Kriptoda Rug Pull Nedir? Almadan Önce Nasıl Anlaşılır

Rug pull, bir kripto token'ının arkasındaki kişilerin alıcıların parasını alıp ortadan kaybolmasıdır. Token'ın fiyatı çoğu zaman dakikalar içinde sıfıra yakın düşer. Memecoin'lerde riski tamamen ortadan kaldıramazsınız, ancak sözleşmeyi, sahipleri ve likiditeyi beş dakikada kontrol etmek bariz vakaların çoğunu yakalar.

Öne çıkanlar

• Rug pull, dışarıdan birinin yaptığı bir hack değil, token'ın kendi ekibinin yaptığı bir dolandırıcılıktır.
• Ana türler: likidite çekme, honeypot veya mint tuzağı, dev dump ve yavaş (soft) rug.
• Gerçek vakalar: SQUID (2021), Hawk Tuah'ın HAWK token'ı (2024) ve LIBRA (2025), değerlerinin çoğunu saatler içinde kaybetti.
• Almadan önce yetkileri (Solana) veya sözleşmeyi (Base), en büyük sahipleri, likiditeyi ve satış yolunu kontrol edin.
• Rug pull'a maruz kaldıysanız durumu bildirin, işlem linklerini saklayın ve "kurtarma" tekliflerini görmezden gelin.

Rug pull nedir?

Rug pull, bir projenin arkasındaki ekibin yatırımcıların parasını alıp ortadan kaybolduğu bir kripto dolandırıcılığıdır. Adı, alıcıların "ayağının altındaki halıyı çekmek" deyiminden gelir.

Blokzincir analiz şirketi Chainalysis, 2021'de rug pull'larla yaklaşık 2,8 milyar dolar alındığını hesapladı. Bu, o yılki tüm kripto dolandırıcılık gelirinin %37'siydi; 2020'de bu oran yaklaşık %1'di (The Register, Chainalysis verilerine dayanarak). Bu tutarın büyük kısmı tek bir vakadan geldi: kullanıcıların 2 milyar dolardan fazla kaybettiği Türk kripto borsası Thodex. Yani bu rakam yalnızca memecoin'leri kapsamıyor. Ancak memecoin'lerdeki yöntem, aynı fikrin daha küçük ve daha hızlı bir versiyonudur.

Bir memecoin'de lansman anını ekip (genellikle "dev" denir) kontrol eder. Bu da dev'in çoğu zaman arzın büyük bir kısmını, sözleşmenin anahtarlarını veya likidite havuzunu elinde tuttuğu anlamına gelir. Bunlardan herhangi biri rug pull için yeterlidir.

Rug pull türleri

1. Likidite çekme

Bir DEX'teki token bir havuza karşı işlem görür, örneğin TOKEN/SOL veya TOKEN/ETH. Satış yapmanızı sağlayan şey bu havuzdur. Likidite çekmede havuzu ekleyen kişiler onu geri çeker. Havuz olmadığında satacak bir yer kalmaz ve fiyat çöker. QuillAudits, likidite çekmeyi rug pull'un ana türlerinden biri olarak sayar.

2. Honeypot ve mint tuzakları

Burada tuzak, token'ın kendi kodunda veya yetkilerinde gizlidir:

• Honeypot: alabilirsiniz ama satamazsınız. Solana'da bunun klasik aracı, sahibinin token hesaplarını dondurup bu hesaplardan transferleri engellemesine izin veren freeze yetkisidir (freeze authority). Helius dokümanları bu yetkinin bir honeypot oluşturmak için kullanılabileceği konusunda uyarır ve memecoin'lerin bu yetkiyi lansmanda iptal etmesi gerektiğini söyler (Helius dokümanları). Base ve diğer EVM ağlarında honeypot genellikle sözleşme kodundadır; örneğin satışları engelleyen veya vergilendiren bir kural.
• Mint tuzağı: mint yetkisi (mint authority) yeni token oluşturmayı kontrol eder. Helius, pump.fun gibi launchpad'lerin yaratıcıların istedikleri zaman yeni token basamaması için bu yetkiyi null yaptığını belirtir (Helius dokümanları). Dev bu yetkiyi elinde tutarsa yeni arz basıp havuza satabilir.

3. Dev dump

Ekip veya bir grup içeriden kişi, başlangıçtan itibaren arzın büyük bir kısmını elinde tutar. Alıcılar fiyatı yukarı ittiğinde içerdekiler onlara satış yapar. Havuz yerinde kalır, ancak satış baskısı çok büyük olduğu için fiyat yine de çöker. Bu, pump and dump ile örtüşür.

