\u00abRug pull\u00bb er blitt et av de mest brukte, og mest fryktede, uttrykkene i kryptoverdenen. Begrepet beskriver en svindelform der utviklerne bak et prosjekt plutselig trekker likviditeten eller p\u00e5 annen m\u00e5te t\u00f8mmer investorene for verdier, ofte i l\u00f8pet av sekunder. Navnet stammer fra det engelske uttrykket \u00ab\u00e5 trekke teppet vekk under noen\u00bb (to pull the rug out from under someone), og illustrerer presist hvor br\u00e5tt bakken forsvinner under f\u00f8ttene til dem som har investert.<\/p>
For DeFi-sektoren (desentralisert finans) er ikke rug pulls et sjeldent unntak, men en strukturell risiko som f\u00f8lger direkte av hvor lett det er \u00e5 lage og lansere et nytt token. Alt som skal til er noen minutter, en kopiert kodemal og tilgang til en desentralisert b\u00f8rs. If\u00f8lge Chainalysis<\/a> utgjorde rug pulls alene 2,8 milliarder dollar (rundt 27,2 milliarder kroner, med en dollarkurs p\u00e5 cirka 9,7 kroner) av svindeltapene i kryptomarkedet i 2021, \u00e5ret da fenomenet for alvor eksploderte i omfang. Siden den gang har mekanismene blitt bedre dokumentert, men langt fra utryddet.<\/p> I denne artikkelen ser vi n\u00e6rmere p\u00e5 hvordan en rug pull faktisk fungerer under panseret, de mest kjente sakene fra Meerkat Finance og AnubisDAO til LIBRA-skandalen i Argentina og Pump.fun sin memecoin-fabrikk, samt hvilke verkt\u00f8y og rutiner som faktisk hjelper deg \u00e5 unng\u00e5 \u00e5 bli det neste offeret.<\/p> En rug pull er en type exit-svindel der de som kontrollerer et kryptoprosjekt, typisk et nytt token p\u00e5 en desentralisert b\u00f8rs, forlater prosjektet med investorenes verdier. I motsetning til et tradisjonelt hack, der en ekstern angriper utnytter en s\u00e5rbarhet, er en rug pull som regel utf\u00f8rt av noen som allerede hadde legitim, innebygd kontroll: teamet selv, en tidlig investor, eller noen med adgang til likviditetspoolen eller kontraktens eierfunksjoner.<\/p> Det som gj\u00f8r rug pulls spesielt utbredt i akkurat DeFi, er at hvem som helst kan lage et token og opprette en likviditetspool p\u00e5 minutter, uten \u00e5 m\u00e5tte gjennom en b\u00f8rsnotering, en revisjon eller noen form for identitetskontroll. Plattformer som Pump.fun p\u00e5 Solana har gjort denne terskelen enda lavere, noe vi kommer tilbake til lenger ned. Resultatet er et marked der antallet nye tokens som lanseres hver eneste dag, telles i tusentall, og der de aller fleste aldri var ment \u00e5 overleve s\u00e6rlig lenge.<\/p> Chainalysis’ forskningsdirekt\u00f8r Kim Grauer oppsummerte utviklingen slik da 2021-tallene ble oppdatert: \u00abRug pulls have accelerated the amount of scamming the crypto space has seen this year.\u00bb Uttalelsen kom i forbindelse med at det totale svindelanslaget for 2021 ble justert opp til 14 milliarder dollar (rundt 135,8 milliarder kroner) da flere saker ble kartlagt i etterkant, se CNBC<\/a>.<\/p> For \u00e5 forst\u00e5 en rug pull m\u00e5 man forst\u00e5 likviditetspoolen. N\u00e5r et nytt token lanseres p\u00e5 en desentralisert b\u00f8rs som Uniswap, PancakeSwap eller Raydium, oppretter utviklerne som regel en pool med to eiendeler, for eksempel det nye tokenet og en etablert eiendel som ETH, BNB eller SOL. Denne poolen er det som lar folk faktisk kj\u00f8pe og selge tokenet, og verdien i poolen bestemmer hvor stor pris-p\u00e5virkning et enkelt kj\u00f8p eller salg har.<\/p> Den som legger inn likviditet, mottar s\u00e5kalte LP-token (liquidity provider-token) som beviser eierskap til andelen i poolen, og som kan l\u00f8ses inn mot den underliggende likviditeten n\u00e5r som helst. Dette er selve n\u00f8kkelen: dersom utviklerne beholder en stor andel LP-token selv, uten \u00e5 l\u00e5se dem med en tidsl\u00e5s, kan de n\u00e5r som helst l\u00f8se dem inn og trekke ut hele den etablerte eiendelen fra poolen. Igjen sitter investorene med et token det ikke lenger finnes noen reell kj\u00f8per til, fordi poolen som skulle prise det, er tom.<\/p> En annen mekanisme som ofte ligger bak b\u00e5de harde og myke rug pulls, er oppgraderbare kontrakter (proxy-kontrakter). Disse er i utgangspunktet et nyttig verkt\u00f8y som lar utviklere fikse feil og legge til funksjonalitet etter lansering, uten at brukerne m\u00e5 flytte til en helt ny adresse. Problemet oppst\u00e5r n\u00e5r denne oppgraderingsretten ikke er tidsforsinket eller underlagt noen form for kollektiv kontroll. Da kan et prosjekt fremst\u00e5 som ferdig og trygt i mange uker, for s\u00e5 \u00e5 bli oppgradert til en ondsinnet versjon i det stille rett f\u00f8r likviditeten forsvinner.