Apa Itu Rug Pull? Cara Kenali Scam Kabur Lebih Awal

Rug pull (sering juga ditulis rugpull; artinya tarik karpet) = tim proyek bikin proyeknya kelihatan normal dulu, narik kamu masuk, lalu tiba-tiba menarik likuiditas, menutup komunitas, dan kabur bawa dana. Token di tanganmu langsung nyangkut, nggak bisa dijual. Mengenalinya bukan andalin firasat, tapi mengecek beberapa indikator keras on-chain sebelum transfer. Jujur aja: nggak ada satu pemeriksaan pun yang menjamin 100% aman, yang bisa dilakukan adalah menyaring jebakan yang sudah jelas sejak awal.

Pembukaan yang sering banget terjadi

Di grup WhatsApp ada yang lempar screenshot grafik, dalam beberapa jam naik berkali lipat, captionnya "100x berikutnya, nyesel kalau kelewat". Kamu klik web-nya, halamannya cakep, roadmap sampai tahun 2030, Telegram-nya rame puluhan ribu orang spam emoji roket. Pas kamu masih ragu, harganya naik lagi. Akhirnya kamu beli. Besoknya kamu buka dompet: koinnya masih ada, jumlahnya nggak berubah, tapi pool-nya kosong. Tombol jual ditekan muncul "transaksi gagal", web-nya nggak bisa dibuka, grup dibubarkan, akun admin dihapus. Itu satu siklus penuh Rug Pull.

Intinya bukan "penipunya terlalu licik", tapi: setiap sinyal yang bikin kamu tergiur di atas tadi bisa dipalsukan. Web cakep cukup ratusan ribu rupiah, grup puluhan ribu orang bisa diisi akun bodong, roadmap siapa pun bisa gambar. Cuma satu hal yang nggak bisa ditipu: kontrak yang tertulis di blockchain dan aliran dananya. Artikel ini ngajak kamu ke tempat yang nggak bisa nipu itu.

Empat pola kabur

"Kabur bawa dana" bukan satu gerakan, tapi beberapa cara dengan struktur berbeda. Paham bedanya, baru tahu harus cek apa.

Pola	Cara dia menjebak	Yang harus dicek
Tarik liquidity pool	Tim menarik sekaligus pasangan ETH/USDT di pool DEX, harga token langsung nol, mau jual nggak ada yang nampung	Apakah likuiditas dikunci, berapa lama, berapa persen
Kontrak bisa mint tak terbatas	Kontrak menyimpan hak mint (cetak), tim bisa kapan saja menciptakan token baru dalam jumlah masif buat dump, mengencerkan porsimu jadi debu	Apakah kontrak masih punya fungsi mint, apakah sudah di-renounce
Honeypot, nggak boleh jual	Kode menulis "cuma bisa beli, nggak bisa jual" atau pajak jual 99%. Kamu lihat harga naik, tapi tombol jual nggak bisa diklik selamanya	Pajak beli/jual kontrak, batasan transfer, logika blacklist
Tim hilang, komunitas ditutup	Nggak ada backdoor jelas di kode, tapi suatu hari tim berhenti update, bubarin komunitas, hapus web, lalu tokennya pelan-pelan mati tanpa likuiditas dan tanpa kabar	Apakah tim pakai identitas asli, apakah token terpusat di segelintir alamat

Tiga pola pertama biasa disebut hard rug: buktinya tertulis di kontrak dan bisa dicek sebelum beli. Yang terakhir soft rug: nggak ada kode jahat, yang dicek adalah orangnya dan sebaran tokennya. Satu proyek bisa menggabungkan beberapa pola sekaligus, jadi lewati pemeriksaan di bawah satu per satu.

Kenapa hampir nggak bisa ditarik balik

Banyak pemula nekat hajar buta karena mikir "kalau ketipu kan tinggal lapor polisi terus ditarik balik". Kenyataannya: transaksi on-chain nggak bisa dibatalkan, sekali ditransfer ya sudah, nggak ada tombol "batal"; pelaku biasanya pakai alamat anonim, dananya dicampur lewat mixer, dipindah lintas chain, ditukar jadi koin privasi berlapis-lapis buat dicuci; tim proyek sering berada di luar negeri, biaya pelacakan lintas negara sangat mahal dengan peluang berhasil sangat kecil. Artinya, urusan ini nyaris cuma punya satu jalan: "pencegahan sebelum kejadian", nggak ada "perbaikan setelah kejadian". Itulah kenapa checklist di bawah layak kamu luangin sepuluh menit.

