Scopri un nuovo token su un social network. Il grafico si muove velocemente, la community grida che la prevendita sta per finire e il sito web promette rendimenti straordinari a chi acquista in anticipo. La tentazione è quella di decidere in pochi minuti. Ed è proprio in questi momenti che è più difficile individuare una truffa: prima dell'uscita, il progetto può apparire dinamico, liquido e legittimo.
Il termine "rug pull" descrive generalmente uno schema fraudolento nel settore delle criptovalute in cui persone interne o promotori estraggono improvvisamente valore da un progetto, ad esempio prosciugando la liquidità, vendendo una posizione concentrata di token, abusando dei controlli privilegiati sui contratti o rendendo di fatto l'asset invendibile. Non tutti i token falliti o mal progettati sono un "rug pull" e nessun singolo segnale di allarme dimostra una frode. L'obiettivo di questa guida è quello di combinare diverse verifiche indipendenti prima di mettere a rischio denaro o permessi del portafoglio.
Il processo descritto di seguito procede dai controlli più rapidi a una revisione on-chain più approfondita. Se un progetto fallisce miseramente un controllo iniziale, non è necessario continuare ad approfondire solo per giustificare l'abbandono del progetto.
Partiamo dalla presentazione di vendita. Il personale addetto all'educazione degli investitori della Securities and Exchange Commission (SEC) statunitense avverte ripetutamente che le promesse di rendimenti elevati o garantiti, rischi bassi o nulli, offerte non richieste e pressioni per agire immediatamente sono classici segnali di allarme di una possibile frode. Anche la Federal Trade Commission (FTC) avverte che nessuno può garantire profitti con le criptovalute.
Prima di esaminare il codice, poniti tre semplici domande:
Un progetto legittimo può comunque ricorrere a strategie di marketing aggressive, ma l'urgenza non dovrebbe mai sostituire la dovuta diligenza. Consultate l'avviso agli investitori della SEC del 2024 sulle truffe legate alle criptovalute e le linee guida della FTC in materia per gli avvisi ai consumatori più recenti.
Successivamente, verifica se le persone, il prodotto e il codice possono essere verificati in modo indipendente. Cerca una descrizione tecnica che spieghi la funzione del token, un indirizzo di contratto coerente pubblicato su tutti i canali ufficiali, una cronologia di sviluppo e informazioni sul team che possano essere verificate al di fuori del sito del progetto.
Un team anonimo non è automaticamente sinonimo di frode – alcuni progetti crypto legittimi utilizzano collaboratori pseudonimi – ma modifica il profilo di rischio. Se gli operatori sono sconosciuti, il codice è proprietario, la documentazione è vaga e il progetto non ha una storia significativa al di fuori dei canali promozionali, si hanno meno possibilità di valutare chi controlla il sistema o cosa succede quando qualcosa va storto.
Effettuate ricerche indipendenti sul nome del progetto, sul simbolo del token, sull'indirizzo del contratto e sui nomi dei membri chiave del team. La FTC raccomanda specificamente di cercare il nome dell'azienda o della persona e la criptovaluta insieme a termini come "truffa" o "reclamo". Non affidatevi esclusivamente ai link forniti dai promotori.
Apri un block explorer affidabile per la blockchain e controlla i maggiori detentori del token. Un'offerta concentrata non è necessariamente una truffa: wallet di exchange, contratti di vesting, bridge, contratti di tesoreria, vault di staking e pool di liquidità possono legittimamente detenere grandi quantità di token. La questione è chi controlla questi indirizzi e cosa possono fare .
Cerca schemi ricorrenti come:
La SEC ha avvertito che le offerte di criptovalute possono presentare strutture di proprietà e controllo altamente concentrate e opache. La concentrazione diventa ancora più pericolosa se associata a scarsa liquidità o a controlli su contratti privilegiati.
Il materiale di marketing potrebbe affermare "fornitura fissa" o "di proprietà della comunità", ma il contratto intelligente è la fonte di verità più importante. Se il codice sorgente è verificato, esaminate le funzioni e i ruoli di controllo degli accessi. Se il contratto è aggiornabile, esaminate anche l'amministratore proxy e l'autorità di aggiornamento.
Presta particolare attenzione a verificare se un proprietario o un amministratore può:
Queste funzioni possono essere legittime. I controlli di pausa di emergenza, ad esempio, possono essere utili durante un bug critico. Il rischio non risiede nella semplice esistenza di una funzione amministrativa, bensì nella possibilità che una singola parte possa utilizzare funzioni potenti senza un blocco temporale, un controllo multifirma, una governance trasparente o altri vincoli.
