Rug pull forklart: derfor forsvinner DeFi-prosjekter over natten

«Rug pull» er blitt et av de mest brukte, og mest fryktede, uttrykkene i kryptoverdenen. Begrepet beskriver en svindelform der utviklerne bak et prosjekt plutselig trekker likviditeten eller på annen måte tømmer investorene for verdier, ofte i løpet av sekunder. Navnet stammer fra det engelske uttrykket «å trekke teppet vekk under noen» (to pull the rug out from under someone), og illustrerer presist hvor brått bakken forsvinner under føttene til dem som har investert.

For DeFi-sektoren (desentralisert finans) er ikke rug pulls et sjeldent unntak, men en strukturell risiko som følger direkte av hvor lett det er å lage og lansere et nytt token. Alt som skal til er noen minutter, en kopiert kodemal og tilgang til en desentralisert børs. Ifølge Chainalysis utgjorde rug pulls alene 2,8 milliarder dollar (rundt 27,2 milliarder kroner, med en dollarkurs på cirka 9,7 kroner) av svindeltapene i kryptomarkedet i 2021, året da fenomenet for alvor eksploderte i omfang. Siden den gang har mekanismene blitt bedre dokumentert, men langt fra utryddet.

I denne artikkelen ser vi nærmere på hvordan en rug pull faktisk fungerer under panseret, de mest kjente sakene fra Meerkat Finance og AnubisDAO til LIBRA-skandalen i Argentina og Pump.fun sin memecoin-fabrikk, samt hvilke verktøy og rutiner som faktisk hjelper deg å unngå å bli det neste offeret.

Hva er en rug pull?

En rug pull er en type exit-svindel der de som kontrollerer et kryptoprosjekt, typisk et nytt token på en desentralisert børs, forlater prosjektet med investorenes verdier. I motsetning til et tradisjonelt hack, der en ekstern angriper utnytter en sårbarhet, er en rug pull som regel utført av noen som allerede hadde legitim, innebygd kontroll: teamet selv, en tidlig investor, eller noen med adgang til likviditetspoolen eller kontraktens eierfunksjoner.

Det som gjør rug pulls spesielt utbredt i akkurat DeFi, er at hvem som helst kan lage et token og opprette en likviditetspool på minutter, uten å måtte gjennom en børsnotering, en revisjon eller noen form for identitetskontroll. Plattformer som Pump.fun på Solana har gjort denne terskelen enda lavere, noe vi kommer tilbake til lenger ned. Resultatet er et marked der antallet nye tokens som lanseres hver eneste dag, telles i tusentall, og der de aller fleste aldri var ment å overleve særlig lenge.

Chainalysis’ forskningsdirektør Kim Grauer oppsummerte utviklingen slik da 2021-tallene ble oppdatert: «Rug pulls have accelerated the amount of scamming the crypto space has seen this year.» Uttalelsen kom i forbindelse med at det totale svindelanslaget for 2021 ble justert opp til 14 milliarder dollar (rundt 135,8 milliarder kroner) da flere saker ble kartlagt i etterkant, se CNBC.

Slik fungerer mekanikken: likviditetspooler og LP-token

For å forstå en rug pull må man forstå likviditetspoolen. Når et nytt token lanseres på en desentralisert børs som Uniswap, PancakeSwap eller Raydium, oppretter utviklerne som regel en pool med to eiendeler, for eksempel det nye tokenet og en etablert eiendel som ETH, BNB eller SOL. Denne poolen er det som lar folk faktisk kjøpe og selge tokenet, og verdien i poolen bestemmer hvor stor pris-påvirkning et enkelt kjøp eller salg har.

Den som legger inn likviditet, mottar såkalte LP-token (liquidity provider-token) som beviser eierskap til andelen i poolen, og som kan løses inn mot den underliggende likviditeten når som helst. Dette er selve nøkkelen: dersom utviklerne beholder en stor andel LP-token selv, uten å låse dem med en tidslås, kan de når som helst løse dem inn og trekke ut hele den etablerte eiendelen fra poolen. Igjen sitter investorene med et token det ikke lenger finnes noen reell kjøper til, fordi poolen som skulle prise det, er tom.