Kena rug pull, harus ngapain sekarang

Kalau kamu sudah kena rug, peluang uangnya kembali kecil. Tapi beberapa jam pertama tetap menentukan: supaya kerugian nggak bertambah, dan supaya ada catatan kalau pelakunya suatu hari teridentifikasi.

Berhenti kirim uang. "Beli lagi biar bisa jual", "bayar pajak dulu biar saldo cair", "migrasi ke token v2": di titik ini semuanya penipuan yang sama sedang menagih ulang.
Kalau masih ada sisa likuiditas, seperti yang sering terjadi di soft rug, jual yang bisa dijual di harga berapa pun. Di honeypot, penjualan memang selalu gagal; jangan terus mencoba dan membakar gas fee di tiap percobaan.
Cabut izin (approval) yang pernah kamu berikan ke kontrak dan situs proyek itu, lewat Etherscan (Ethereum), BscScan (BNB Chain), atau revoke.cash yang mendukung lebih dari 100 jaringan EVM. Kontrak jahat dengan izin tanpa batas bisa terus menarik token lain dari wallet-mu.
Kalau kamu pernah mengetik seed phrase di situs proyek, pindahkan sisa aset ke wallet baru (lihat seed phrase).
Kumpulkan bukti bertanggal: alamat kontrak, hash transaksi pembelianmu, alamat tujuan likuiditas yang ditarik, screenshot grup, situs, dan akun admin.

Dengan bukti itu, buat laporan polisi lewat patrolisiber.id (Dittipidsiber Bareskrim Polri) atau datang ke SPKT Polsek/Polres terdekat, dan minta STTLP sebagai tanda terima laporan; perkembangannya bisa dipantau di sp2hp.bareskrim.polri.go.id. Kalau ada uang yang keluar dari rekening bank atau e-wallet ke pelaku, misalnya bayar "biaya pencairan" atau transfer ke "admin", hubungi bank atau penyedia e-wallet-mu saat itu juga dan minta rekening tujuan diblokir, lalu lapor ke iasc.ojk.go.id (Indonesia Anti-Scam Centre). Siapkan foto KTP, kronologi, bukti transfer, screenshot chat, serta nomor rekening pelaku beserta jumlah dan jam transfernya. IASC bekerja dengan memblokir rekening bank penerima; koin yang sudah berpindah di blockchain nggak bisa ditarik balik lewat jalur ini. Kalau token itu dijual dengan janji untung pasti lewat grup sinyal atau "pengelola dana", laporkan juga ke Satgas PASTI lewat sipasti.ojk.go.id atau Kontak OJK 157.

Setelah rug, grup biasanya dipenuhi "jasa pemulihan dana": ngaku hacker, pengacara, sampai petugas OJK atau IASC, semuanya menjamin uangmu kembali asal bayar biaya di depan. Itu penipuan kedua, tanpa kecuali. OJK sudah mengingatkan soal situs palsu yang mengatasnamakan IASC: IASC tidak memungut biaya apa pun, dan situs resminya cuma iasc.ojk.go.id. FTC Amerika Serikat juga menjelaskan pola ini, dan FBI pada 2025 memperingatkan soal firma hukum palsu yang mengaku bekerja sama dengan FBI (peringatan IC3).

