Qualcuno, in un gruppo Telegram, giura che un token appena nato farà cento volte blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il suo prezzo. Il grafico è verticale, i possessori aumentano ogni minuto e viene il dubbio: progetto vero o trappola? Il dubbio ha un nome, e chi lo cerca in rete digita rug pull significato. Un rug pull è un lancio in cui chi controlla un token, la sua liquidità o il suo smart contract porta fuori dal mercato i soldi dei compratori, che restano con qualcosa che nessuno è più disposto a ricomprare.
Il caso da manuale è il token Squid Game. Messo in vendita a un centesimo alla fine di ottobre 2021, SQUID toccò 2.861,80 dollari il 1° novembre e crollò a zero nel giro di poche ore, come riferì Threatpost (in inglese) il giorno dopo. I compratori scoprirono troppo tardi che il contratto permetteva di vendere soltanto agli sviluppatori. A cinque anni di distanza lo schema ritorna in forme nuove, dalle collezioni di NFT alle memecoin su Solana, e a ottobre 2026 i procuratori americani hanno formulato accuse per un token lanciato nell’aprile 2021.
La nostra guida generale alle truffe crypto mappa l’intera famiglia. Qui si resta sul rug pull: i meccanismi, i casi arrivati in tribunale, i controlli che un compratore può fare in dieci minuti e le norme che valgono in Italia, nell’Unione europea e negli Stati Uniti, con Consob e Polizia Postale a fare da riferimento per chi risiede nel nostro Paese.
Rug pull: significato e cosa non è
L’espressione viene dall’inglese «tirare via il tappeto da sotto i piedi a qualcuno». Nel mondo crypto indica un tipo preciso di uscita: gli insider hanno un modo per prendersi il valore che i compratori hanno messo dentro, e lo usano. Il modo può essere tecnico (un pool di liquidità che solo loro possono svuotare, una funzione che solo loro possono chiamare) oppure banalmente un mucchio di token tenuti da parte in silenzio e venduti sulla domanda che hanno creato.
La società di sicurezza CertiK distingue due famiglie nella sua spiegazione di rug pull duro e morbido (in inglese). Il rug pull duro è brusco: il team ritira i fondi in un colpo solo, spesso attraverso una porta di servizio scritta nel progetto fin dal primo giorno. Il rug pull morbido è lento: i fondatori vendono i propri token facendo finta che il progetto sia vivo, poi se ne vanno.
Ci sono tre cose che non sono rug pull, anche se il grafico sembra identico. Un progetto che fallisce onestamente, con un team che ha speso i fondi nello sviluppo e non ha trovato utenti, è un cattivo investimento e non un furto. Un attacco informatico, in cui un estraneo sottrae fondi a un protocollo sfruttando un errore, è un altro reato con un altro colpevole (ne parla la nostra lezione su come si può hackerare una blockchain). E il pump and dump, in cui un gruppo gonfia il prezzo di un asset già esistente per rivenderlo agli ultimi arrivati, si sovrappone al rug pull morbido ma è il tema di una lezione successiva di questo percorso.
Quasi tutti i rug pull riguardano token e non monete: chiunque può creare un token sopra una blockchain esistente in pochi minuti, senza costruire una rete propria. Se la distinzione vi è nuova, partite dalla nostra guida a monete e token.
Come funziona un rug pull duro: il pool di liquidità svuotato
Per capire il rug pull più diffuso bisogna sapere da dove nasce il prezzo di un token nuovo. Un token non quotato su nessun exchange si scambia su un exchange decentralizzato, attraverso un pool di liquidità: uno smart contract che custodisce due asset e permette a chiunque di scambiare l’uno con l’altro.
Il ritiro della liquidità, passo per passo
La documentazione di Uniswap V2 (in inglese) descrive il funzionamento di un pool. Parte vuoto. Chi deposita per primo i due asset fissa il prezzo iniziale con il rapporto tra le quantità versate. In cambio riceve token di liquidità, detti LP token, che rappresentano la sua quota del pool. Chi brucia quegli LP token in seguito riprende la propria quota di entrambi gli asset, più le commissioni maturate.