En annen mekanisme som ofte ligger bak både harde og myke rug pulls, er oppgraderbare kontrakter (proxy-kontrakter). Disse er i utgangspunktet et nyttig verktøy som lar utviklere fikse feil og legge til funksjonalitet etter lansering, uten at brukerne må flytte til en helt ny adresse. Problemet oppstår når denne oppgraderingsretten ikke er tidsforsinket eller underlagt noen form for kollektiv kontroll. Da kan et prosjekt fremstå som ferdig og trygt i mange uker, for så å bli oppgradert til en ondsinnet versjon i det stille rett før likviditeten forsvinner.

Dette skiller seg prinsipielt fra andre typer angrep i kryptosikkerhet. Når signerere i en multisig-lommebok blir lurt til å godkjenne en transaksjon de ikke egentlig forsto innholdet i, slik det skjedde i flere store saker beskrevet i vår gjennomgang av beste praksis mot blindsignering, er det en ekstern angriper som utnytter et sviktende grensesnitt. I en rug pull er det derimot ingen ekstern angriper å lete etter. Nøklene og rettighetene var der de skulle være hele tiden, det er bare eieren som forsvant med innholdet.

Harde rug pulls og honeypot-kontrakter

Bransjen skiller gjerne mellom harde og myke rug pulls, avhengig av hvor raskt og hvor ondsinnet svindelen er lagt opp fra starten av. En hard rug pull er planlagt fra første kodelinje. Kontrakten inneholder som regel skjulte funksjoner, som muligheten for utvikleren til å prege (mint) ubegrensede nye tokens, eller kode som gjør det umulig for vanlige kjøpere å selge tilbake. Når svindelen utløses, skjer det gjerne i løpet av minutter, og verdien forsvinner permanent.

Den mest kjente varianten av en hard rug pull er honeypot-kontrakten. Navnet kommer fra at ofrene, akkurat som insekter i en honningfelle, lokkes inn av en prisgraf som stiger og stiger. Kontrakten er bevisst konstruert slik at hvem som helst kan kjøpe, men bare en hvitelistet adresse (som regel utvikleren selv) kan selge. Alle andre som prøver å selge, får transaksjonen sin til å feile, gjerne med en uskyldig utseende feilmelding, mens prisen fortsetter å klatre fordi ingen klarer å ta ut gevinst og presse ned kursen.

Det mest kjente eksemplet er trolig Squid Game Token (SQUID), som utnyttet populariteten til Netflix-serien høsten 2021. Tokenet steg fra brøkdeler av en cent til over 2 860 dollar (rundt 27 750 kroner) per enhet på litt over en uke, drevet av massiv medieoppmerksomhet, uten at en eneste kjøper klarte å selge seg ut underveis. Da utviklerne til slutt tømte likviditetspoolen 1. november 2021, falt prisen til praktisk talt null i løpet av minutter, og rundt 3,3 millioner dollar (omtrent 32 millioner kroner) forsvant fra investorene, ifølge CoinDesk. Saken ble et globalt referansepunkt nettopp fordi den viste hvor lite som skal til: intet nettsted av verdi, ingen sporbar teamside, bare hype og en kontrakt ingen hadde lest koden til.

Myke rug pulls: den langsomme utblødningen

En myk rug pull er sjeldnere en direkte forbrytelse fra dag én, og havner ofte i et juridisk gråsonelandskap. Her har prosjektet gjerne vært reelt nok i starten, men teamet mister interessen, slutter å svare på henvendelser, og selger gradvis ned sine egne beholdninger i bakgrunnen mens de fortsatt later som prosjektet lever. Det er ingen enkelthendelse å peke på, bare en stille utblødning som kan strekke seg over uker eller måneder før de gjenværende investorene skjønner at ingen lenger jobber med produktet.

Denne typen svindel er vanskeligere å bevise rettslig, nettopp fordi den kan forkles som normal prosjektrisiko: markeder svinger, team går tom for finansiering, og ikke alle mislykkede prosjekter er kriminelle. Forskningsselskapet Solidus Labs har dokumentert hvor utbredt fenomenet er på Raydium, Solanas største desentraliserte børs, der hele 93 prosent av undersøkte likviditetspooler viste tegn til myk rug pull-oppførsel, med en median tapt verdi på rundt 2 800 dollar (omtrent 27 000 kroner) per pool, se gjennomgangen av Pump.fun-rapporten hos CoinDesk, omtalt nærmere lenger ned.

