O que é Rug Pull? Como identificar o golpe antes

Rug pull (ou rugpull; ao pé da letra, "puxar o tapete") = a equipe faz o projeto parecer normal primeiro, te atrai para entrar e de repente retira a liquidez, fecha a comunidade e foge com o dinheiro. O token na sua mão fica preso, impossível de vender. Identificar não é questão de intuição, e sim de checar alguns indicadores duros on-chain antes de transferir. Sendo honesto: nenhuma checagem garante 100% de segurança, o que dá para fazer é filtrar as armadilhas óbvias logo no começo.

Uma abertura que acontece o tempo todo

No grupo do WhatsApp alguém joga um print de gráfico que subiu várias vezes em poucas horas, com a legenda "o próximo 100x, vai chorar se ficar de fora". Você clica no site, a página é bonita, o roadmap vai até 2030, o Telegram tem dezenas de milhares de pessoas mandando emoji de foguete. Enquanto você hesita, o preço sobe de novo. Você finalmente compra. No dia seguinte abre a carteira: a moeda continua lá, a quantidade não mudou, mas o pool está vazio. Você aperta o botão de vender e aparece "transação falhou", o site não abre, o grupo foi dissolvido, a conta do admin foi apagada. Isso é um ciclo completo de Rug Pull.

O ponto não é que "o golpista é esperto demais", e sim: cada sinal que te empolgou ali em cima pode ser forjado. Um site bonito custa poucos reais, um grupo de dezenas de milhares pode ser enchido com contas fakes, qualquer um desenha um roadmap. Só uma coisa não pode ser falsificada: o contrato escrito na blockchain e o fluxo do dinheiro. Este artigo te leva justamente a esse lugar que não mente.

Os quatro golpes de fuga

"Fugir com o dinheiro" não é um gesto só, são várias formas com estruturas diferentes. Entender a diferença é o que diz o que checar.

Golpe	Como ele te enrola	O que checar
Retirar o pool de liquidez	A equipe puxa de uma vez o par de ETH/stablecoin do pool na DEX, o preço do token zera na hora e, se você quer vender, não tem ninguém comprando	Se a liquidez está travada, por quanto tempo, em qual percentual
Contrato com emissão ilimitada	O contrato guarda o direito de mint (emitir), a equipe pode criar a qualquer momento uma quantidade enorme de token novo para despejar, diluindo a sua parte até virar poeira	Se o contrato ainda tem função mint, se já foi renunciado (renounce)
Honeypot, não deixa vender	O código escreve "só pode comprar, não pode vender" ou cobra imposto de 99% na venda. Você vê o preço subir, mas o botão de vender nunca clica	Imposto de compra/venda do contrato, limites de transferência, lógica de blacklist
Equipe some, comunidade fecha	Sem backdoor claro no código, mas um dia a equipe para de atualizar, dissolve a comunidade, apaga o site, e o token vai morrendo devagar, sem liquidez e sem notícia	Se a equipe tem identidade real, se o token está concentrado em poucos endereços

Os três primeiros são o que o pessoal chama de hard rug: a prova está escrita no contrato e dá para checar antes. O último é o soft rug, em que não há código malicioso e o que se checa são as pessoas e a distribuição dos tokens. Um projeto pode combinar vários ao mesmo tempo, então vale fazer a checagem abaixo item por item.

Por que quase nunca dá para recuperar

Muito iniciante entra de olhos fechados achando "se cair no golpe é só registrar um boletim de ocorrência e recuperar". A realidade: a transação on-chain não pode ser desfeita, uma vez transferido já era, não existe botão de "cancelar"; os autores costumam usar endereços anônimos, o dinheiro passa por mixer, vai para outra rede, é trocado por moedas de privacidade em camadas para ser lavado; a equipe quase sempre está fora do país, o custo de rastrear entre países é altíssimo e a chance de sucesso, baixíssima. Ou seja, esse assunto tem praticamente um único caminho: "prevenção antes", não há "remédio depois". É por isso que o checklist abaixo merece dez minutos do seu tempo.

Caí num rug pull: o que fazer agora

Se você levou um rug (ou foi rug pulled, como se diz em inglês), recuperar o dinheiro é improvável. Mesmo assim, as próximas horas contam: para não perder mais e para deixar registro caso os autores sejam identificados um dia.

Pare de mandar dinheiro. "Compre mais para destravar", "pague a taxa para liberar a venda", "migração para o token v2": a essa altura, tudo isso é o mesmo golpe cobrando de novo.
Se ainda sobrou alguma liquidez, como costuma acontecer num soft rug, venda o que der pelo preço que der. Num honeypot a venda simplesmente falha; não adianta insistir e gastar gas a cada tentativa.
Revogue as permissões que você deu ao contrato do projeto e ao site dele, no Etherscan (Ethereum), no BscScan (BNB Chain) ou no revoke.cash, que cobre mais de 100 redes EVM. Um contrato malicioso com permissão ilimitada pode continuar puxando outros tokens da sua carteira.
Se você digitou a seed phrase em algum site do projeto, mova o que sobrou para uma carteira nova (veja seed phrase).
Junte as provas com data: endereço do contrato, hashes das suas compras, o endereço para onde a liquidez foi, prints do grupo, do site e dos perfis dos admins.

Com isso em mãos, registre o B.O. pelo gov.br (DEVIR), nos estados integrados, ou na delegacia eletrônica do seu estado — SP, RJ, MG. Se o token foi vendido com promessa de rendimento garantido, por um "grupo de sinais" ou gestor, denuncie também no SAC da CVM (0800-025-9666, dias úteis das 8h às 20h); a CVM apura a oferta irregular, mas não devolve prejuízo individual. Se você pagou alguém por Pix, como a "taxa de liberação" ou o "gestor", peça a contestação pelo MED no app do banco em até 80 dias, e quanto antes, melhor.