Niente di questo è disonesto. È il modo in cui funzionano Uniswap, PancakeSwap e molti altri exchange, ed è il motivo per cui chiunque può quotare un token senza chiedere permesso. Il rug pull usa quello stesso meccanismo contro i compratori.
La sequenza è questa. Un team crea un token e lo abbina a ether o a una stablecoin in un pool nuovo, tenendosi gli LP token. Parte il marketing: sito, roadmap, influencer, conto alla rovescia. I compratori versano ether veri nel pool per ottenere il token, quindi il pool si riempie di ether mentre la sua scorta di token si assottiglia. A quel punto il team brucia i propri LP token e ritira tutto l’ether del pool in una sola transazione. Resta un token senza quasi nulla con cui scambiarlo. Il prezzo scende vicino a zero, non perché il mercato abbia cambiato idea, ma perché non c’è più denaro a cui vendere.
AnubisDAO mostrò quanto può essere rapido. Annunciata il 28 ottobre 2021, la vendita del token ANKH raccolse in una notte circa 60 milioni di dollari in ether. Alle 11:58 UTC, a circa 20 ore dall’inizio di una vendita di 24, la liquidità fu spostata su un altro indirizzo, riferì The Block (in inglese) il 29 ottobre. Alcuni investigatori online collegarono il portafoglio ricevente a un account Twitter il cui titolare disse poi di essere stato forse vittima di phishing. Se fu un’uscita degli insider o un furto non è mai stato chiarito in pubblico, perciò il caso va descritto come sospetto rug pull.
Il codice che non ti lascia vendere
La seconda famiglia di rug pull duri non ha bisogno di alcun ritiro dal pool. Il contratto stesso decide chi può vendere. Gli analisti chiamano un token così honeypot, vasetto di miele: i soldi entrano e non escono.
SQUID funzionava così. I possessori scoprirono di essere bloccati da quello che il progetto chiamava «meccanismo anti-dumping». Un ricercatore di sicurezza spiegò a Threatpost che un blocco simile richiede una sola riga in più nella funzione di trasferimento, una riga che rifiuta lo scambio nel verso della vendita. I compratori vedevano il prezzo salire senza poter vendere, poi lo videro andare a zero. Gizmodo stimò le perdite potenziali in circa 3,4 milioni di dollari, una stima ripresa da Threatpost; nelle fonti consultate non risulta alcuna accusa contro nessuno, a ottobre 2026.
Un honeypot può essere più sottile di un divieto secco. Un contratto può consentire al proprietario di aggiungere indirizzi a una lista nera che non possono trasferire, oppure applicare una «tassa» su ogni vendita che il proprietario può alzare a piacere, dal 5% al 99%. Sulla carta si può ancora vendere. Nei fatti non si incassa niente.
Funzioni di creazione nascoste e altri poteri del proprietario
Un token ERC-20, il formato standard su Ethereum, può includere una funzione di creazione (mint) che genera nuove unità. Per molti progetti onesti è normale: gli emittenti di stablecoin creano token quando i clienti versano dollari. Il pericolo è una funzione di mint che solo il proprietario può chiamare, senza limiti e senza controllo. Quando i compratori hanno riempito il pool, il proprietario crea milioni di token nuovi e li vende dentro il pool, che si svuota con la stessa efficacia di un ritiro di liquidità, soltanto con qualche passaggio in più.
La domanda giusta non è dunque «questo token ha una funzione di mint?», ma «chi la controlla e che cosa gli impedisce di abusarne?». Lo stesso ragionamento vale per le funzioni che permettono al proprietario di sospendere i trasferimenti, cambiare i saldi o spostare token fuori dai portafogli dei possessori. Su Solana, dove i token seguono un altro standard, i poteri equivalenti sono la mint authority (chi può creare altra offerta) e la freeze authority (chi può congelare il conto di un possessore). I checker pensati per Solana guardano per prima cosa a queste due.
Contratti aggiornabili: il codice che hai letto può cambiare
Un’ultima trappola prende anche i compratori prudenti. Molti contratti sono aggiornabili: gli utenti parlano con un contratto proxy che inoltra ogni chiamata a un contratto di implementazione separato, dove sta la logica. La documentazione di OpenZeppelin (in inglese) spiega che l’indirizzo del proxy non cambia mai, mentre chi controlla l’aggiornamento (un singolo indirizzo, un multisig o una DAO) può puntarlo a una nuova implementazione.
