Você encontra um novo token em uma rede social. O gráfico está se movimentando rapidamente, a comunidade está comentando que a pré-venda está quase no fim e o site afirma que os primeiros compradores podem obter retornos extraordinários. A tentação é decidir em minutos. É exatamente nesse momento que um golpe de "rug pull" é mais difícil de detectar: antes da saída, o projeto pode parecer movimentado, líquido e legítimo.
Um golpe de "rug pull" geralmente descreve um esquema de criptomoedas no qual pessoas com informações privilegiadas ou promotores extraem valor repentinamente de um projeto — por exemplo, drenando liquidez, despejando uma posição concentrada em tokens, abusando de controles privilegiados de contratos ou tornando o ativo efetivamente invendável. Nem todo token fracassado ou mal projetado é um golpe de "rug pull", e nenhum sinal isolado de alerta comprova fraude. O objetivo deste guia é combinar diversas verificações independentes antes de você colocar seu dinheiro ou permissões de carteira em risco.
O processo descrito abaixo parte das verificações mais rápidas para uma análise on-chain mais aprofundada. Se um projeto falhar gravemente em uma verificação inicial, não é necessário continuar investigando apenas para justificar o abandono.
Comecemos pela proposta de venda. A equipe de educação para investidores da Comissão de Valores Mobiliários dos EUA (SEC) alerta repetidamente que promessas de retornos altos ou garantidos, baixo ou nenhum risco, ofertas não solicitadas e pressão para agir imediatamente são sinais clássicos de fraude. A Comissão Federal de Comércio (FTC) também adverte que ninguém pode garantir lucros com criptomoedas.
Antes de analisar o código, faça três perguntas simples:
Um projeto legítimo ainda pode usar marketing agressivo, mas a urgência nunca deve substituir a devida diligência. Leia o alerta da SEC para investidores de 2024 sobre golpes com criptoativos e as orientações da FTC sobre golpes com criptomoedas para obter alertas atuais ao consumidor.
Em seguida, verifique se as pessoas, o produto e o código podem ser verificados de forma independente. Procure por uma descrição técnica que explique o que o token faz, um endereço de contrato consistente publicado em canais oficiais, um histórico de desenvolvimento e informações sobre a equipe que possam ser verificadas fora do site do projeto.
Uma equipe anônima não é automaticamente fraudulenta — alguns projetos legítimos de criptomoedas usam colaboradores pseudônimos —, mas isso altera o perfil de risco. Se os operadores são desconhecidos, o código é fechado, a documentação é vaga e o projeto não tem um histórico significativo fora dos canais promocionais, você tem menos maneiras de avaliar quem controla o sistema ou o que acontece quando algo dá errado.
Pesquise o nome do projeto, o símbolo do token, o endereço do contrato e os nomes principais da equipe de forma independente. A FTC recomenda especificamente pesquisar o nome da empresa ou pessoa e a criptomoeda juntamente com termos como "golpe" ou "reclamação". Não confie apenas em links fornecidos por promotores.
Abra um explorador de blocos confiável para a blockchain e verifique os maiores detentores do token. Uma oferta concentrada não prova que houve uma fraude: carteiras de exchanges, contratos de vesting, bridges, contratos de tesouraria, cofres de staking e pools de liquidez podem legitimamente deter grandes saldos. A questão é quem controla esses endereços e o que eles podem fazer .
Procure por padrões como:
A SEC alertou que as ofertas de criptomoedas podem ter estruturas de propriedade e controle altamente concentradas e opacas. A concentração torna-se ainda mais perigosa quando combinada com baixa liquidez ou controles contratuais privilegiados.
O material de marketing pode mencionar "fornecimento fixo" ou "propriedade da comunidade", mas o contrato inteligente é a fonte de verdade mais importante. Se o código-fonte for verificado, inspecione as funções e os controles de acesso. Se o contrato for atualizável, inspecione também o administrador proxy e a autoridade de atualização.
Preste atenção especial se um proprietário ou administrador pode:
Essas funções podem ser legítimas. Controles de pausa de emergência, por exemplo, podem ser úteis durante a detecção de um bug crítico. O risco não reside na mera existência de uma função administrativa; reside na possibilidade de uma única entidade utilizar funções poderosas sem um bloqueio temporal, controle de múltiplas assinaturas, governança transparente ou outras restrições.
