O que é rug pull em cripto? Como identificar um antes de comprar

Rug pull é quando as pessoas por trás de um token cripto pegam o dinheiro dos compradores e vão embora. O preço do token cai para perto de zero, muitas vezes em minutos. Não dá para eliminar o risco em memecoins, mas uma checagem de cinco minutos no contrato, nos holders e na liquidez pega muitos dos casos óbvios.

Principais pontos

• Um rug pull é um golpe da própria equipe do token, não um hack feito por alguém de fora.
• Os principais tipos: retirada de liquidez, honeypot ou armadilha de mint, dev dump e rug lento (soft rug).
• Casos reais: SQUID (2021), HAWK da Hawk Tuah (2024) e LIBRA (2025) perderam a maior parte do valor em poucas horas.
• Antes de comprar, confira as autoridades (Solana) ou o contrato (Base), os maiores holders, a liquidez e se dá para vender.
• Se você levou rug, denuncie, guarde os links das transações e ignore ofertas de "recuperação".

O que é rug pull?

Rug pull é um golpe cripto em que a equipe por trás de um projeto pega o dinheiro dos investidores e desaparece. O nome vem da expressão em inglês "puxar o tapete" de baixo dos compradores.

A empresa de análise de blockchain Chainalysis contou cerca de US$ 2,8 bilhões levados em rug pulls em 2021, o que representou 37% de toda a receita de golpes cripto naquele ano, contra cerca de 1% em 2020 (The Register, com dados da Chainalysis). A maior parte dessa soma veio de um só caso: a corretora turca Thodex, onde os usuários perderam mais de US$ 2 bilhões. Ou seja, o número não é só de memecoins. Mas o método nas memecoins é a mesma ideia, em escala menor e mais rápida.

Numa memecoin, a equipe (muitas vezes chamada de "o dev") controla o momento do lançamento. Isso significa que o dev muitas vezes tem uma grande parte do supply, as chaves do contrato ou o pool de liquidez. Qualquer um desses basta para dar rug.

Tipos de rug pull

1. Retirada de liquidez

Um token numa DEX é negociado contra um pool, por exemplo TOKEN/SOL ou TOKEN/ETH. É o pool que permite que você venda. Na retirada de liquidez, quem adicionou o pool o remove. Sem pool, não há para quem vender, e o preço desaba. A QuillAudits lista a retirada de liquidez como um dos principais tipos de rug pull.

2. Honeypot e armadilhas de mint

Aqui a armadilha está no próprio código ou nas permissões do token:

• Honeypot: você consegue comprar, mas não consegue vender. Em Solana, a ferramenta clássica para isso é a freeze authority, que permite a quem a detém congelar contas de token e bloquear transferências a partir delas. A documentação da Helius alerta que essa permissão pode ser usada para criar um honeypot e diz que memecoins devem revogá-la no lançamento (documentação da Helius). Na Base e em outras redes EVM, o honeypot normalmente fica no código do contrato, por exemplo numa regra que bloqueia ou taxa as vendas.
• Armadilha de mint: a mint authority controla a criação de novos tokens. A Helius observa que launchpads como a pump.fun a definem como nula para que os criadores não possam emitir novos tokens à vontade (documentação da Helius). Se o dev a mantém, ele pode imprimir novo supply e vendê-lo no pool.

3. Dev dump

A equipe ou um grupo de insiders tem uma grande parte do supply desde o início. Quando os compradores fazem o preço subir, os insiders vendem em cima deles. O pool continua lá, mas o preço desaba mesmo assim, porque a pressão vendedora é grande demais. Isso se sobrepõe ao pump and dump.

4. Rug lento (soft rug)

Um rug lento parece uma queda normal. A equipe para de desenvolver, vende os seus tokens aos poucos ao longo de dias ou semanas, e a comunidade vai sumindo. A QuillAudits descreve o soft rug como uma equipe que mantém "uma falsa sensação de segurança" enquanto tira os fundos ao longo do tempo (QuillAudits). Ele é mais difícil de identificar, e de provar, do que uma retirada repentina.

Exemplos famosos de rug pull

SQUID (2021): os compradores não conseguiam vender

O token SQUID usava o nome da série da Netflix "Round 6" ("Squid Game"). Segundo a Euronews, ele foi lançado em 26 de outubro de 2021 a cerca de € 0,01. Em 1º de novembro, chegou a cerca de € 2.472, e cinco minutos depois valia € 0,00068. Os compradores descobriram que não conseguiam vender. Uma carteira ligada aos criadores sacou quase € 3 milhões, e o site e as redes sociais do projeto foram apagados no mesmo dia.

Lição: um preço que só sobe, sem vendas, é sinal de alerta, não sinal bom. Teste se um token pode ser vendido antes de colocar dinheiro de verdade.

HAWK (dezembro de 2024): insiders e snipers dominavam o supply

A influenciadora Hailey Welch lançou a memecoin HAWK em Solana no início de dezembro de 2024. O market cap chegou perto de US$ 500 milhões e depois caiu cerca de 95%, para US$ 25 milhões, até a tarde seguinte (Forbes Australia). Matérias que citam dados da Bubblemaps e do DEX Screener disseram que 80% a 90% do supply estava nas mãos de insiders ou snipers. Welch disse que a equipe dela não vendeu nenhum token e tentou barrar os snipers.