4. Yavaş rug (soft rug)

Yavaş rug normal bir düşüş gibi görünür. Ekip geliştirmeyi bırakır, token'larını günler veya haftalar boyunca azar azar satar ve topluluk dağılır. QuillAudits, soft rug'ı zaman içinde fonları çekerken "sahte bir güvenlik hissi" yaratan bir ekip olarak tanımlar (QuillAudits). Ani bir çekmeye göre fark edilmesi de kanıtlanması da daha zordur.

Ünlü rug pull örnekleri

SQUID (2021): alıcılar satamadı

SQUID token'ı, Netflix dizisi "Squid Game"in adını kullandı. Euronews'e göre 26 Ekim 2021'de yaklaşık 0,01 € fiyatla piyasaya çıktı. 1 Kasım'da yaklaşık 2.472 €'ya dokundu ve beş dakika sonra 0,00068 € değerindeydi. Alıcılar satış yapamadıklarını fark etti. Yaratıcılarla bağlantılı bir cüzdan 3 milyon euroya yakın para çekti; projenin web sitesi ve sosyal medya hesapları aynı gün silindi.

Ders: satış olmadan sürekli yükselen bir fiyat iyi bir işaret değil, bir uyarı işaretidir. Gerçek para koymadan önce token'ın satılabildiğini test edin.

HAWK (Aralık 2024): arz içerdekilerin ve sniper'ların elindeydi

Influencer Hailey Welch, Aralık 2024'ün başında Solana'da HAWK memecoin'ini piyasaya sürdü. Piyasa değeri yaklaşık 500 milyon dolara ulaştı, ardından ertesi öğleden sonraya kadar yaklaşık %95 düşerek 25 milyon dolara indi (Forbes Australia). Bubblemaps ve DEX Screener verilerini aktaran haberlere göre arzın %80 ila %90'ı içerdekilerin veya sniper'ların elindeydi. Welch, ekibinin hiç token satmadığını ve sniper'ları durdurmaya çalıştığını söyledi.

Ders: ünlü bir isim bir token'ı güvenli yapmaz. İlk dakikalarda arzın kimin elinde olduğunu kontrol edin.

LIBRA (Şubat 2025): havuzdan 99 milyon dolar çekildi

14 Şubat 2025 Cuma günü Arjantin Devlet Başkanı Javier Milei, X'te LIBRA token'ını tanıttı, ardından gönderiyi sildi ve token'la herhangi bir bağlantısı olduğunu reddetti. Solana'da piyasaya çıkan token 4,50 doların üzerine çıktı ve ardından saatler içinde sert düştü. Chainalysis, token'ları doğrudan yaratıcıdan alan sekiz cüzdanın likidite havuzundan USDC ve SOL olarak yaklaşık 99 milyon dolar çektiğini söyledi (Reuters, Hawaii Tribune-Herald üzerinden). Zincir üstü analiz şirketi Bubblemaps, arzın %82'sinin başından beri kilitsiz ve satılabilir olduğunu bildirdi (Cointelegraph). Nansen verileri, LIBRA alıcılarının yalnızca %14'ünün kâr ettiğini gösterdi (Decrypt). Arjantin'de bir federal yargıç soruşturma başlattı.

Ders: bir devlet başkanının tanıttığı bir token bile likidite çekme vakası olabilir. Sahip ve arz verileri zincir üstünde herkesin kontrol edebileceği şekilde açıktı.

Uyarı işaretleri kontrol listesi

Bunu her alımdan önce kullanın. Tek bir uyarı işareti daha yakından bakmak için bir nedendir. İki veya daha fazlası uzak durmak için bir nedendir.

• Mint yetkisi hâlâ aktif (Solana): dev yeni token basabilir.
• Freeze yetkisi hâlâ aktif (Solana): dev satışlarınızı engelleyebilir.
• Doğrulanmamış sözleşme (Base): kodun ne yaptığını okuyamazsınız.
• Honeypot testinde satış engelli veya satış vergisi yüksek.
• Arzın çoğu birkaç cüzdanda veya lansmanda aynı blokta çok sayıda yeni cüzdan alım yapmış.
• Dev cüzdanı büyük bir pay tutuyor veya şimdiden satıyor.
• Piyasa değerine göre likidite küçük veya kilitsiz.
• Metadata hâlâ değiştirilebilir: ad, sembol ve görsel lansmandan sonra değişebilir.
• Anonim ekip, kopyalanmış web sitesi, geçmiş yok ve sosyal medyada yalnızca hype.
• Hemen alma baskısı: geri sayımlar, "son şans", ücretli tanıtımcılar (shill).
• Neredeyse hiç satış olmadan sürekli yükselen bir grafik.

