O crime mais comum do cripto não é um hack

Quando o público imagina uma fraude em criptomoedas, pensa num gênio do teclado invadindo um sistema. A realidade é mais prosaica e mais cruel: na maioria dos casos, ninguém invade nada. O golpe já está escrito no próprio contrato do token, à vista de todos, esperando apenas capital suficiente para valer a pena ser executado. É o que se chama de rug pull — literalmente, ‘puxar o tapete’. O comprador não é hackeado; é convidado a entrar num prédio cuja saída já foi trancada por dentro.

A escala é industrial. A Chainalysis documentou cerca de US$ 2,8 bilhões em perdas com rug pulls apenas em 2025. Esses números convivem com um mercado de memecoins que chegou a aproximadamente US$ 30,6 bilhões em capitalização em meados de 2026 — um ecossistema onde criar um token custa centavos e alguns cliques, e onde a linha entre ‘projeto comunitário’ e ‘armadilha’ quase nunca é óbvia para quem chega depois.

Anatomia do golpe: hard rug e soft rug

Nem todo rug pull tem a mesma cara. O hard rug é o mais brutal e o mais técnico: o contrato contém uma armadilha embutida — uma função que só o criador pode chamar para sacar toda a liquidez do pool, ou um honeypot, código que permite comprar mas impede vender (ou cobra uma taxa de venda absurda). Você entra, o gráfico sobe, e quando tenta realizar o lucro descobre que a porta de saída nunca existiu. Em bases de dados on-chain, os honeypots aparecem às dezenas de milhares — um único levantamento catalogou mais de 98 mil contratos com esse padrão.

O soft rug é mais lento e mais fácil de disfarçar de ‘azar de mercado’. Não há trava no contrato: o time simplesmente detém uma fatia enorme do supply e, num momento coordenado, despeja tudo no mercado — abandonando o projeto, apagando o Telegram e sumindo. Do ponto de vista do comprador tardio, o efeito é idêntico: o preço colapsa para perto de zero e não volta. A diferença entre os dois é jurídica e semântica; a diferença para a sua carteira é nenhuma.

As bandeiras vermelhas que ficam gravadas na blockchain

Aqui está a virada de chave para o investidor sofisticado: diferentemente de uma fraude bancária tradicional, o rug pull é preparado num livro-razão público. Cada decisão do golpista — quanto do supply ficou em uma carteira, se a liquidez foi travada, se o contrato pode emitir moedas novas — está registrada e é consultável por qualquer pessoa. O golpe depende de que você não olhe. As bandeiras mais confiáveis são poucas e concretas.

A primeira é a concentração de supply: quando uma ou poucas carteiras controlam uma fatia desproporcional do total (uma regra prática comum é desconfiar de qualquer endereço isolado acima de 10% a 15% fora de contratos conhecidos), o poder de despejar o preço está nas mãos de um punhado de pessoas. A segunda é a liquidez destravada: em projetos sérios, os tokens de liquidez (LP) ficam bloqueados por meses ou anos, ou o controle é queimado; liquidez sem trava, ou com trava de poucos dias, é um convite ao soft rug. A terceira é a função de emissão (mint) aberta: se o criador ainda pode fabricar tokens do nada, ele pode diluir você a zero quando quiser.

Como verificar um token em cinco minutos

O roteiro é sempre o mesmo, e cabe no intervalo de um café. Primeiro, jogue o endereço do contrato num scanner de risco — RugCheck (Solana), Token Sniffer ou o GoPlus servem para uma triagem inicial automática de honeypot, mint e taxas. Segundo, simule uma venda: o Honeypot.is executa uma compra e uma venda de teste e diz se a saída está bloqueada ou taxada. Terceiro, abra o explorador de blocos (Etherscan, BscScan, Solscan) e leia a aba de holders: veja quantas carteiras concentram o supply e se a liquidez está de fato travada.

Quarto, investigue o time e a idade do contrato. Um deployer que criou dezenas de tokens quase idênticos em poucos dias é um profissional de rug pulls, não um fundador. Quinto — e talvez o mais importante — verifique de onde veio o convite. Estudos on-chain estimam que a esmagadora maioria do tráfego para tokens fraudulentos nasce de redes sociais, com engajamento comprado e grupos de Telegram inflados. Nenhuma ferramenta substitui a pergunta desconfortável: por que alguém está tão empenhado em me fazer comprar isto agora?

O verdadeiro alvo é a sua pressa

Vale reconhecer o que torna esses golpes tão eficazes, porque não é a tecnologia — é a psicologia. O rug pull é desenhado sobre o FOMO (o medo de ficar de fora): a promessa de que este é o próximo token de mil por cento, de que a janela fecha em minutos, de que quem hesitar perde. A urgência é a arma; a verificação é o antídoto, e ela exige justamente a única coisa que o golpista tenta lhe roubar: tempo. Quase toda perda para rug pull compartilha o mesmo prólogo — a decisão foi tomada com pressa, empurrada por uma multidão que parecia saber de algo.

Autocustódia é liberdade — e liberdade cobra responsabilidade

Há uma tensão filosófica no coração do cripto que o rug pull expõe sem piedade. A proposta original é de soberania: nenhum banco, nenhum intermediário, nenhum guardião entre você e seu dinheiro. É uma promessa genuína de liberdade individual — e, como toda liberdade real, ela transfere para o indivíduo o ônus que antes era da instituição. No sistema bancário, um departamento de compliance decide por você o que é seguro; na blockchain, esse departamento é você. A ausência de um porteiro é exatamente o que permite a inovação sem permissão e o golpe sem recurso, no mesmo gesto.

É justo reconhecer o contraponto: reguladores em várias jurisdições argumentam, com razão, que a maioria das pessoas não quer nem deveria precisar auditar um contrato inteligente para não ser roubada, e que alguma proteção estrutural — exigências de divulgação, responsabilização de launchpads — reduziria o dano agregado. O equilíbrio maduro provavelmente não está nos extremos. Mas, enquanto o mercado amadurece, a defesa que ninguém pode terceirizar é a leitura fria dos fatos on-chain antes de comprometer o próprio capital. A liberdade de não pedir permissão a ninguém tem como preço a disciplina de verificar tudo sozinho.