Cek on-chain dulu sebelum uang berpindah

Rangkaian langkah ini nggak butuh tool berbayar, sepuluh menit selesai. Ambil contoh token di Ethereum, buka Etherscan (block explorer Ethereum, data on-chain terbuka dan gratis), tempel alamat kontrak yang dikasih proyek ke kotak pencarian, lalu lihat tiga hal:

Lihat apakah kepemilikan token terpusat. Buka tab "Holders" di halaman token, lihat berapa persen yang dipegang alamat-alamat teratas. Kalau setelah dikeluarkan pool likuiditas dan kontrak lockup yang diketahui, masih ada satu dompet memegang porsi sangat besar, begitu dia dump kamu langsung ketimbun. Konsentrasi tinggi itu sendiri risiko soft rug terbesar.
Lihat apakah kontrak bisa mint tak terbatas atau punya backdoor. Pindah ke tab "Contract", kalau ada centang hijau berarti kode sudah open source dan bisa dibaca. Cari kata mint, owner, blacklist, pause di dalam kode; lihat apakah hak owner sudah dilepas (renounce). Nggak ngerti kode juga nggak apa-apa, bisa pakai tool pemindai keamanan kontrak buat baca kesimpulan "bisa mint nggak, pajak jual berapa, honeypot nggak". Tapi paham ya: hasil pemindai cuma rujukan, bukan jaminan bebas risiko.
Lihat apakah likuiditas dikunci. Telusuri dari alamat pool pasangannya, lihat apakah token LP disetor ke kontrak lockup pihak ketiga, atau masih nongkrong di dompet tim sendiri. Yang terakhir berarti mereka bisa kabur kapan saja.

Setelah cek on-chain, buka CoinGecko dan cari koin ini, lihat apakah dia beneran sudah listing, ada volume nyata, dan tercatat di banyak exchange. Yang cuma nempel di satu DEX abal-abal dengan volume hampir nol, perlu ekstra waspada.

Checklist 8 poin sebelum transfer

Simpan checklist ini, lewatin sekali setiap mau invest proyek baru. Makin sedikit yang tercentang, makin harus mundur.

☐ Kontrak di Etherscan sudah open source, kodenya bisa dibaca (bukan bytecode yang nggak kebaca)?
☐ Hak owner kontrak sudah dilepas (renounce), atau diserahkan ke multisig / timelock?
☐ Kode nggak punya backdoor mint tak terbatas?
☐ Pajak jual, batasan transfer, dan logika blacklist normal, bukan honeypot (cuma bisa beli, nggak bisa jual)?
☐ LP likuiditas sudah dikunci di kontrak pihak ketiga, dengan masa kunci yang cukup lama?
☐ Kepemilikan token nggak terpusat di segelintir alamat anonim (setelah dikeluarkan pool dan lockup)?
☐ Tim asli dan bisa dicek, bukan anonim total plus foto profil beli-an?
☐ Proyek beneran listing di situs seperti CoinGecko, ada volume nyata, tercatat di banyak platform?

Kapan harus langsung keluar

Kalau muncul tanda-tanda ini, jangan ragu, mundur dulu

Aturan tiba-tiba berubah: pajak jual diam-diam naik dari 2% ke 20%, masa kunci diperpanjang, penarikan dibatasi, ini pemanasan sebelum mereka kabur.
Likuiditas mulai goyah: kamu cek LP yang tadinya terkunci mendekati waktu unlock, atau sudah ditarik sebagian.
Tim mulai menghilang: akun resmi berhenti update, AMA molor terus, admin mulai menghapus pertanyaan dan kick orang.
Pergerakan alamat besar: alamat dengan kepemilikan besar yang sebelumnya diam tiba-tiba kirim token ke exchange atau alamat mixer (lihat whale).

Ingat satu pepatah anti-scam: di dunia crypto, kalimat kayak "pasti untung, nggak mungkin rugi", "garansi profit bunga tinggi", "kalau kelewat hilang selamanya" itu sendiri sinyal buat keluar, bukan masuk. Pas harus pergi malah sayang sama untung di atas kertas, ujungnya sering modal pun nggak balik.

Sinyal "aman" yang justru menyesatkan

Sudah diaudit = aman

Nggak sama. Audit cuma mencakup versi kode tertentu dan ruang lingkup tertentu, dan kualitas firma audit beda-beda. Tim bisa upgrade kontrak setelah audit buat nanam backdoor, atau nempel "laporan audit" palsu yang dipakai dari proyek lain. Audit itu penyaringan kekurangan, bukan jaminan keamanan.