A documentação atual de controle de acesso do OpenZeppelin explica por que as funções que regem a criação, o congelamento, as atualizações e outras ações privilegiadas são importantes. A documentação de segurança de contratos inteligentes do Ethereum também enfatiza a importância do controle de acesso adequado para funções sensíveis.
Um token pode apresentar uma grande capitalização de mercado nominal, mesmo tendo pouca liquidez disponível para compradores e vendedores. Verifique o pool real: quanto do ativo base está disponível, qual a profundidade do mercado e quem controla a liquidez?
Se o responsável pela implantação ou uma carteira intimamente relacionada controlar a maior parte da liquidez disponível para saque, o projeto poderá remover essa liquidez abruptamente. Um mecanismo de bloqueio ou de aquisição de direitos pode reduzir esse risco específico, mas "liquidez bloqueada" não é uma garantia universal de segurança. Ainda é necessário verificar o contrato de bloqueio, a duração, o beneficiário, a data de desbloqueio e se existem outros pools.
Além disso, diferencie o risco de liquidez do risco de propriedade do token . Mesmo com liquidez permanentemente bloqueada, isso não impede que pessoas com informações privilegiadas despejem uma grande quantidade de tokens desbloqueados no pool.
Alguns tokens maliciosos são projetados para facilitar a compra, enquanto a venda é bloqueada, fortemente taxada ou permitida apenas para endereços selecionados. Antes de arriscar dinheiro significativo, inspecione a lógica de transferência e use ferramentas confiáveis de simulação de transações ou exploradores de criptomoedas, quando disponíveis.
Procurar:
Não assuma que uma compra bem-sucedida garante uma saída bem-sucedida. Se optar por testar a mecânica do mercado, mantenha o valor insignificante e entenda que mesmo uma pequena venda bem-sucedida não garante que vendas futuras permanecerão habilitadas; um administrador poderá alterar os parâmetros posteriormente.
Uma verificação de fraude deve incluir o que o site pede para sua carteira assinar. Um aplicativo descentralizado (dapp) malicioso ou comprometido pode solicitar aprovação ilimitada de tokens, permitindo que seu contrato gaste tokens já presentes em sua carteira. Esse risco pode persistir mesmo depois de você sair do site.
O Ethereum.org alerta que contratos maliciosos podem abusar de aprovações ilimitadas e recomenda aprovar apenas o necessário, revogando permissões desnecessárias. Se um novo projeto solicitar aprovações amplas não relacionadas à ação que você está realizando, pare e verifique exatamente qual token, endereço do gastador e valor você está autorizando.
Utilize as orientações oficiais do Ethereum sobre como revisar e revogar o acesso a tokens . Caso já tenha interagido com um projeto suspeito, o Ethereum.org também recomenda proteger os ativos restantes e revogar aprovações suspeitas, conforme descrito em suas orientações de suporte contra golpes .
Neste momento, não reduza o projeto a uma única "pontuação de avaliação" automatizada. Um projeto pode passar em uma verificação e ainda assim falhar em outra. Código auditado não garante operadores honestos. Liquidez bloqueada não elimina vazamentos de tokens por insiders. Fundadores expostos não removem privilégios contratuais perigosos. Uma venda de teste bem-sucedida não prova que as regras de venda não podem ser alteradas posteriormente.
Uma regra prática para tomar decisões é classificar o que você encontrou em três categorias:
| Encontrando | O que significa | Resposta sugerida |
|---|---|---|
| Explicado e verificável de forma independente | O risco existe, mas o projeto o documenta e o mitiga. | Continue avaliando. |
| Inconclusivo ou não verificável | Não é possível determinar quem controla uma função ou um recurso importante. | Não assuma uma explicação benigna; investigue mais a fundo. |
| Diretamente perigoso | Exemplos incluem impostos de venda variáveis extremos, autoridade oculta sobre a cunhagem de moedas, liquidez removível controlada por pessoas com informações privilegiadas ou alegações enganosas de retorno garantido. | Não prossiga a menos que o problema seja resolvido e verificado de forma independente. |
Se você precisar de uma versão compacta antes de considerar uma pequena posição especulativa, execute esta lista na seguinte ordem:
Antes de comprar, feche o site e as redes sociais do projeto. Em seguida, tente reproduzir sua conclusão usando apenas dados independentes: o explorador de blockchain, o código-fonte verificado, as posições de liquidez, o registro oficial ou as ferramentas regulatórias, quando relevantes, e a documentação hospedada fora das publicações promocionais.