L’aggiornabilità ha ragioni valide, come correggere errori. Ma significa che un contratto letto e trovato pulito il lunedì può comportarsi diversamente il martedì. Quando un token sta dietro un proxy, le domande utili sono chi detiene i diritti di amministrazione, se le modifiche devono passare da un timelock che dà ai possessori il tempo di uscire e se serve l’approvazione di un gruppo di firmatari indipendenti.
Il rug pull morbido: l’uscita lenta dai portafogli del team
Un rug pull morbido non lascia nessuna prova evidente nel codice. Il contratto è ordinario, la liquidità può perfino essere bloccata. Il team ha una grossa quota di token, a volte dichiarata, a volte nascosta in tanti portafogli. Finché arrivano compratori, vende poco alla volta, continua a pubblicare aggiornamenti e promesse e smette piano piano di costruire. Un giorno i profili social tacciono.
CertiK cita Polywhale Finance, il cui team ritirò più di un milione di dollari in token prima di abbandonare il progetto. La società osserva anche che un rug pull morbido non è illegale in modo netto come uno duro, perché il progetto formalmente è ancora attivo e vendere i propri token non è di per sé un reato. Ciò che lo trasforma in frode è di solito una bugia: dire ai compratori che il team non possiede nulla, o che i suoi token sono bloccati, mentre li si vende.
È esattamente ciò che i procuratori americani sostengono nel caso Kishu Inu descritto più avanti. Ed è anche il motivo per cui le mappe dei possessori contano. Gli strumenti che raggruppano i portafogli che hanno ricevuto token dalla stessa fonte, o che hanno scambiato tra loro, possono mostrare che «centinaia di possessori» sono in realtà una manciata di persone. Nella vicenda LIBRA del febbraio 2025 la società di analisi Bubblemaps ha usato questo metodo per seguire circa 87 milioni di dollari ritirati dal pool di liquidità da portafogli che attribuiva al team, come ha riferito Decrypt.
Casi reali di rug pull e che fine hanno fatto i responsabili
Gli esiti giudiziari sono la prova migliore di che cosa sia un rug pull davanti alla legge. Alcuni fondatori sono stati incriminati e hanno patteggiato; molti non sono mai stati identificati. L’elenco che segue si attiene a quanto hanno detto tribunali e procure e tiene le accuse come accuse.
Frosties e Mutant Ape Planet: uscite con gli NFT nei tribunali americani
I rug pull non riguardano solo i token. Intorno al 9 gennaio 2022 la collezione di NFT Frosties andò esaurita e nel giro di poche ore i suoi creatori la abbandonarono: il sito si spense e circa 1,1 milioni di dollari in crypto passarono a portafogli sotto il loro controllo, secondo il comunicato dell’IRS Criminal Investigation (in inglese) del 24 marzo 2022. I procuratori federali di Manhattan hanno incriminato Ethan Nguyen e Andre Llacuna, arrestati a Los Angeles, per concorso in frode telematica (wire fraud) e concorso in riciclaggio, con una pena massima di 20 anni per ciascun capo. I procuratori hanno detto che la coppia stava preparando una seconda collezione, Embers, da cui si attendevano circa 1,5 milioni di dollari. Non abbiamo trovato notizie di un patteggiamento o di una condanna a ottobre 2026.
Mutant Ape Planet si è chiuso con un patteggiamento. Aurelien Michel, cittadino francese arrestato all’aeroporto JFK di New York, si è dichiarato colpevole di concorso in frode telematica davanti al tribunale federale di Brooklyn, riferì Decrypt (in inglese) il 14 novembre 2023. I possessori persero quasi 3 milioni di dollari dopo che omaggi e ricompense di staking promessi non arrivarono mai. Rischiava fino a cinque anni e ha accettato di restituire 1,4 milioni di dollari. Non abbiamo trovato notizie della sentenza. Secondo i procuratori, ai compratori scrisse: «We never intended to rug, but the community went way too toxic.»