Et sentralt kjennetegn på begge typene er at innsidere sitter på en uforholdsmessig stor andel av tilbudet fra start. Når en håndfull lommebøker kontrollerer flertallet av et tokens forsyning, holder det at bare noen av dem selger samtidig for å utløse et kursfall ingen vanlig investor rekker å komme seg unna i tide.

Kjennetegn på de ulike rug pull-typene

Tabellen under oppsummerer de vanligste variantene og hvor raskt de typisk utspiller seg, som et raskt oppslagsverk før vi går gjennom konkrete saker fra kryptohistorien.

Historiske case fra rug pull-historien

Våren 2021 ble en slags generalprøve for hele rug pull-fenomenet på Binance Smart Chain, den gangen kjeden nummer to for DeFi-aktivitet etter Ethereum. Meerkat Finance, en yield farming-protokoll, rakk knapt å eksistere i 24 timer før rundt 31 millioner dollar (i overkant av 300 millioner kroner) i BNB og BUSD forsvant fra to hvelv i protokollen. Teamets nettside og alle sosiale kanaler ble slettet umiddelbart etterpå, og selv om Meerkat selv hevdet det dreide seg om et hack, pekte tekniske analyser på at angriperen fikk kontroll over hvelvene gjennom en tillatelsesløs oppgraderingsfunksjon bare utvikleren burde hatt tilgang til, se Decrypt.

Bare noen uker senere, i april 2021, mistet Uranium Finance rundt 50 millioner dollar (nærmere 485 millioner kroner) i forbindelse med en migrering til en ny kontraktversjon. Teamet hevdet det var en utilsiktet feil i koden som lot en angriper mangedoble saldoen sin før uttak, ikke et bevisst tyveri, men mistanken om en innsidejobb har hengt ved saken siden. Historien fikk en overraskende halepinne nesten fire år senere: i februar 2025 kunngjorde amerikanske myndigheter at de hadde beslaglagt 31 millioner dollar (rundt 301 millioner kroner) i kryptovaluta knyttet til saken, og en mann fra Maryland ble senere siktet. Det er et sjeldent eksempel på at etterforskning faktisk tar igjen en sak år etter at pengene forsvant, se Cointelegraph.

Det tredje store 2021-tilfellet, AnubisDAO, er kanskje det mest instruktive av alle nettopp fordi det var så åpenbart i ettertid. Prosjektet hadde verken nettside eller whitepaper, alle utviklerne opererte under pseudonymer, og likevel klarte det å reise 13 597 ETH, den gang verdt rundt 60 millioner dollar (cirka 582 millioner kroner), på under 24 timer. Under 20 timer etter at salget startet, tømte adressen som hadde opprettet likviditetspoolen, hele beholdningen. Twitter-kontoen som hadde vært ansiktet utad forsvant samtidig, og både amerikansk og Hongkong-basert politi ble koblet inn i etterforskningen, se Decrypt. Saken illustrerer et mønster som går igjen: fraværet av grunnleggende åpenhet, som en identifiserbar utvikler eller en revidert kontrakt, er selv et faresignal, ikke bare en detalj man kan overse fordi avkastningen ser fristende ut.

En fjerde sak fra samme periode, DeFi100, illustrerer hvor vanskelig det ofte er å slå fast hva som egentlig skjedde. I mai 2021 dukket det opp en melding på prosjektets nettside der det sto: «We scammed you guys, and you can’t do anything about it.» Analytikere anslo raskt at rundt 32 millioner dollar (i overkant av 310 millioner kroner) hadde forsvunnet. Timer senere hevdet DeFi100-teamet på Twitter at nettsiden i stedet var blitt hacket, at meldingen var lagt inn av en utenforstående, og at prosjektets markedsverdi aldri hadde oversteget 2 millioner dollar i utgangspunktet, se The Defiant. Saken ble aldri fullstendig oppklart, og det er nettopp det som gjør den nyttig som eksempel: for et utenforstående offer spiller det liten rolle om det var et hack, en rug pull, eller noe midt imellom. Pengene var uansett borte.