L'attuale documentazione di OpenZeppelin sul controllo degli accessi spiega perché i ruoli che regolano la creazione, il congelamento, gli aggiornamenti e altre azioni privilegiate siano importanti. Analogamente, la documentazione sulla sicurezza degli smart contract di Ethereum sottolinea l'importanza di un adeguato controllo degli accessi per le funzioni sensibili.
Un token può presentare un'elevata capitalizzazione di mercato nominale pur avendo una liquidità molto limitata per acquirenti e venditori. È fondamentale verificare la composizione effettiva del pool: qual è la quantità dell'asset di base disponibile, qual è la profondità del mercato e chi controlla la liquidità.
Se il responsabile del progetto o un portafoglio strettamente correlato controlla la maggior parte della liquidità prelevabile, il progetto potrebbe essere in grado di rimuovere tale liquidità improvvisamente. Un meccanismo di blocco o di vincolo può ridurre questo rischio specifico, ma la "liquidità bloccata" non è una garanzia di sicurezza universale. È comunque necessario verificare il contratto di blocco, la durata, il beneficiario, la data di sblocco e l'eventuale esistenza di altri pool.
È inoltre necessario separare il rischio di liquidità dal rischio di possesso dei token . Nemmeno la liquidità bloccata in modo permanente può impedire agli insider di immettere nel pool un'enorme quantità di token sbloccati.
Alcuni token dannosi sono progettati in modo che l'acquisto sia facile, mentre la vendita è bloccata, fortemente tassata o consentita solo per determinati indirizzi. Prima di rischiare somme considerevoli, esaminate la logica di trasferimento e, se disponibili, utilizzate strumenti di simulazione o di esplorazione delle transazioni affidabili.
Cercare:
Non dare per scontato che un acquisto andato a buon fine garantisca anche una vendita altrettanto riuscita. Se decidi di testare le dinamiche di mercato, mantieni l'importo irrisorio e tieni presente che anche una piccola vendita andata a buon fine non garantisce che le vendite future rimarranno abilitate; un amministratore potrebbe essere in grado di modificare i parametri in seguito.
Un controllo anti-frode dovrebbe includere ciò che il sito web chiede al tuo portafoglio di firmare. Una dApp dannosa o compromessa potrebbe richiedere un'approvazione illimitata di token, consentendo al suo contratto di spendere token già presenti nel tuo portafoglio. Tale rischio può persistere anche dopo aver lasciato il sito web.
Ethereum.org avverte che i contratti dannosi possono abusare delle approvazioni illimitate e raccomanda di approvare solo ciò che è necessario e di revocare le autorizzazioni non necessarie. Se un nuovo progetto richiede un'approvazione generica non correlata all'azione che stai eseguendo, fermati e cerca di capire esattamente quale token, indirizzo del pagatore e importo stai autorizzando.
Consulta le linee guida ufficiali di Ethereum sulla revisione e la revoca dell'accesso ai token . Se hai già interagito con un progetto sospetto, Ethereum.org consiglia inoltre di mettere in sicurezza le risorse rimanenti e di revocare le autorizzazioni sospette, seguendo le indicazioni fornite nella sezione dedicata alla prevenzione delle truffe .
A questo punto, non riducete il progetto a un singolo "punteggio rug" automatizzato. Un progetto può superare un controllo e fallirne un altro. Il codice verificato non garantisce operatori onesti. La liquidità bloccata non elimina le vendite massicce di token da parte di insider. I fondatori smascherati non eliminano i privilegi contrattuali pericolosi. Una vendita di prova andata a buon fine non dimostra che le regole di vendita non possano essere modificate in seguito.
Una regola decisionale pratica consiste nel classificare i risultati ottenuti in tre categorie:
| Trovare | Cosa significa | Risposta suggerita |
|---|---|---|
| Spiegato e verificabile in modo indipendente | Il rischio esiste, ma il progetto lo documenta e lo limita. | Continuate a valutare. |
| Non chiaro o non verificabile | Non è possibile determinare chi controlla una funzione o una risorsa importante. | Non date per scontata la spiegazione più innocua; indagate ulteriormente. |
| Direttamente pericoloso | Tra gli esempi figurano imposte di vendita estremamente variabili, autorità di conio occulta, liquidità prelevabile controllata da soggetti interni o affermazioni ingannevoli di rendimento garantito. | Non procedere se il problema non è stato risolto e verificato in modo indipendente. |
Se hai bisogno di una versione compatta prima di considerare una piccola posizione speculativa, esegui questo elenco in ordine:
Prima di acquistare, chiudete il sito web e i canali social del progetto. Dopodiché, provate a riprodurre le vostre conclusioni utilizzando esclusivamente dati indipendenti: l'explorer della blockchain, il codice sorgente verificato, le posizioni di liquidità, gli strumenti ufficiali del registro o dell'ente regolatore, ove pertinenti, e la documentazione pubblicata al di fuori dei post promozionali.
