Rug pull

Rug pull (дословно «выдернуть коврик из-под ног») — это вид криптовалютного мошенничества, при котором создатели проекта внезапно выводят вложенные пользователями средства и исчезают, оставляя инвесторов с обесценившимся токеном. Схема почти всегда строится вокруг нового токена или коллекции, которые активно рекламируют, разгоняют в цене, а затем бросают, забрав деньги участников.

Термин закрепился в криптосообществе примерно в 2020 году, на волне бурного роста децентрализованных финансов, когда выпустить собственный токен и открыть для него торги стало делом нескольких минут. Низкий порог запуска и анонимность авторов превратили rug pull в массовое явление: по оценке аналитической компании Chainalysis, в 2021 году на такие схемы пришлось более 2,8 млрд $ похищенных средств, около 37 % всей выручки криптомошенников за год. Большинство громких случаев совпало с бычьим рынком, когда жажда быстрой прибыли отключала у людей осторожность. По мере взросления рынка появились сервисы проверки и аудита, но схема не исчезла, а лишь стала маскироваться тщательнее.

Как работает схема

Сценарий почти всегда одинаков и держится на психологии толпы. Сначала создаётся новый токен, под него открывается пул ликвидности на децентрализованной бирже, чтобы участники могли его покупать. Дальше включается маркетинг: обещания революционной технологии, игры или сверхдоходности, активность в соцсетях, иногда привлечение известных лиц. По мере притока денег цена растёт, появляется страх упустить выгоду, и в проект заходят всё новые покупатели.

Двигатель схемы не технология, а социальное давление. Растущий график работает доказательством «успеха», репосты и платные обзоры создают видимость массового интереса, а закрытые чаты подогревают ощущение, что человек вот-вот опоздает в уникальную возможность. Чем сильнее ажиотаж, тем меньше вопросов задают о том, кто стоит за проектом и куда уходят деньги.

Развязка наступает, когда вложенных средств накопилось достаточно. Создатели забирают всю ликвидность из пула или используют заранее оставленную в коде лазейку, переводят активы на свои адреса и обрывают связь: удаляют сайт и соцсети, перестают отвечать. Цена токена за минуты падает почти до нуля, а у держателей остаётся актив, который не у кого продать. Поскольку операции в блокчейне необратимы, а авторы анонимны, вернуть деньги практически невозможно.

Отдельная разновидность сложнее на вид. В смарт-контракт токена закладывают скрытое условие, которое разрешает покупку, но блокирует продажу: люди свободно заводят деньги в проект, но вывести их не могут, пока создатели спокойно сливают свою долю. Именно так была устроена одна из самых известных афер 2021 года.

Возможность такой аферы заложена в самой открытости децентрализованных площадок. Выпустить токен и запустить по нему торги может любой желающий: ни биржа, ни регулятор не проверяют создателей и не отвечают за их добросовестность. Эта свобода, ценная для честных разработчиков, одновременно убирает все барьеры на пути мошенника. Покупатель остаётся единственным, кто способен оценить риск до сделки, и чаще всего он этого не делает, доверяясь графику цены и чужому энтузиазму.

Жёсткий и мягкий rug pull

Схемы делят на два типа по скорости и механике. При жёстком варианте кража мгновенна: ликвидность исчезает за одну транзакцию, чаще всего через лазейку в коде. Мягкий вариант растянут во времени: команда не ворует напрямую, а постепенно распродаёт свою долю токенов и тихо забрасывает проект, пока цена сползает к нулю.

Грань между мягким rug pull и честным провалом проекта размыта намеренно: создатели всегда могут заявить, что просто не справились с разработкой. Эта двусмысленность защищает их от обвинений и осложняет разбирательство, поэтому доказать злой умысел в мягком сценарии гораздо труднее, чем в жёстком. На практике именно мягкие схемы встречаются чаще: они не требуют технических ухищрений и почти не оставляют следов, по которым можно было бы привлечь авторов. Стоит отличать rug pull и от закрытия централизованной криптобиржи с деньгами клиентов: внешне это похоже, но там исчезает посредник, хранивший чужие активы, а не анонимный токен на децентрализованной площадке.

Громкие случаи

Самые показательные истории пришлись на бум 2021 года. Они разные по масштабу, но повторяют один шаблон: хайп, приток денег, внезапное исчезновение.