NFT- og kjendis-rug pulls: Frosties og LIBRA-skandalen

Rug pulls er ikke forbeholdt DeFi-tokens. Under NFT-boomen i 2021 og 2022 dukket det opp en rekke prosjekter som samlet inn forhåndssalg, for så å forsvinne rett etter at samlingen var utsolgt. Det mest rettslig betydningsfulle tilfellet er trolig Frosties, en samling på 8 888 iskrem-tema NFT-er som samlet inn rundt 1,1 millioner dollar (omtrent 10,7 millioner kroner) i januar 2022. Timer etter at forhåndssalget var utsolgt, forsvant nettsiden og alle sosiale kanaler, og pengene ble flyttet gjennom en rekke lommebøker. Det som gjør saken spesiell, er hva som skjedde etterpå: amerikanske påtalemyndigheter tiltalte de to grunnleggerne for bedrageri og hvitvasking allerede i mars 2022, i det som regnes som den første føderale rug pull-tiltalen i NFT-sektoren, se den offisielle kunngjøringen fra det amerikanske justisdepartementet. Vår egen gjennomgang av NFT-markedets utvikling gjennom OpenSea, Blur og Magic Eden viser samtidig hvor mye mer profesjonalisert selve handelsinfrastrukturen er blitt siden den gang, selv om verifiseringen av selve prosjektene fortsatt i stor grad er opp til den enkelte kjøper.

Den desidert største og mest politisk betente saken de siste årene er likevel LIBRA-tokenet i Argentina. Den 14. februar 2025 promoterte president Javier Milei tokenet i et innlegg på X, og markedsverdien passerte 4,5 milliarder dollar (nærmere 44,2 milliarder kroner) i løpet av bare rundt en time. Timer senere hadde innsidere hevet ut over 107 millioner dollar (rundt 1,04 milliarder kroner) i likviditet, og tokenet stupte nesten 94 prosent i verdi. Samlet tapte om lag 74 000 investorer rundt 286 millioner dollar (cirka 2,77 milliarder kroner), ifølge Forbes. Milei slettet innlegget sitt og avviste kjennskap til detaljene, men den argentinske nasjonalforsamlingen konkluderte senere i en granskningsrapport med mistanke om bedrageri knyttet til promoteringen.

Det som gjør LIBRA-saken enda mer talende, er hvem som dukker opp igjen i etterkant. Flere av personene og selskapene knyttet til lanseringen, inkludert investeringsmiljøet Kelsier og Solana-børsen Meteora, ble senere saksøkt i et separat søksmål i USA for en nesten identisk manøver med et annet token kalt M3M3: ifølge søksmålet skal en gruppe på rundt 150 innsidelommebøker ha tilegnet seg kontroll over omtrent 95 prosent av tilbudet i løpet av 20 minutter etter lansering, med et samlet tap på rundt 69 millioner dollar (omtrent 669 millioner kroner), se Cointelegraph. Mønsteret er sjelden isolert: de samme aktørene og de samme teknikkene går igjen, bare med et nytt tokennavn og et nytt sett med ofre.

Pump.fun og memecoin-fabrikken

Ingen enkeltplattform illustrerer skalaen på moderne rug pulls bedre enn Pump.fun. Siden lanseringen i januar 2024 har over 7 millioner tokens blitt laget på plattformen, som lar hvem som helst lansere et Solana-token på under et minutt uten kode eller kapital i ryggen. Av alle disse tokenene var det bare rundt 97 000, godt under to prosent, som noensinne klarte å opprettholde så mye som 1 000 dollar i likviditet.

Forskningsselskapet Solidus Labs gikk gjennom datagrunnlaget og konkluderte med at hele 98,6 prosent av alle tokens lansert på Pump.fun endte som enten rug pulls eller andre former for pump-and-dump-svindel. Pump.fun sin egen talsperson, Troy Gravitt, avviste konklusjonen og svarte at «What Solidus Labs lacks is a basic understanding of memecoins», og argumenterte for at de fleste memecoins uansett aldri var ment å ha langsiktig verdi, omtrent på samme måte som han sammenlignet dem med NFT-er og samlekort, se CoinDesk.

Debatten peker på et grunnleggende definisjonsproblem: hvis nesten ingen memecoins var ment å vare, er lav levetid da egentlig svindel, eller bare produktets natur? Ethereum-grunnlegger Vitalik Buterin har tatt et klart standpunkt. I et innlegg på X advarte han mot kulturen rundt memecoins med ordene «Memes glorifying being ‘all in’ in a financial sense on things you did not even know about 5 years ago are toxic and should be pushed back against», og sammenlignet i praksis memecoin-handel med gambling snarere enn investering, se AMBCrypto. Uansett hvilken side man lander på i den debatten, er tallene fra Pump.fun et godt bilde på hvorfor rug pull-mekanismer har blitt allemannseie snarere enn et sjeldent unntak.