Di-endorse influencer = terpercaya

Endorse influencer sering kali "jualan" karena dibayar fee promosi, bahkan bagian dari skenario pompa yang diatur tim proyek: kamu yang nampung, mereka dan influencer-nya dump. Yang rugi uangmu, bukan uangnya, jadi dia nggak punya alasan buat bertanggung jawab ke kamu.

Pool sudah dikunci pasti nggak bakal kabur

Belum tentu. Lihat berapa lama dikunci, berapa persen, dan dikunci di mana. Cuma dikunci seminggu, cuma setengah, atau dikunci di kontrak yang masih dikendalikan tim, sama aja kayak nggak dikunci. Saat masa kunci habis sering kali jadi saat mereka kabur.

Harga masih naik berarti aman

Justru sebaliknya. Pompa harga itu buat narik lebih banyak orang nampung; makin cakep harganya, makin banyak yang masuk, makin banyak dana yang bisa mereka bawa kabur. Kontrak honeypot malah sengaja bikin kamu "lihat naik tapi nggak bisa jual". Tren naik bukan sinyal aman, yang penting dana bisa ditarik balik atau nggak.

Siapa yang lebih gampang kena, cara menghindar

Kalau kamu tipe ini, peluang kena jauh lebih kecil

Sebelum naruh uang mau luangin sepuluh menit cek kontrak dan kepemilikan di Etherscan;
Cuma sentuh proyek yang kamu bisa jelasin sendiri "kenapa ini berharga", nggak ngejar "100x bocoran" di grup;
Pakai uang nganggur, coba kecil-kecilan, nggak pernah taruh besar di proyek baru;
Lihat "pasti untung", "limited time", "garansi bunga tinggi" jadi waspada, bukan girang.

Kalau kamu lagi dalam kondisi ini, ekstra hati-hati

Lihat orang pamer cuan di grup langsung nggak bisa diem, takut ketinggalan, pengin balik modal cepat;
Nggak bisa bedain "web resmi" dan "situs phishing", terbiasa klik link kiriman orang lalu connect wallet;
Mikir "cek kontrak ribet", toh semua orang beli, nanti aja kalau ada masalah;
Yang kamu setor itu uang dapur atau uang pinjaman, kalau rugi bakal mengganggu hidup.

FAQ

Rug Pull itu apa?

Tim proyek bikin token buat narik investor, lalu tiba-tiba kabur bawa semua dana, nilai token langsung nol.

Gimana cara mengenali Rug Pull?

Tim anonim, likuiditas nggak dikunci, kode belum diaudit, janji return nggak masuk akal, komunitas dilarang diskusi. Makin banyak red flag makin bahaya.

Kena Rug Pull, uangnya bisa balik?

Hampir nggak pernah: transaksi di blockchain nggak bisa dibatalkan, dan pelakunya biasanya anonim dan di luar negeri. Tetap lakukan langkah dasarnya segera: berhenti kirim uang, cabut izin ke kontrak lewat Etherscan, BscScan, atau revoke.cash, kumpulkan bukti (alamat kontrak, hash transaksi, screenshot grup), lalu lapor polisi lewat patrolisiber.id atau SPKT. Kalau ada uang yang ditransfer lewat bank atau e-wallet, hubungi bank saat itu juga dan lapor ke iasc.ojk.go.id. Orang yang menjanjikan bisa mengembalikan semuanya asal bayar di depan adalah penipuan kedua; IASC sendiri tidak memungut biaya.

Sumber

OJK: waspada situs palsu yang mengatasnamakan IASC: IASC tidak memungut biaya, situs resminya iasc.ojk.go.id.
Etherscan: cek kode kontrak, distribusi kepemilikan, dan hak akses.
CoinGecko: cek apakah proyek beneran listing dan punya data nyata.
Chainalysis: laporan scam dan kejahatan on-chain industri.

Diperbarui: 2026-09-27. CoinLingo adalah situs edukasi independen, bukan saran investasi. Alat cek yang disebut di sini (Etherscan, BscScan, revoke.cash, CoinGecko) gratis dipakai; hasilnya menyaring jebakan yang jelas, bukan jaminan proyeknya aman.