• Токен Squid Game (SQUID) в октябре 2021 года использовал популярность сериала Netflix и обещал игру с заработком. В смарт-контракте было скрыто условие, запрещавшее продажу: цена взлетела примерно с одного цента почти до 2 900 $, после чего создатели вывели около 3,3 млн $ и удалили все ресурсы. Пострадали свыше 43 000 покупателей.

• Проект AnubisDAO в том же месяце собрал около 13 500 ETH (порядка 60 млн $ по курсу того дня) под идею резервной валюты. Средства из пула вывели в течение примерно 20 часов после запуска; контроль над ликвидностью был у одного человека.

Эти случаи показывают разброс: от мелкой аферы на хайпе сериала до исчезновения десятков миллионов за сутки. Общее у них одно: анонимные авторы, непроверенный код и полный контроль создателей над пулом ликвидности.

Отдельный пласт схем пришёлся на рынок NFT. Здесь создатели рисуют амбициозную дорожную карту, продают коллекцию изображений, собирают деньги на разработку игры или метавселенной, а после распродажи удаляют проект и не выпускают ничего из обещанного. Внешне это выглядит как несбывшийся стартап, но механика прежняя: собранные средства уходят авторам, а у держателей остаются картинки без какой-либо ценности. Проблема не ушла вместе с пиком 2021 года. Запуск нового токена остаётся почти бесплатным, мода на мемкоины держит поток новичков, и схема продолжает работать ровно потому, что находятся желающие купить очередной растущий актив без единой проверки.

Как распознать и защититься

Большинство rug pull объединяют одни и те же тревожные признаки. Проверка занимает несколько минут и отсеивает значительную часть откровенных афер.

• Анонимная команда без проверяемой репутации и публичных лиц.

• Код смарт-контракта не проходил независимый аудит или аудит сомнительный.

• Ликвидность не заблокирована, и создатели могут вывести её в любой момент.

• Большая доля токенов сосредоточена в нескольких кошельках разработчиков.

• Невозможно продать уже купленный токен или продажа обложена странными условиями.

• Маркетинг строится только на обещаниях доходности и ажиотаже, а в документах проекта много общих фраз и ошибок.

Ни один признак сам по себе не приговор, но их сочетание уже повод держаться в стороне. Риск снижают заблокированная на длительный срок ликвидность, открытая команда с проверяемой репутацией, пройденный независимый аудит и проверка распределения токенов через обозреватель сети и публичные сервисы анализа контрактов. Такие сервисы автоматически отмечают опасные функции в коде: запрет на продажу, возможность неограниченного выпуска новых токенов или скрытую комиссию. Несколько минут подобной проверки часто дают больше, чем недели чтения восторженных отзывов в закрытых чатах. Базовое правило простое: чем агрессивнее обещают доходность и чем меньше известно об авторах, тем выше вероятность, что коврик выдернут вместе с деньгами.

Чем это грозит российскому инвестору

Для российского частного инвестора rug pull опасен вдвойне, потому что никакой институциональной защиты здесь нет. Криптовалюта по закону «О цифровых финансовых активах» признаётся имуществом, но операции с зарубежными токенами на децентрализованных площадках не подпадают под надзор ЦБ РФ, не страхуются и не защищены так, как средства на брокерском счёте. Банк России регулярно предупреждает о высоких рисках вложений в криптоактивы и относит значительную их часть к инструментам с непрозрачным происхождением средств. Есть и налоговая сторона: доход от операций с криптовалютой облагается НДФЛ, но убыток от мошеннической схемы не уменьшает налоговую базу сам по себе и требует документального подтверждения, получить которое по анонимному проекту практически невозможно.

Практический вывод жёсткий. Если деньги ушли анонимным создателям проекта за рубежом, вернуть их через суд или регулятора почти нереально: исполнители неизвестны, юрисдикция размыта, а сама транзакция необратима. Единственная работающая защита сводится к тому, чтобы не доводить до этой точки: проверять проект до покупки, не вкладывать в незнакомые токены сумму, потерю которой нельзя пережить, и относиться к обещаниям лёгкой сверхприбыли как к главному предупреждающему знаку. На криптовалютном рынке выдернутый коврик почти никогда не возвращают владельцу.