Kishu Inu: le accuse arrivano cinque anni dopo il lancio
Il caso più recente mostra che un rug pull può raggiungere i suoi autori anni dopo. Il 6 ottobre 2026 un grand jury federale di Chicago ha emesso un atto d’accusa contro Alexander Sisemore, 28 anni, di Fayetteville (Arkansas), per tre capi di frode telematica, ciascuno punibile con fino a 20 anni di carcere. L’ufficio del procuratore federale per il distretto settentrionale dell’Illinois (in inglese) ha annunciato il caso il giorno dopo e ha definito esso stesso «rug pull» lo schema contestato. Kishu Inu è stato lanciato nel 2021 e ha poi superato 1,6 miliardi di dollari di capitalizzazione, ha precisato l’ufficio.
Secondo il comunicato, l’atto d’accusa sostiene che Sisemore e altri si siano assegnati in segreto una grande quantità di token alla creazione dell’asset, per poi venderli facendo dichiarazioni false agli investitori su Telegram, Twitter, Facebook e Reddit, per profitti personali di circa 9 milioni di dollari. I dettagli, riassunti da Bitcoin.com News (in inglese), vanno oltre: il 6% dell’offerta sarebbe andato a quattro portafogli controllati da Sisemore e un altro 6% a un cofondatore prima delle vendite al pubblico, mentre il white paper del maggio 2021 non parlava di token per il team e gli sviluppatori dichiaravano di possederne l’1,7%, comprato sul mercato; le vendite sarebbero andate da aprile 2021 ad almeno ottobre 2023, tramite più portafogli e mixer. Sono accuse, non accertamenti. Come ricorda lo stesso comunicato dei procuratori, un atto d’accusa non è una prova di colpevolezza e Sisemore è considerato innocente fino a condanna. L’FBI di Chicago ha chiesto agli investitori di Kishu Inu di farsi avanti.
Le memecoin dal 2024: HAWK e LIBRA
Il boom delle memecoin su Solana ha prodotto crolli il cui inquadramento resta controverso. HAWK, il token promosso dalla personalità del web Haliey Welch, è crollato al lancio, all’inizio di dicembre 2024. Il 19 dicembre 2024 dodici compratori hanno fatto causa negli Stati Uniti alla piattaforma e alle persone dietro il progetto, sostenendo violazioni delle leggi sui titoli, riferì Decrypt (in inglese). Welch non era tra i convenuti in quella fase e il suo portavoce ha detto che era stata «totalmente isolata» dal progetto e che aveva ricevuto un compenso fisso. Nessun tribunale ha stabilito che HAWK fosse un rug pull.
LIBRA è andato oltre, perché c’era di mezzo un capo di Stato. Il 14 febbraio 2025 il presidente argentino Javier Milei ha promosso su X il token di Solana. Il suo valore di mercato ha toccato circa 4,5 miliardi di dollari prima di perdere quasi il 90% nel giro di poche ore, secondo cifre di Decrypt riprese dalla nostra copertura. Milei ha cancellato il post e ha detto di avere agito in buona fede; Hayden Davis, che si è descritto come consulente del lancio, ha riconosciuto di detenere quasi 100 milioni di dollari dopo il crollo e nega ogni illecito, ha riferito Al Jazeera (in inglese).
Nessun tribunale si è pronunciato sul fatto che i compratori siano stati truffati. A New York la giudice Jennifer Rochon ha respinto con pregiudizio la class action degli investitori il 29 settembre 2026, per motivi legati alla legge sul racket, all’intento e alla giurisdizione e non ai fatti. A Buenos Aires il giudice federale Marcelo Martínez De Giorgi ha archiviato il 23 ottobre 2026, su richiesta del pubblico ministero, il procedimento penale contro Milei, la sorella Karina e altre nove persone, tra cui Davis, ritenendo che i fatti non integrino alcun reato. Gli appelli degli investitori alla Cámara de Casación argentina erano ancora pendenti, come precisa il nostro resoconto sull’archiviazione. LIBRA è quindi un lancio con molti insider e grandi profitti per gli insider, non un rug pull dimostrato in tribunale.
