksøke og ingen garantiordning som dekker tapet. En forhåndsannonsert innsideopplåsing er som regel fullt lovlig.

Dekker MiCA og Finanstilsynet meg hvis jeg taper penger på en rug pull?

Bare delvis. MiCA og Finanstilsynet regulerer tjenestetilbydere som børser og forvarere, men MiCA unntar kryptoeiendeler uten en identifiserbar utsteder fra de tyngste pliktene. Finanstilsynet er tydelig på at kryptovernet ikke er like omfattende som for tradisjonelle finansprodukter, og at du ikke kan regne med å være dekket av noen erstatningsordning.

Hvordan kan jeg sjekke om et token er en rug pull før jeg kjøper?

Bruk skannere som RugCheck, GoPlus eller Token Sniffer for å se om likviditeten er låst, om eierskapet er gitt fra seg, og om noen få lommebøker sitter på en dominerende andel. Sjekk om kontrakten er en oppgraderbar proxy uten tidslås. Og les token-fordelingen og opplåsingskalenderen nøye, for ingen skanner fanger en lovlig innsideutgang.

Hva var LIBRA-saken, og hvorfor er den fortsatt viktig?

LIBRA var et token som Argentinas president Javier Milei promoterte i februar 2025. Det steg over 2 000 prosent på minutter før det kollapset, og innsidere stakk av med rundt 87 millioner dollar. Saken er fortsatt viktig fordi den viser at en rug pull kan drives av oppmerksomhet og tillit alene, og fordi strafferettslige etterforskninger i flere land fremdeles pågår.

Av Anneke de Vries, redaktør for sikkerhet og DeFi i HOGE Wire.