Tap fra rug pulls og relatert svindel: sakene oppsummert

Tallene under samler de dokumenterte tapstallene fra sakene omtalt over, satt inn i én tabell for enkel sammenligning. De bør leses som anslag fra hver enkelt kilde, ikke som en offisiell samlet fasit.

Slik oppdager du en rug pull før du investerer

Det finnes ingen garanti, men flere konkrete sjekkpunkter fanger opp de fleste åpenbare rug pulls før du setter inn penger. Se etter disse varselsignalene:

• Ulåst likviditet: hvis LP-tokenene ikke er låst med en tidslås hos en tredjepart, kan utvikleren trekke ut poolen når som helst.
• Konsentrert eierskap: hvis noen få lommebøker sitter på en stor andel av forsyningen, kan de dumpe samtidig og knuse kursen.
• Uverifisert eller urevidert kode: en kontrakt ingen sikkerhetsselskap har sett på, kan skjule mint-funksjoner eller salgsblokkering.
• Anonymt team uten sporbar historikk: legitime prosjekter har som regel identifiserbare personer eller i det minste en lang, konsistent track record.
• Unaturlig aggressiv markedsføring: press om å komme inn nå, kombinert med kjendisstøtte, er et klassisk mønster fra både Squid Game-saken og LIBRA-skandalen.

I tillegg finnes det flere gratis verktøy som automatiserer deler av denne sjekken. Ingen av dem er ufeilbarlige alene, så de fleste erfarne handlere kombinerer minst to.

Husk at ingen av disse verktøyene kan se inn i fremtiden. De sjekker om koden i dag inneholder kjente rug pull-mønstre, ikke om teamet bak har til hensikt å forsvinne om tre uker. En «ren» rapport er derfor et nødvendig, men ikke tilstrekkelig, tegn på at et prosjekt er trygt.

Revisorenes rolle, og grensene for hva en audit kan love

En smart kontrakt-revisjon fra et anerkjent sikkerhetsselskap reduserer risikoen for tekniske sårbarheter betraktelig, men løser ikke rug pull-problemet alene. En revisjon vurderer om koden gjør det den utgir seg for å gjøre og om den inneholder kjente sårbarhetsmønstre, ikke om menneskene bak faktisk har gode hensikter. Et prosjekt kan bestå en fullstendig revisjon og likevel bli en rug pull dersom utvikleren senere velger å bruke en lovlig admin-nøkkel til å tømme likviditeten, rett og slett fordi kontrakten aldri hadde noe krav om at den nøkkelen skulle brukes ansvarlig.

Vår egen dekning av Trail of Bits, en av bransjens mest anerkjente revisorer, går grundigere inn på nettopp dette skillet: selv de beste revisjonsselskapene er tydelige på at en audit er et øyeblikksbilde av koden på et gitt tidspunkt, ikke en garanti mot fremtidig oppførsel fra teamet. Det samme gjelder for øvrig andre kjente sikkerhetsmerker i bransjen. En revisjonsrapport bør derfor leses som ett av flere datapunkter, ikke som et kvalitetsstempel som gjør videre due diligence overflødig.

Et nyttig sjekkpunkt er om revisjonen faktisk dekker den kontrakten som er live, med riktig adresse og riktig versjon, og om rapporten er offentlig tilgjengelig i sin helhet fremfor bare et merke eller en logo på nettsiden. Falske eller utdaterte revisjonsmerker har selv blitt en egen kategori av villedning i bransjen.

Regulering: hvorfor Finanstilsynet og MiCA sjelden fanger opp rug pulls

I Norge trådte kryptoeiendelsloven i kraft 1. juli 2025, som gjennomfører EUs MiCA-forordning gjennom EØS-avtalen. Regelverket pålegger blant annet leverandører av kryptoeiendelstjenester (CASP-er) konsesjonsplikt, og dekker også markedsmisbruk, altså innsidehandel og manipulasjon, se Finanstilsynet. Problemet er at de aller fleste rug pulls skjer helt utenfor dette systemet. Et token lansert direkte på en desentralisert børs, uten en regulert mellommann som tilbyr oppbevaring eller handel på vegne av kunder, faller som regel utenfor CASP-definisjonen fullstendig. Det finnes rett og slett ingen tilsynsobjekt for Finanstilsynet å føre tilsyn med.