Date e cifre in una tabella
| Caso | Data | Cifra | Esito a ottobre 2026 |
|---|---|---|---|
| Token SQUID | 1° nov 2021 | Picco di 2.861,80 dollari, poi zero | Nessuna accusa riportata nelle fonti consultate |
| AnubisDAO | 28-29 ott 2021 | Circa 60 milioni di dollari in ether | Sospetto rug pull o phishing; nessun incriminato, per quanto abbiamo trovato |
| NFT Frosties | gen 2022 | Circa 1,1 milioni di dollari | Due uomini incriminati a marzo 2022; nessun patteggiamento o sentenza trovati |
| Mutant Ape Planet | Patteggiamento nov 2023 | Quasi 3 milioni di dollari | Colpevolezza ammessa per frode telematica; accordo per restituire 1,4 milioni |
| HAWK | dic 2024 | Crollo al lancio | Causa civile di 12 compratori; solo accuse |
| LIBRA | 14 feb 2025 | Circa 4,5 miliardi di dollari di valore al picco | Class action USA respinta il 29 set 2026; procedimento argentino archiviato il 23 ott 2026, appelli pendenti |
| Kishu Inu | Atto d’accusa 6 ott 2026 | Circa 9 milioni di dollari contestati | Accusa di frode telematica; presunto innocente |
Mango Markets: un exploit, non un rug pull
Mango Markets viene spesso inserito tra i rug pull, ma non c’entra. Nell’ottobre 2022 Avraham Eisenberg ha manipolato il prezzo della garanzia sul protocollo di prestito di Solana e ci ha preso a prestito contro, svuotando la tesoreria. Non c’è stata nessuna uscita del team e nessun prelievo nascosto: un trader esterno ha usato le regole stesse del protocollo. Una giuria lo ha condannato nel 2024, ma il 23 maggio 2025 il giudice Arun Subramanian ha ribaltato il verdetto: ha assolto Eisenberg dall’accusa di frode telematica, ritenendo non provata una dichiarazione falsa su una piattaforma priva di regole contro quel tipo di prestito, e ha annullato gli altri due capi perché New York era la sede sbagliata, riferì The Block (in inglese). Non risulta un appello del governo a ottobre 2026. Il caso riguarda la manipolazione di mercato e i limiti del diritto penale sulla frode, non fondatori che scappano.
Quanto sono diffusi i rug pull sulle launchpad di memecoin
Nessuno conta i rug pull con un metodo condiviso, quindi ogni cifra dipende dalla definizione del suo autore. Solidus Labs, società di sorveglianza dei mercati, ha pubblicato un «2025 Rug Pull Report», riassunto l’8 maggio 2025 da ForkLog (in inglese). I suoi numeri sono indicatori di schemi fraudolenti e non accertamenti giudiziari, ma mostrano che cosa trova davanti un principiante sulle launchpad come Pump.fun.
| Indicatore (Solidus Labs, riportato l’8 maggio 2025) | Cifra |
|---|---|
| Token lanciati su Pump.fun entro gennaio 2025 | Più di 7 milioni |
| Di questi, token che hanno mantenuto almeno 1.000 dollari di liquidità | Circa 97.000 |
| Memecoin di Pump.fun associate a schemi fraudolenti | Circa il 98% |
| Pool di liquidità su Raydium con caratteristiche da rug pull | 93% di 388.000 |
| Perdita media per vittima su Raydium | 2.832 dollari |
| Singola perdita più alta registrata | 1,9 milioni di dollari |
Su una launchpad dove creare un token costa pochi dollari, la quota di token abbandonati o manipolati è schiacciante e un token che sopravvive alla prima settimana è l’eccezione. Questo non fa di ogni memecoin un rug pull. Vuol dire che l’onere della prova sta al token, non al vostro sospetto.
I segnali di un rug pull da guardare prima di comprare
Nessun segnale da solo prova una truffa e molti hanno spiegazioni innocenti. Bitcoin stesso è stato lanciato da un creatore anonimo. Conta quanti segnali si sommano e se il team offre un modo per verificare ciò che afferma. Questi sono quelli che ricorrono nei casi sopra.
- Il team è anonimo e irraggiungibile e nessuno con una reputazione pubblica si espone per il progetto, quindi non c’è nessuno a cui chiedere conto se i soldi spariscono.