Pergunte a si mesmo:
Se você não consegue responder às seis primeiras perguntas com evidências, você ainda não entende o risco suficientemente bem para confiar na sétima.
Se você suspeita que sua carteira possa ter interagido com um contrato fraudulento, concentre-se primeiro em proteger o que restou. Revise e revogue aprovações de tokens suspeitos, transfira ativos não afetados para uma carteira segura caso haja suspeita de comprometimento e preserve hashes de transações, endereços, capturas de tela e comunicações. Não pague a estranhos que afirmam poder recuperar criptomoedas roubadas mediante pagamento antecipado; órgãos reguladores alertam que golpes de recuperação frequentemente visam pessoas que já perderam dinheiro.
Possíveis fraudes com valores mobiliários nos EUA podem ser denunciadas através dos recursos da SEC , acessíveis pelo site Investor.gov , enquanto golpes contra consumidores podem ser denunciados à FTC. A recuperação de criptomoedas enviadas a fraudadores pode ser difícil, por isso a verificação prévia à transação é mais importante do que qualquer promessa de devolução posterior.
A maioria das tentativas de manipulação de mercado (rug pulls) são mais fáceis de evitar quando você para de tratar o preço do token como a principal fonte de informação. O marketing diz o que os promotores querem que você acredite; os dados dos detentores mostram quem possui o fornecimento; o código do contrato inteligente mostra quais contas privilegiadas podem ser alteradas; os dados de liquidez mostram como as saídas são financiadas; e as aprovações de carteira mostram a que tipo de acesso você está concedendo antes que algo dê errado.
A melhor proteção não é encontrar um indicador mágico. É recusar-se a investir quando várias partes críticas do sistema não podem ser verificadas de forma independente. No mundo das criptomoedas, "Não sei quem controla isso" não é um fato neutro — é um risco que deve ser precificado de acordo.
Uma estrutura prática para identificar possíveis carteiras de criptomoedas ligadas a insiders, usando concentração de detentores, vínculos com implementadores, padrões de financiamento, rótulos e comportamento on-chain.
Aprenda como negociar criptomoedas meme com um orçamento de risco, análise prévia de tokens, segurança da carteira, execução cuidadosa, regras de saída e registros fiscais.
Aprenda a usar o KuCoin P2P para comprar e vender criptomoedas, verificar pagamentos, escolher ofertas, evitar golpes comuns e resolver disputas com segurança.
Aprenda o que são airdrops de criptomoedas, como funcionam as regras de elegibilidade, quais mitos evitar e como aproveitar grandes oportunidades sem arriscar sua carteira.
Aprenda como corrigir falhas na verificação KYC na Binance, Bybit e OKX, resolvendo problemas com documentos, selfies, incompatibilidade de dados e problemas de conta.
Learn how spot trading and margin trading differ in crypto, including ownership, leverage, liquidation risk, costs, order types, and beginner risk checks.
Aprenda como os golpes de criptomoedas do tipo "honeypot" bloqueiam as vendas de tokens, como verificar simulações de venda, impostos, liquidez e controles de contrato antes de arriscar seus fundos.
Aprenda como funcionam os esquemas de pump-and-dump, os sinais de alerta a que deve estar atento e as medidas práticas para proteger o seu capital de ações e criptoativos manipulados.
Aprenda como recuperar com segurança uma conta bloqueada em uma corretora de criptomoedas, preparar documentos de verificação, concluir verificações de segurança, evitar golpes e lidar com atrasos na análise.
Aprenda como funciona o Binance Dual Investment, incluindo Comprar na Baixa, Vender na Alta, liquidação, APR, limites de liquidez, risco de mercado e Capitalização Automática.