Et element som kan bli mer relevant fremover, er MiCAs regler om markedsmisbruk under regelverkets tittel VI, som gjelder innsidehandel og markedsmanipulasjon og trer i kraft i sin helhet 28. juli 2026 i hele EU/EØS-området. Disse reglene er likevel primært skrevet for kryptoeiendeler som er tatt opp til handel av en regulert CASP, og et token som utelukkende handles på en desentralisert børs uten noen slik mellommann, vil fortsatt i stor grad falle utenfor. Skillet mellom et regulert marked og en ren peer-to-peer-protokoll er dermed fortsatt det som avgjør om et rug pull-offer har noen regulatorisk vei å gå, uavhengig av hvor mye strengere selve regelverket blir.

Det samme mønsteret gjenfinnes i USA, riktignok fra en litt annen vinkel. I februar 2025 konkluderte en stabsuttalelse fra det amerikanske verdipapirtilsynet SECs avdeling for selskapsfinansiering med at de fleste memecoins ikke regnes som verdipapirer under amerikansk lov, og dermed ikke trenger registrering, se SEC. Det betyr i praksis at det viktigste amerikanske finanstilsynet uttrykkelig har plassert nettopp den tokenkategorien flest rug pulls skjer innenfor, utenfor sitt eget hovedverktøy for håndheving. Ikke alle i SEC var enige: kommissær Caroline Crenshaw kalte uttalelsen «an incomplete, unsupported view of the law» i sin offentlige dissens samme dag.

Det som faktisk fungerer som håndhevingsverktøy i praksis, er ikke finansregulering, men ordinær strafferett: bedrageri- og hvitvaskingslovgivning, slik som i Frosties-saken omtalt over. Problemet med den ruten er at den er langsom, ofte avhengig av at gjerningspersonene kan identifiseres og pågripes i en jurisdiksjon som samarbeider, og at midlene i mellomtiden gjerne har blitt vasket gjennom flere kjeder og miksetjenester. For norske investorer som opplever å bli lurt, er første steg som regel å dokumentere alt og varsle Økokrim, men realistisk sett er sjansen for å få pengene tilbake lav med mindre saken er stor nok til å utløse internasjonal etterforskning.

Rug pulls i det større bildet: governance-angrep og brohacks

Rug pulls er bare én gren av et bredere tre av angrepstyper som rammer DeFi og krypto for øvrig, og grensene mellom kategoriene er ikke alltid krystallklare. Et governance-angrep, der noen låner eller kjøper seg nok stemmerett til midlertidig å kapre en protokolls styringsmekanisme og deretter stemme gjennom et forslag som tapper skattkammeret, kan i praksis se ut akkurat som en rug pull sett fra investorens ståsted, selv om selve teknikken er helt annerledes. Vår gjennomgang av governance-angrep fra Beanstalk til BonkDAO går nærmere inn på hvordan stemmemakt i seg selv kan bli et våpen, uavhengig av om noen kode i det hele tatt inneholder en feil.

Brohacks representerer en tredje kategori som ofte forveksles med rug pulls i overskrifter, men som handler om noe helt annet: en ekstern angriper som utnytter svakheter i infrastrukturen som binder ulike blokkjeder sammen, snarere enn en innsider som forsvinner med egne midler. Som vår gjennomgang av bro-hack forklarer, har denne kategorien alene kostet økosystemet titalls milliarder kroner gjennom saker som Ronin og Wormhole. Det som binder alle disse kategoriene sammen, er ikke teknikken, men konsekvensen: investorer som trodde de forsto risikoen de tok, oppdager i etterkant at de rett og slett ikke hadde nok informasjon til å vurdere den riktig.

Kan rug pulls stoppes? Veien videre

Det er lite som tyder på at rug pulls forsvinner med det første, men verktøyene for å begrense skadeomfanget blir gradvis bedre. Flere desentraliserte børser og lanseringsplattformer har innført obligatorisk likviditetslåsing som standardinnstilling snarere enn et valgfritt tillegg, og analyseselskaper som Chainalysis og Solidus Labs klarer i økende grad å identifisere mønstre på tvers av titusenvis av tokens automatisk, i stedet for å granske hver sak enkeltvis i etterkant.