- La liquidità non è bloccata, o lo è per pochi giorni, oppure il pool è minuscolo rispetto al valore di mercato mostrato sulla pagina del token.
- Il codice sorgente del contratto non è verificato sull’explorer della blockchain, quindi nessuno fuori dal team può leggere che cosa faccia.
- Pochi portafogli detengono gran parte dell’offerta, oppure molti possessori «diversi» sono stati finanziati dallo stesso indirizzo a pochi minuti di distanza.
- Il contratto ha un proprietario che può creare token, bloccare indirizzi, sospendere i trasferimenti, cambiare la tassa sulle vendite o aggiornare il codice, senza timelock né multisig.
- Il marketing promette rendimenti garantiti, usa un vip o un politico come argomento principale, o spinge a comprare «prima della quotazione».
- Sito e white paper sono copiati da un altro progetto, oppure la roadmap è un elenco di parole alla moda senza date.
- Nessuno fuori dal team ha provato a vendere e documentato la prova, oppure i piccoli possessori lamentano che le loro vendite falliscono.
La tabella dell’allocazione merita una lettura lenta: chi riceve che quota dell’offerta, quando i token del team possono essere venduti e se una parte è bloccata in un contratto che si può controllare. La nostra guida a come funziona la DeFi spiega gli exchange e i pool su cui poggiano questi lanci.
Rug pull checker: cosa vedono e cosa no
Una famiglia di strumenti gratuiti legge per voi il contratto e i dati on-chain di un token. Individuano in pochi secondi molte trappole grossolane. Nessuno può dirvi che un token è sicuro. Honeypot.is, tra i più conosciuti, lo dice sulla propria home page: «This is not a foolproof method», cioè non è un metodo infallibile, e aggiunge che il fatto che oggi un token non sia un honeypot non garantisce che non lo diventi.
La tabella riassume che cosa copre ciascun tipo di controllo. Le funzioni degli strumenti cambiano spesso: leggetela come descrizione del tipo di verifica e non come promessa su un prodotto specifico.
| Strumento o controllo | Che cosa guarda | Che cosa non può dirvi |
|---|---|---|
| Explorer (Etherscan, BscScan) | Se il codice pubblicato corrisponde al contratto distribuito; possessori; transazioni | Se quel codice sia onesto o sicuro da usare |
| Honeypot.is | Simula un acquisto e una vendita su Ethereum, BNB Smart Chain e Base | Se il proprietario cambierà le regole dopo la prova |
| Token Sniffer, GoPlus, De.Fi Scanner | Scansioni automatiche di funzioni rischiose (mint, proprietà, proxy, tasse) | Quote nascoste del team, bugie fuori dalla blockchain, trucchi nuovi che la scansione non conosce |
| RugCheck (Solana) | Analisi del rischio dei token Solana: mint e freeze authority, liquidità, maggiori possessori | Se un insider scaricherà token già nei suoi portafogli |
| Bubblemaps | Mappa visiva dei maggiori possessori e dei legami tra i loro portafogli | Chi siano le persone dietro i portafogli o che cosa intendano fare |
| Locker di liquidità (UNCX, Team Finance) | Se gli LP token sono bloccati e fino a quando | Che cosa succede dopo la data di sblocco, o la sicurezza del locker stesso |
Sui locker serve una cautela. La documentazione di UNCX afferma: «Once the LP tokens are locked, they can’t be withdrawn/moved until the unlock date passes» (documentazione UNCX, in inglese). Protegge il pool fino a una data, niente di più, e non fa nulla contro una funzione di mint o contro un team che scarica i propri token. Anche il locker può cedere: il 27 ottobre 2022 un attaccante ha usato circa 2.700 dollari di ether per svuotare 15,8 milioni di dollari da Team Finance sfruttando un difetto della sua funzione di migrazione, pure sottoposta ad audit, riferì The Block (in inglese).
Anche la verifica ha un limite. La pagina di Etherscan sulla verifica dei contratti (in inglese) la descrive come un modo per gli sviluppatori di pubblicare un codice sorgente uguale a quello che gira on-chain, così che chiunque possa leggerlo. Non dice nulla sul fatto che quel codice sia equo. Un honeypot verificato resta un honeypot.