Solana veya Base memecoin'i almadan önce nasıl kontrol edilir

Aşağıdaki araçlar ücretsiz ve bağımsızdır. Hiçbirinden para almıyoruz. Token'ın sözleşme adresini (CA) her zaman resmi kaynaktan kopyalayın ve her araca yapıştırın. Bir token'a adına veya sembolüne bakarak asla güvenmeyin: popüler token'ların kopyaları yaygındır.

1. 1

   Doğru sözleşme adresini alın

   CA'yı bir yanıttan veya özel mesajdan değil, projenin kendi X hesabından veya web sitesinden alın. Aynı ada sahip taklit token'lar yaygın bir tuzaktır.

2. 2

   Bir risk tarayıcısı çalıştırın

   Solana'da CA'yı Solana için bir token risk tarayıcısı olan RugCheck'e yapıştırın. Base'de Honeypot.is, çıkış yapıp yapamayacağınızı görmek için bir alım ve bir satış simüle eder. Honeypot.is, şu an honeypot olmayan bir token'ın sonradan değişebileceği konusunda kendisi uyarır; yani testi geçmek bir garanti değildir.

3. 3

   Yetkileri veya sözleşmeyi kontrol edin

   Solana'da token'ı Solscan'de açın ve mint yetkisine ve freeze yetkisine bakın. İkisi de boş (iptal edilmiş) olmalıdır. Base'de token'ı Basescan'de açın ve sözleşme kaynak kodunun doğrulandığını kontrol edin.

4. 4

   Sahiplere bakın

   Explorer'ın holders sekmesinde ilk 10 cüzdana bakın. Likidite havuzu adresini ve bonding curve adresini dikkate almayın. Diğer birkaç cüzdan büyük bir pay tutuyorsa dev dump kolaydır.

5. 5

   DEX Screener'da likiditeyi ve işlemleri kontrol edin

   Çifti, verilerini takip ettiği blokzincirlerden doğrudan okuyan DEX Screener'da açın. Likiditeyi piyasa değeriyle karşılaştırın ve alım ile satımlara bakın. Neredeyse hiç satış olmayan bir grafik bir uyarıdır.

6. 6

   Önce küçük bir miktarla test edin

   Küçük bir miktar alın ve bir kısmını hemen satın. Satış başarısız olursa veya vergi yüksekse durun. Daha büyük bir tutara ancak bundan sonra karar verin.

Rug pull'a maruz kaldıysanız ne yapmalısınız

1. O token'la işlem yapmayı bırakın. Ölü bir havuzda "maliyet düşürmek" için daha fazla almayın.
2. Cüzdan izinlerinizi kontrol edin. Projenin web sitesinde herhangi bir şey imzaladıysanız token onaylarını iptal edin (Base gibi EVM ağlarında) ve cüzdanın güvenli olmadığını düşünüyorsanız kalan fonlarınızı yeni bir cüzdana taşıyın.
3. Kanıtları saklayın. İşlem linklerini, CA'yı, tanıtımın ve dev hesaplarının ekran görüntülerini saklayın.
4. Bildirin. ABD'de ic3.gov üzerinden bir bildirim yapın. Diğer ülkelerde ulusal polise veya siber suçlarla mücadele birimine bildirin. FBI, mağdurların tüm kayıtları ve işlem ayrıntılarını saklaması gerektiğini söyler (BleepingComputer, FBI duyurusu PSA230811 hakkında).
5. Kurtarma tekliflerini görmezden gelin. Bir kayıptan sonra size özel mesaj atıp fonları geri getirmeyi vaat eden kişiler genellikle ikinci bir dolandırıcılık yapıyordur. FBI, "hiçbir özel sektör kuruluşunun çalınan dijital varlıkları kurtarmak için el koyma kararı çıkaramayacağını" söyler.

Sırada ne var

• En iyi memecoin trade platformları: güvenlik ve saklama puanları dahil, metodolojimizle puanladığımız araçlar.
• pump.fun rehberi: launchpad'in nasıl çalıştığı ve yeni Solana memecoin'lerinin çoğunun nerede başladığı.