<\/p> Dette skiller seg prinsipielt fra andre typer angrep i kryptosikkerhet. N\u00e5r signerere i en multisig-lommebok blir lurt til \u00e5 godkjenne en transaksjon de ikke egentlig forsto innholdet i, slik det skjedde i flere store saker beskrevet i v\u00e5r gjennomgang av beste praksis mot blindsignering<\/a>, er det en ekstern angriper som utnytter et sviktende grensesnitt. I en rug pull er det derimot ingen ekstern angriper \u00e5 lete etter. N\u00f8klene og rettighetene var der de skulle v\u00e6re hele tiden, det er bare eieren som forsvant med innholdet.<\/p> Bransjen skiller gjerne mellom harde og myke rug pulls, avhengig av hvor raskt og hvor ondsinnet svindelen er lagt opp fra starten av. En hard rug pull er planlagt fra f\u00f8rste kodelinje. Kontrakten inneholder som regel skjulte funksjoner, som muligheten for utvikleren til \u00e5 prege (mint) ubegrensede nye tokens, eller kode som gj\u00f8r det umulig for vanlige kj\u00f8pere \u00e5 selge tilbake. N\u00e5r svindelen utl\u00f8ses, skjer det gjerne i l\u00f8pet av minutter, og verdien forsvinner permanent.<\/p> Den mest kjente varianten av en hard rug pull er honeypot-kontrakten. Navnet kommer fra at ofrene, akkurat som insekter i en honningfelle, lokkes inn av en prisgraf som stiger og stiger. Kontrakten er bevisst konstruert slik at hvem som helst kan kj\u00f8pe, men bare en hvitelistet adresse (som regel utvikleren selv) kan selge. Alle andre som pr\u00f8ver \u00e5 selge, f\u00e5r transaksjonen sin til \u00e5 feile, gjerne med en uskyldig utseende feilmelding, mens prisen fortsetter \u00e5 klatre fordi ingen klarer \u00e5 ta ut gevinst og presse ned kursen.<\/p> Det mest kjente eksemplet er trolig Squid Game Token (SQUID), som utnyttet populariteten til Netflix-serien h\u00f8sten 2021. Tokenet steg fra br\u00f8kdeler av en cent til over 2 860 dollar (rundt 27 750 kroner) per enhet p\u00e5 litt over en uke, drevet av massiv medieoppmerksomhet, uten at en eneste kj\u00f8per klarte \u00e5 selge seg ut underveis. Da utviklerne til slutt t\u00f8mte likviditetspoolen 1. november 2021, falt prisen til praktisk talt null i l\u00f8pet av minutter, og rundt 3,3 millioner dollar (omtrent 32 millioner kroner) forsvant fra investorene, if\u00f8lge CoinDesk<\/a>. Saken ble et globalt referansepunkt nettopp fordi den viste hvor lite som skal til: intet nettsted av verdi, ingen sporbar teamside, bare hype og en kontrakt ingen hadde lest koden til.<\/p> En myk rug pull er sjeldnere en direkte forbrytelse fra dag \u00e9n, og havner ofte i et juridisk gr\u00e5sonelandskap. Her har prosjektet gjerne v\u00e6rt reelt nok i starten, men teamet mister interessen, slutter \u00e5 svare p\u00e5 henvendelser, og selger gradvis ned sine egne beholdninger i bakgrunnen mens de fortsatt later som prosjektet lever. Det er ingen enkelthendelse \u00e5 peke p\u00e5, bare en stille utbl\u00f8dning som kan strekke seg over uker eller m\u00e5neder f\u00f8r de gjenv\u00e6rende investorene skj\u00f8nner at ingen lenger jobber med produktet.<\/p> Denne typen svindel er vanskeligere \u00e5 bevise rettslig, nettopp fordi den kan forkles som normal prosjektrisiko: markeder svinger, team g\u00e5r tom for finansiering, og ikke alle mislykkede prosjekter er kriminelle. Forskningsselskapet Solidus Labs har dokumentert hvor utbredt fenomenet er p\u00e5 Raydium, Solanas st\u00f8rste desentraliserte b\u00f8rs, der hele 93 prosent av unders\u00f8kte likviditetspooler viste tegn til myk rug pull-oppf\u00f8rsel, med en median tapt verdi p\u00e5 rundt 2 800 dollar (omtrent 27 000 kroner) per pool, se gjennomgangen av Pump.fun-rapporten hos CoinDesk<\/a>, omtalt n\u00e6rmere lenger ned.<\/p> Et sentralt kjennetegn p\u00e5 begge typene er at innsidere sitter p\u00e5 en uforholdsmessig stor andel av tilbudet fra start. N\u00e5r en h\u00e5ndfull lommeb\u00f8ker kontrollerer flertallet av et tokens forsyning, holder det at bare noen av dem selger samtidig for \u00e5 utl\u00f8se et kursfall ingen vanlig investor rekker \u00e5 komme seg unna i tide.<\/p> Tabellen under oppsummerer de vanligste variantene og hvor raskt de typisk utspiller seg, som et raskt oppslagsverk f\u00f8r vi g\u00e5r gjennom konkrete saker fra kryptohistorien.<\/p>Hva er en rug pull?<\/h2>
Slik fungerer mekanikken: likviditetspooler og LP-token<\/h2>
Harde rug pulls og honeypot-kontrakter<\/h2>
Myke rug pulls: den langsomme utbl\u00f8dningen<\/h2>
Kjennetegn p\u00e5 de ulike rug pull-typene<\/h2>