Rug Pull Nedir?

Rug pull nasıl yapılır? Üç temel yöntem

Rug pull'lar en çok, kimlik doğrulaması olmadan herkesin token listeleyebildiği merkeziyetsiz borsalarda (DEX) yeni çıkan tokenlarda görülür. Yöntemler üç ana başlıkta toplanır:

1. Likidite çekme: Ekip yeni tokenı bir DEX'te ETH, BNB veya bir stablecoin gibi değerli bir varlıkla eşleştirerek bir likidite havuzu açar. Kendi tokenını neredeyse sıfır maliyetle basmıştır. Yatırımcılar tokenı aldıkça havuz değerli varlıkla dolar. Ekip, havuzdaki likidite payını tek işlemle çektiğinde token sahipleri satacak karşı varlık bulamaz ve token değersizleşir.

2. Satışı engelleyen kontrat (honeypot): Tokenın akıllı kontratı, yalnızca ekibin adreslerinin satış yapabileceği ya da diğerlerine çok yüksek satış vergisi uygulanacak şekilde yazılır. Kimse satamadığı için grafik yalnızca yükselir; bu yükseliş FOMO yaratıp yeni alıcı çeker. Ekip sonunda kendi tokenlarını satıp çıkar.

3. Ekip dökümü (dump): Ekip, yoğun sosyal medya tanıtımıyla fiyatı yükseltir ve zirvede elindeki büyük token stoğunu piyasaya satar. Diğer yatırımcılar ekibin çıkış likiditesi olur.

Bunların yanında, kontrata gizlenmiş sınırsız token basma yetkisi veya fonları tek bir adrese aktarabilen yönetici fonksiyonları da sık görülen tekniklerdir.

Sonuç her yöntemde aynıdır: kurucular kâr eder, diğer yatırımcılar ise ellerinde satamadıkları ya da neredeyse değersiz tokenlarla kalır. "Rug pull" adı da buradan gelir: yatırımcının üzerinde durduğu likidite, yani ayağının altındaki halı, bir anda çekilir.

Örnek: bir likidite havuzu nasıl boşaltılır?

Aşağıdaki örnek varsayımsaldır ve yalnızca mekanizmayı göstermek için ETH cinsinden kurgulanmıştır; gerçek bir projeyi anlatmaz.

Bir geliştirici yeni bir memecoin çıkarır ve havuzu şöyle açar:

• 1.000.000 token: kendi kontratıyla neredeyse sıfır maliyetle basılır.
• 10 ETH: projeye koyduğu tek gerçek para.

Tanıtım kampanyası işe yarar ve alıcılar tokenı almak için havuza 90 ETH daha yatırır. Havuzda artık 100 ETH vardır. Havuza ilk likiditeyi sağlayan geliştirici, likidite sağlayıcı (LP) tokenlarının büyük kısmını elinde tuttuğu için havuzun büyük bölümü üzerinde hak sahibidir. Tek bir işlemle bu payı geri çektiğinde havuzdaki ETH'nin büyük kısmını alır. Geride kalan token sahipleri, satış yapabilecekleri karşı varlık bulamaz ve fiyat bir anda sıfıra yaklaşır.

Bu tabloda geliştirici 10 ETH koyup havuzdaki ETH'nin çoğunu alırken, kayıp alıcıların yatırdığı ETH'dir. Likidite kilidi bu yüzden önemlidir: LP tokenları bir kilit kontratına belirli bir süre bağlanmışsa geliştirici bu işlemi kilit bitene kadar yapamaz.

Sert ve yumuşak rug pull farkı

Yumuşak rug pull'da ekip "geliştirme maliyetleri" gibi gerekçelerle tokenlarını yavaş yavaş satar, yol haritası güncellenmez ve topluluk kanalları sessizleşir. Hukuki açıdan kasıtlı dolandırıcılık olarak kanıtlanması sert rug pull'a göre daha güçtür.