Rug pull su Solana e sulle meme coin: cosa cambia
Per le memecoin di Solana gli stessi principi valgono con un lessico diverso: al posto del proprietario del contratto contano la mint authority e la freeze authority, che un buon checker per Solana mostra per prime; la liquidità sta spesso in pool come quelli di Raydium e la distribuzione dei possessori si legge sulla mappa di Bubblemaps. Sulle meme coin il lancio avviene in minuti, i prezzi si muovono più in fretta dei controlli e la maggior parte dei token non vive oltre la prima settimana, come mostrano i dati di Solidus Labs sopra.
Il controllo in dieci minuti, passo per passo
Una routine di dieci minuti intercetta la maggior parte delle trappole grossolane. È un controllo di sicurezza, non un invito a comprare qualcosa.
- Copiate l’indirizzo del contratto dal canale ufficiale del progetto, mai da una risposta o da un messaggio privato, e apritelo sull’explorer della blockchain.
- Verificate che il codice sorgente sia verificato, poi cercate l’indirizzo del proprietario e funzioni come mint, blacklist, setFee, pause o upgradeTo.
- Passate l’indirizzo in un simulatore di honeypot e in uno scanner di contratti e leggete ogni avviso, non il punteggio complessivo.
- Aprite il pool di liquidità: quanto contiene, chi possiede gli LP token, se sono bloccati e fino a quale data.
- Guardate la lista dei possessori e una mappa dei possessori e annotate ogni gruppo di portafogli finanziati dalla stessa fonte.
- Cercate i nomi del team e la storia del progetto, e chiedetevi chi promuove il token e se è pagato per farlo.
- Se decidete comunque di procedere, comprate una piccola quantità e provate una piccola vendita prima di aggiungerne altre, sapendo che le regole possono cambiare dopo.
Conta anche il portafoglio. Collegarsi al sito di un token falso può esporre i fondi a un’autorizzazione dannosa; tenete le parole di recupero fuori dalla rete, come spiega la nostra guida alla sicurezza della seed phrase.
Il rug pull è reato? Truffa, Consob e MiCA in Italia
Nella legge statunitense, britannica, francese e italiana non esiste un reato chiamato «rug pull». I procuratori ricorrono a reati generali, soprattutto frode e riciclaggio, e la frode poggia quasi sempre su qualcosa che gli insider hanno detto. Per questo il confine tra un reato e un progetto fallito passa di solito da ciò che il team ha raccontato ai compratori.
Italia: truffa, Consob e Polizia Postale
In Italia un rug pull basato su menzogne rientra nella truffa dell’articolo 640 del codice penale: chi con artifizi o raggiri induce qualcuno in errore e ottiene un ingiusto profitto con altrui danno è punito, nel caso base, con la reclusione da sei mesi a tre anni e con la multa da 51 a 1.032 euro, come riporta il testo dell’articolo sul sito Brocardi. Le ipotesi aggravate hanno pene più alte. Nel caso base il reato è punibile a querela della persona offesa: serve quindi che il danneggiato la presenti.
Per segnalare e denunciare c’è la Polizia Postale, il reparto della Polizia di Stato che si occupa di reati informatici. Sul portale Commissariato di PS online si trovano la funzione «Segnala online», quella per la «Denuncia per reati telematici» e un modulo per chiedere informazioni. Conservate prima di tutto le prove: indirizzo del contratto, hash delle transazioni, schermate di sito e profili social con le promesse fatte.
La Consob, l’autorità che vigila sui mercati, ha una pagina «Occhio alle truffe!» con i consigli per chi non ha ancora investito (chiedere nome della società, autorità che l’ha autorizzata e numero di autorizzazione) e per chi ha già investito (esposto con il modulo online, denuncia alle autorità di pubblica sicurezza). La stessa pagina avverte di diffidare di chi promette il recupero del denaro. Gli avvisi ai risparmiatori e i provvedimenti si consultano nella sezione dedicata del sito Consob.