Lição: um nome famoso não torna um token seguro. Confira quem tem o supply nos primeiros minutos.

LIBRA (fevereiro de 2025): US$ 99 milhões tirados do pool

Na sexta-feira, 14 de fevereiro de 2025, o presidente da Argentina, Javier Milei, divulgou o token LIBRA no X, depois apagou o post e negou qualquer ligação com ele. O token, lançado em Solana, passou de US$ 4,50 e depois despencou em poucas horas. A Chainalysis disse que oito carteiras que receberam tokens diretamente do criador sacaram cerca de US$ 99 milhões em USDC e SOL do pool de liquidez (Reuters, via Hawaii Tribune-Herald). A empresa de análise on-chain Bubblemaps informou que 82% do supply estava desbloqueado e podia ser vendido desde o início (Cointelegraph). Dados da Nansen mostraram que só 14% dos compradores de LIBRA tiveram lucro (Decrypt). Um juiz federal na Argentina abriu uma investigação.

Lição: até um token divulgado por um chefe de Estado pode ser uma retirada de liquidez. Os dados de holders e de supply estavam públicos on-chain para qualquer um conferir.

Checklist de sinais de alerta

Use antes de toda compra. Um sinal de alerta é motivo para olhar com mais cuidado. Dois ou mais são motivo para pular fora.

• Mint authority ainda ativa (Solana): o dev pode imprimir novos tokens.
• Freeze authority ainda ativa (Solana): o dev pode bloquear as suas vendas.
• Contrato não verificado (Base): você não consegue ler o que o código faz.
• Venda bloqueada ou taxa de venda alta num teste de honeypot.
• Poucas carteiras têm a maior parte do supply, ou muitas carteiras novas compraram no mesmo bloco do lançamento.
• A carteira do dev tem uma grande parte ou já está vendendo.
• Liquidez pequena ou não travada em comparação com o market cap.
• Metadados ainda mutáveis: nome, símbolo e imagem podem mudar depois do lançamento.
• Equipe anônima, site copiado, sem histórico e só hype nas redes sociais.
• Pressão para comprar agora: contagens regressivas, "última chance", divulgadores pagos.
• Um gráfico que só sobe, quase sem vendas.

Como checar uma memecoin de Solana ou Base antes de comprar

As ferramentas abaixo são gratuitas e independentes. Não recebemos nada de nenhuma delas. Sempre copie o endereço do contrato do token (CA) da fonte oficial e cole em cada ferramenta. Nunca confie num token pelo nome ou pelo ticker: cópias de tokens populares são comuns.

1. 1

   Pegue o endereço de contrato certo

   Pegue o CA na conta oficial do projeto no X ou no site, não numa resposta ou numa DM. Tokens falsos com o mesmo nome são uma armadilha comum.

2. 2

   Rode um scanner de risco

   Em Solana, cole o CA no RugCheck, um scanner de risco de tokens para Solana. Na Base, o Honeypot.is simula uma compra e uma venda para ver se você consegue sair. O próprio Honeypot.is avisa que um token que não é honeypot agora pode mudar depois, então passar no teste não é garantia.

3. 3

   Confira as autoridades ou o contrato

   Em Solana, abra o token no Solscan e veja a mint authority e a freeze authority. As duas devem estar vazias (revogadas). Na Base, abra o token no Basescan e confira se o código-fonte do contrato está verificado.

4. 4

   Olhe os holders

   Na aba de holders do explorador, veja as 10 maiores carteiras. Ignore o endereço do pool de liquidez e o endereço da bonding curve. Se poucas outras carteiras têm uma grande parte, um dev dump fica fácil.

5. 5

   Confira liquidez e negociações no DEX Screener

   Abra o par no DEX Screener, que lê os dados direto das blockchains que acompanha. Compare a liquidez com o market cap e olhe as compras e vendas. Um gráfico quase sem vendas é um alerta.

6. 6

   Teste primeiro com um valor pequeno

   Compre um valor pequeno e venda parte dele na hora. Se a venda falhar ou a taxa for alta, pare. Só então decida por uma posição maior.

O que fazer se você levou rug

1. Pare de operar esse token. Não compre mais para "fazer preço médio" num pool morto.
2. Confira as permissões da sua carteira. Se você assinou algo no site do projeto, revogue as aprovações de token (em redes EVM como a Base) e mova os fundos que sobraram para uma carteira nova se achar que a carteira não é segura.
3. Guarde as provas. Guarde os links das transações, o CA, prints da divulgação e as contas do dev.
4. Denuncie. Nos EUA, registre uma denúncia no ic3.gov. Em outros países, denuncie à polícia nacional ou à delegacia de crimes cibernéticos. O FBI diz que as vítimas devem guardar todos os registros e detalhes das transações (BleepingComputer, sobre o aviso do FBI PSA230811).
5. Ignore ofertas de recuperação. Quem manda DM depois de uma perda prometendo recuperar os fundos normalmente está aplicando um segundo golpe. O FBI diz que "nenhuma entidade do setor privado pode emitir ordens de apreensão para recuperar ativos digitais roubados".

Próximos passos

• Melhores plataformas de trading de memecoins: as ferramentas que avaliamos com a nossa metodologia, incluindo as notas de segurança e custódia.
• Guia da pump.fun: como a launchpad funciona e onde nasce a maioria das novas memecoins de Solana.