Noen protokoller har også begynt å eksperimentere med forsikringsordninger og reservefond som kompensasjon dersom noe går galt, samt strengere krav til lansering på de mest brukte plattformene, som verifisering av teamets identitet overfor plattformen selv uten at dette nødvendigvis gjøres offentlig. Slike tiltak reduserer risikoen på margen, men endrer ikke det grunnleggende bildet: så lenge det finnes desentraliserte børser hvor hvem som helst kan liste et token uten portvokter, vil det alltid eksistere et lag av markedet som er strukturelt sårbart for nøyaktig den typen svindel denne artikkelen beskriver.

Samtidig er det verdt å understreke at det til syvende og sist er insentivstrukturen som må endres, ikke bare deteksjonsverktøyene. Så lenge det er enkelt, billig og i praksis konsekvensfritt å lansere et token, samle inn likviditet og forsvinne, vil noen fortsette å gjøre nettopp det. Debatten mellom Pump.fun og Solidus Labs om hvorvidt 98,6 prosent-tallet er «riktig» eller ikke, overskygger et enklere poeng: uansett hvilket tall man lander på, er det uforholdsmessig mange nye tokens som aldri var ment å skape varig verdi for noen andre enn de som lanserte dem.

For den enkelte investor er konklusjonen derfor uendret selv om verktøyene blir bedre: den beste beskyttelsen er sunn skepsis, en vane med å sjekke likviditetslåsing og eierskapskonsentrasjon før man kjøper, og en aksept for at et hvilket som helst nylansert token uten sporbar historikk bør behandles som høyeste risikokategori, uavhengig av hvor overbevisende markedsføringen er.

Ofte stilte spørsmål

Hva er en rug pull i kryptovaluta?

En rug pull er en svindelform der utviklerne bak et kryptoprosjekt plutselig fjerner likviditeten eller på annen måte tømmer investorene for verdier, slik at tokenet blir verdiløst. Navnet kommer fra uttrykket å trekke teppet vekk under noen, og brukes typisk om nye DeFi-tokens, memecoins eller NFT-prosjekter der utviklerne forsvinner med pengene kort tid etter lansering.

Hvordan kan jeg se om en token er en rug pull før jeg kjøper?

Sjekk om likviditeten er låst med en tidslås, om kontrakten er verifisert og revidert, om eierskapsfunksjoner som fri minting er fjernet, og om token-fordelingen er spredt på mange lommebøker i stedet for konsentrert hos noen få adresser. Verktøy som Token Sniffer og CertiK Skynet kan simulere kjøp og salg for å avsløre om kontrakten faktisk lar deg selge tilbake, men ingen enkeltverktøy fanger opp alt, så bruk gjerne flere samtidig.

Er det ulovlig å gjennomføre en rug pull?

Ja, i de fleste jurisdiksjoner regnes en rug pull som bedrageri dersom det kan bevises at utviklerne handlet med forsett om å lure investorene, slik som i Frosties-saken i USA der to grunnleggere ble tiltalt av påtalemyndigheten. Problemet er at bevisbyrden er høy, utviklerne er ofte anonyme, og pengene flyttes raskt på tvers av landegrenser, noe som gjør etterforskning og påtale krevende.

Hva er forskjellen på en rug pull og et hack?

En rug pull utføres som regel av prosjektets egne utviklere eller innsidere, som allerede har legitim tilgang til likviditeten eller kontrakten. Et hack innebærer derimot at en ekstern angriper utnytter en sårbarhet i koden eller infrastrukturen for å stjele midler prosjektet egentlig kontrollerte lovlig, omtrent slik det skjer ved brohacks eller angrep på multisig-lommebøker. I praksis kan skillet være vanskelig å bevise i etterkant, siden begge kan se identiske ut on-chain.

Kan jeg få pengene tilbake etter en rug pull?

Sjansen er dessverre lav. Fordi de fleste rug pulls skjer gjennom desentraliserte protokoller uten en regulert mellommann, faller de som regel utenfor MiCA-regelverket som Finanstilsynet håndhever, og det finnes ingen automatisk erstatningsordning. Noen saker ender likevel med delvis inndragning år senere, slik som når amerikanske myndigheter beslagla midler knyttet til Uranium Finance-saken flere år etter hendelsen, men dette er unntaket, ikke regelen.

Skrevet av Ingrid Halvorsen for HOGE Wire.