Honeypot yönteminin en çok konuşulan örneği, Ekim–Kasım 2021'de Netflix dizisinin popülerliğinden yararlanan ve dizinin resmî yapımıyla ilgisi olmayan "Squid Game" (SQUID) tokenıdır. Alıcılar tokenı alabiliyor ama satamıyordu; fiyat birkaç gün içinde sert biçimde yükseldi, ardından 1 Kasım 2021'de sıfıra yakın bir değere çöktü ve projenin web sitesi ile sosyal medya hesapları kapandı.

Gerçek vakalar: merkezi borsalar ve NFT projeleri

Rug pull yalnızca DEX'teki küçük tokenlara özgü değildir.

Merkezi borsalar: Türkiye merkezli kripto borsası Thodex, Nisan 2021'de çekimleri "geçici olarak" durdurdu ve kısa süre sonra tamamen erişilemez hale geldi. Kurucusu Faruk Fatih Özer yurt dışına kaçtı, 2022'de Arnavutluk'ta yakalanıp Türkiye'ye iade edildi ve Eylül 2023'te binlerce müşteriyi dolandırmaktan çok uzun bir hapis cezasına çarptırıldı. Chainalysis'in 2022 Kripto Suç Raporu, 2021'de rug pull'larla alınan tutarı 2,8 milyar doların üzerinde hesapladı ve bunun yaklaşık %90'ını tek bir dolandırıcı borsaya, Thodex'e bağladı. Vaka, kullanıcı fonlarını tek bir şirketin kontrol ettiği merkezi borsalarda da benzer bir "çıkış" riskinin olabileceğini gösterir.

NFT projeleri: ABD Adalet Bakanlığı (New York Güney Bölgesi Savcılığı), 24 Mart 2022'de "Frosties" adlı NFT koleksiyonunun iki kurucusunu elektronik dolandırıcılık ve kara para aklama komplosuyla suçladı. Savcılığa göre Ocak 2022'deki satıştan 1 milyon doları aşan gelir elde edildi; koleksiyon tükendikten hemen sonra kurucular web sitesini kapattı ve fonları kendi kontrollerindeki cüzdanlara aktardı. Aynı ekip tutuklandığında ikinci bir koleksiyonun satışına hazırlanıyordu. Bu dava, ABD'de bir NFT rug pull'unun cezai kovuşturmaya konu olduğu ilk örneklerden biri sayılır.

NFT rug pull'larında akış genellikle aynıdır: koleksiyon yol haritası ve topluluk vaatleriyle duyurulur, mint geliri toplanır, ardından ekip Discord, sosyal medya hesapları ve web sitesiyle birlikte ortadan kaybolur.

Rug pull'un uyarı işaretleri

• Anonim ekip: Kimliği doğrulanamayan geliştiriciler. Anonimlik tek başına dolandırıcılık kanıtı değildir ama hesap verebilirliği ortadan kaldırır.
• Kilitlenmemiş likidite: Havuzdaki likidite belirli bir süre için bir kilit kontratına bağlanmamışsa ekip onu her an çekebilir.
• Yoğun token dağılımı: Arzın büyük kısmı birkaç cüzdandaysa, bu cüzdanlar fiyatı tek başına çökertebilir.
• Denetimsiz veya doğrulanmamış kod: Kaynak kodu blok gezgininde yayımlanmamış ya da bağımsız bir güvenlik denetiminden geçmemiş kontratlar.
• Kontratta tehlikeli yetkiler: Sınırsız basma, satışı durdurma, vergi oranını değiştirme veya adres engelleme fonksiyonları.
• Gerçek dışı getiri vaatleri: Olağandışı yüksek ve sabit APY vaatleri.
• Baskı ve aciliyet: "Son saatler", "kaçırmayın" gibi yoğun tanıtım ve eleştirilerin topluluk kanallarında silinmesi.