Chiediti:
Se non siete in grado di rispondere alle prime sei domande con prove concrete, significa che non avete ancora compreso il rischio a sufficienza per poter fare affidamento sulla settima.
Se sospetti che il tuo portafoglio possa essere stato coinvolto in una truffa, concentrati innanzitutto sulla protezione di ciò che resta. Esamina e revoca le approvazioni di token sospetti, sposta gli asset non compromessi in un portafoglio sicuro se la compromissione è plausibile e conserva gli hash delle transazioni, gli indirizzi, gli screenshot e le comunicazioni. Non pagare sconosciuti che affermano di poter recuperare criptovalute rubate in cambio di un pagamento anticipato; le autorità di regolamentazione avvertono che le truffe di recupero prendono spesso di mira persone che hanno già perso denaro.
Possibili frodi sui titoli negli Stati Uniti possono essere segnalate tramite le risorse della SEC, accessibili tramite i link presenti nella sezione dedicata alle vittime di Investor.gov , mentre le truffe ai danni dei consumatori possono essere segnalate tramite la FTC. Il recupero delle criptovalute inviate ai truffatori può essere difficile, motivo per cui la verifica pre-negoziazione è più importante di qualsiasi promessa di restituzione dei fondi in un secondo momento.
La maggior parte delle truffe (rug pull) sono più facili da evitare quando si smette di considerare il prezzo del token come la principale fonte di informazione. Il marketing ti dice ciò che i promotori vogliono farti credere; i dati dei detentori ti dicono chi possiede l'offerta; il codice degli smart contract ti dice cosa possono modificare gli account privilegiati; i dati sulla liquidità ti dicono come vengono finanziate le uscite; e le approvazioni dei wallet ti dicono a quale accesso stai concedendo prima che qualcosa vada storto.
La migliore protezione non consiste nel trovare un indicatore magico, bensì nel rifiutarsi di investire quando diverse componenti critiche del sistema non possono essere verificate in modo indipendente. Nel mondo delle criptovalute, "non so chi controlla questo sistema" non è un dato di fatto neutrale, ma un rischio che va valutato di conseguenza.
Impara a riconoscere i segnali di allarme di una potenziale truffa nel settore delle criptovalute prima di acquistare: clamore mediatico, trasparenza del team, concentrazione dei detentori, poteri degli amministratori, liquidità, restrizioni alla vendita e approvazione dei wallet.
Scopri come X (Twitter) e Telegram possono amplificare lo slancio delle criptovalute basate sui meme, quali segnali social sono importanti, come individuare le campagne di marketing coordinate e come evitare le trappole del pump-and-dump.
Scopri come funziona Coinbase Advanced Trade nel 2026, dalla scelta del mercato e dalla lettura del book degli ordini all'inserimento di ordini a mercato, limite, stop-limit e bracket.
Confronta il day trading e lo swing trading di criptovalute in base a tempi, rischi, costi, leva finanziaria e disciplina richiesta, per scegliere la strategia più adatta ai tuoi impegni.
Impara a selezionare progetti crypto a bassa capitalizzazione utilizzando capitalizzazione di mercato, FDV, liquidità, tokenomics, sblocchi, permessi contrattuali, catalizzatori e controlli del rischio.
Scopri come i bridge crittografici trasferiscono asset tra blockchain, come confrontare i percorsi, verificare i token, gestire le commissioni di transazione e le approvazioni e ridurre i rischi comuni legati al bridging.
Impara a impostare ordini di stop-loss e take-profit in base all'invalidazione della posizione, alla dimensione della posizione, alla volatilità e al rischio di esecuzione, invece di affidarti a percentuali arbitrarie.
Scopri come mettere in staking le tue criptovalute su Kraken, confronta lo staking flessibile e quello vincolato, comprendi premi e commissioni ed evita gli errori più comuni.
Scopri come connettere in modo sicuro OKX Web3 Wallet ai protocolli DeFi, confronta le opzioni per estensioni del browser, dispositivi mobili e WalletConnect e riduci i rischi di approvazione e phishing.
Impara lo scalping di criptovalute dalle basi: liquidità, spread, commissioni maker e taker, punti di ingresso e di uscita, gestione del rischio, errori comuni e un piano di pratica per principianti.