Con MiCA la Consob ha cominciato a usare i suoi poteri anche sulle memecoin. Il 6 marzo 2025 ha ordinato di far cessare l’offerta abusiva della memecoin $Corona, rivolta al pubblico italiano e promossa tramite un sito legato a Fabrizio Corona, perché non era stato notificato il white paper richiesto da MiCA, riferì LaPresse. Nella stessa settimana la Consob ha oscurato undici siti, alcuni per servizi crypto privi delle autorizzazioni MiCA; a quella data i siti oscurati dal luglio 2019 erano 1.247, secondo lo stesso articolo. Si trattò di un provvedimento sulla mancanza di un documento, non dell’accertamento di un rug pull.
Europa e Stati Uniti
Il regolamento europeo sui mercati delle cripto-attività (MiCA) si applica per intero dal 30 dicembre 2024. Chi offre al pubblico nell’Unione una nuova cripto-attività deve redigere un white paper e notificarlo all’autorità nazionale, e MiCA vieta anche l’abuso di informazioni privilegiate e la manipolazione del mercato. L’ESMA tiene un registro dei white paper e dei soggetti non conformi (in inglese) e precisa che i white paper elencati non sono stati esaminati né approvati da alcuna autorità. Il white paper è un obbligo di trasparenza, non un marchio di qualità: anche un rug pull può averne uno. La nostra guida a MiCA spiega l’intero quadro.
Per i fornitori di servizi, il periodo transitorio di MiCA è finito il 30 giugno 2026 in Italia e il 1° luglio 2026 nell’Unione. Ne segue una conseguenza pratica: l’iscrizione al registro dell’OAM non basta più a dimostrare che un soggetto sia autorizzato. Per controllare una piattaforma si guardano l’elenco dell’ESMA e gli avvisi della Consob. Resta comunque un limite: un token creato da un pool permissionless non ha per forza un offerente identificabile da vigilare.
Negli Stati Uniti tutti i casi sopra sono stati contestati come frode telematica, a volte con il concorso in riciclaggio, qualunque fosse l’asset: NFT per Frosties e Mutant Ape Planet, una memecoin per Kishu Inu. Non serve il diritto dei titoli. Il 27 febbraio 2025 la Divisione di Corporate Finance della SEC ha pubblicato una dichiarazione dello staff sulle meme coin (in inglese) in cui conclude che le tipiche meme coin non sono titoli, quindi i loro compratori non hanno le tutele della legge sui titoli. La stessa dichiarazione avverte che condotte fraudolente legate all’offerta e alla vendita di meme coin possono essere perseguite da altre agenzie federali o statali. È un parere dello staff, non una norma vincolante.
Anche in Francia il reato di riferimento è l’escroquerie (articoli 313-1 e seguenti del codice penale: fino a cinque anni di carcere e 375.000 euro di multa nel caso base, secondo Service-Public.fr), mentre nel Regno Unito contano le regole sulle promozioni finanziarie dell’FCA e il Fraud Act 2006. Le norme intervengono quasi sempre a cose fatte, quando gli investigatori riescono a dare un nome ai portafogli, e può volerci anni, come mostra Kishu Inu.
Cosa fare se avete subìto un rug pull
Di solito i soldi sono spariti e la risposta onesta è che le vittime raramente li recuperano. Alcuni passi servono comunque, per le indagini e per la dichiarazione dei redditi.
- Salvate tutto subito: l’indirizzo del contratto, gli hash delle vostre transazioni, le schermate del sito, dei profili social e delle promesse fatte, prima che vengano cancellati.
- Segnalate alla Polizia Postale (denuncia per reati telematici o querela), alla Consob se l’offerta era rivolta a risparmiatori italiani, e alla piattaforma su cui avete comprato, se era un exchange centralizzato.
- Revocate le autorizzazioni date ai contratti del progetto, usando il portafoglio o lo strumento di controllo delle approvazioni dell’explorer.
- Ignorate ogni «servizio di recupero» che vi contatta o che promette di rintracciare e restituire i fondi a pagamento: è la seconda truffa pensata per le vittime dei rug pull.
Le perdite possono contare anche per la dichiarazione dei redditi, a seconda di dove si risiede; la nostra guida alle basi della tassazione delle crypto spiega le regole generali. La prossima lezione di questo percorso passa al pump and dump, la manipolazione di mercato che spesso accompagna un rug pull morbido.