• Ekibe ayrılan payın yüksek olması: Tokenomics tablosunda ekibe ve ilk yatırımcılara ayrılan pay büyükse ve bu tokenlar kısa süreli kilitliyse ya da hiç kilitli değilse, bir satış dalgası için zemin hazırdır.
• Tek taraflı yönetişim: DeFi protokollerinde yönetişim tokenlarının çoğunu elinde tutan bir ekip protokol kurallarını tek başına değiştirebilir; hazineyi boşaltmak da bu yetkilerle yapılabilir.
• Duran geliştirme: Kod deposunda aktivitenin durması, kurucuların sessizleşmesi ve kilometre taşlarının sürekli ertelenmesi yumuşak bir rug pull'un habercisi olabilir.

Dikkatli yatırımcıların da gözden kaçırdığı noktalar

• "Denetimden geçti" her zaman "güvenli" demek değildir. Bir güvenlik denetimi eski bir kod sürümünü kapsıyor olabilir, kapsamı dar tutulmuş olabilir veya sonradan eklenen bir yönetici fonksiyonunu görmemiş olabilir. Denetim raporunun hangi kontrat adresini ve hangi tarihteki kodu incelediğini okuyun.
• Likidite kilidinin bir bitiş tarihi vardır. Birkaç günlük bir kilit güven verir gibi görünür, ama kilit bittiği gün ekip likiditeyi yasal olarak çekebilir. "Kilitli" etiketine değil, kilidin ne zaman açılacağına bakın.
• Yenilenebilir ya da devredilebilir kilitler: Bazı kilit kontratları sahibine kilidi başka bir adrese devretme veya erken açma yetkisi verir. Kilidin kimin kontrolünde olduğunu kontrol edin.
• Satışı sonradan kapatan kontratlar: İlk gün küçük bir satış testi başarılı olsa bile, vergi oranını değiştirme veya adres engelleme yetkisi olan bir kontrat satışı daha sonra kapatabilir.
• Kaybın asimetrisi: Kaçırılan bir proje yatırımcıya para kaybettirmez; tek bir rug pull ise yatırılan tutarın tamamını silebilir. Bu yüzden denetlenmemiş, anonim ve yeni listelenmiş bir tokenı, aksi kanıtlanana kadar yüksek riskli kabul etmek makul bir başlangıç noktasıdır.

Rug pull'dan nasıl korunulur?

• Yatırım yapmadan önce ekibi, kontratı ve token dağılımını kendiniz inceleyin (DYOR).
• Tokenın kontrat adresini resmî kaynaklardan doğrulayın; aynı adla çıkarılmış taklit tokenlar yaygındır.
• Blok gezgininde likidite kilidini ve en büyük token sahiplerini kontrol edin.
• Küçük bir tutarla satış yapılabildiğini test etmek honeypot'u ortaya çıkarabilir, ama bazı kontratlar satışı sonradan kapatabilir.
• Kontratlara sınırsız harcama izni vermeyin; imzaladığınız işlemi okuyun (kör imzalama).
• Kaybetmeyi göze alamayacağınız tutarı yeni ve küçük tokenlara yatırmayın; memecoin segmenti rug pull vakalarının yoğun olduğu alandır.

Dolandırıcılığa maruz kaldığınızı düşünüyorsanız işlem kayıtlarını saklayın ve bulunduğunuz ülkedeki yetkili makamlara başvurun. Bu içerik bilgilendirme amaçlıdır; yatırım tavsiyesi değildir.

Hiçbir tek önlem tam koruma sağlamaz; ancak doğrulanabilir bir likidite kilidi, güvenilir ve güncel bir denetim, hesap verebilir bir ekip ve süren geliştirme birlikte değerlendirildiğinde riski belirgin biçimde azaltır. Yaygın dolandırıcılık türlerinin daha geniş bir özeti için kaçınılması gereken kripto dolandırıcılıkları rehberine bakabilirsiniz.