Depois de um rug, os grupos se enchem de "recuperadores": hacker, advogado, falsa força-tarefa, todos garantindo trazer o dinheiro de volta mediante taxa adiantada. É golpe, sem exceção. A FTC descreve esse roteiro, e o FBI alertou em 2025 para falsos escritórios de advocacia que se passam pelo próprio FBI (alerta do IC3).

Confira o contrato on-chain antes de transferir

Essa sequência não exige nenhuma ferramenta paga, dá para fazer em dez minutos. Pegando como exemplo um token na Ethereum, abra o Etherscan (explorador de blocos da Ethereum, dados on-chain abertos e gratuitos), cole o endereço de contrato que o projeto deu na caixa de busca e olhe três coisas:

Veja se a posse do token está concentrada. Abra a aba "Holders" na página do token e veja quantos por cento os endereços do topo seguram. Se, depois de tirar o pool de liquidez e contratos de lockup conhecidos, ainda houver uma única carteira segurando uma fatia muito grande, basta ela despejar para você ficar enterrado. Concentração alta já é, por si só, o maior risco de soft rug.
Veja se o contrato pode emitir sem limite ou tem backdoor. Passe para a aba "Contract"; se aparecer um check verde, o código está open source e dá para ler. Procure as palavras mint, owner, blacklist, pause no código; veja se o direito de owner já foi abandonado (renounce). Não entender de código também não é problema, dá para usar uma ferramenta de varredura de segurança de contrato para ler a conclusão "pode emitir, qual o imposto de venda, é honeypot". Mas entenda: o resultado da varredura é só referência, não garantia de risco zero.
Veja se a liquidez está travada. Siga pelo endereço do pool do par e veja se o token LP foi depositado em um contrato de lockup de terceiros, ou se ainda está na carteira da própria equipe. O último caso significa que eles podem cair fora a qualquer momento.

Depois de checar on-chain, abra o CoinGecko e busque essa moeda, veja se ela está mesmo listada, se tem volume real e se está registrada em várias corretoras (como Mercado Bitcoin ou Binance). A que só aparece em uma DEX duvidosa, com volume quase zero, exige atenção redobrada.

Checklist de 8 pontos antes de transferir

Salve este checklist e passe por ele uma vez antes de investir em cada projeto novo. Quanto menos itens marcados, mais você deve recuar.

O contrato no Etherscan já está open source, com o código legível (e não um bytecode ilegível)?
O direito de owner do contrato já foi abandonado (renounce), ou passado a multisig / timelock?
O código não tem backdoor de mint ilimitado?
O imposto de venda, os limites de transferência e a lógica de blacklist estão normais, não é honeypot (só compra, não vende)?
A liquidez LP já está travada em contrato de terceiros, com prazo de trava longo o bastante?
A posse do token não está concentrada em poucos endereços anônimos (depois de tirar pool e lockup)?
A equipe é real e verificável, não é totalmente anônima com fotos de perfil compradas?
O projeto está de fato listado em sites como o CoinGecko, com volume real e registro em várias plataformas?

Quando sair na hora

Se aparecer um destes sinais, não hesite, recue primeiro

As regras mudam de repente: o imposto de venda sobe sorrateiro de 2% para 20%, o prazo de trava é estendido, o saque é limitado. Isso é o aquecimento antes de eles fugirem.
A liquidez começa a balançar: você checa e a LP que estava travada se aproxima do desbloqueio, ou já foi retirada em parte.
A equipe começa a sumir: a conta oficial para de atualizar, o AMA é adiado várias vezes, o admin começa a apagar perguntas e expulsar gente.
Movimento de endereço grande: um endereço de posse enorme que estava parado de repente manda token para corretora ou para endereço de mixer (veja whale).

Lembre de um ditado anti-golpe: no mundo cripto, frases como "lucro garantido, sem risco de perda", "rendimento alto com capital garantido", "se perder essa some para sempre" são por si só sinal de saída, não de entrada. Na hora de sair, ter pena daquele lucro no papel costuma terminar com você sem nem o capital de volta.

As frases que dão falsa sensação de segurança

Foi auditado = seguro

Não é a mesma coisa. A auditoria cobre apenas uma versão do código e um escopo específico, e a qualidade das firmas varia. A equipe pode atualizar o contrato depois da auditoria para plantar um backdoor, ou colar um "relatório de auditoria" falso pego de outro projeto. Auditoria é triagem de defeitos, não garantia de segurança.

Influenciador indicou = confiável

A indicação de influenciador muitas vezes é "publi" paga por taxa de divulgação, ou até parte de um esquema de pump combinado com a equipe: você é quem segura, eles e o influenciador despejam. Quem perde é o seu dinheiro, não o dele, então ele não tem motivo para ser responsável com você.

Travou o pool, com certeza não vai fugir

Nem sempre. Veja por quanto tempo travou, em qual percentual e onde. Travar só uma semana, só metade, ou travar em um contrato ainda controlado pela equipe é o mesmo que não travar. O momento em que a trava vence costuma ser o momento da fuga.

Enquanto o preço sobe, está tudo bem

Justo o contrário. Inflar o preço serve para atrair mais gente para segurar; quanto mais bonito o preço, mais gente entra, mais dinheiro eles podem levar embora. O contrato honeypot serve justamente para te fazer "ver subir mas não conseguir vender". Tendência de alta não é sinal de segurança, o que importa é se o dinheiro pode ser sacado de volta.

Quem cai mais fácil e como evitar

Se você é desse tipo, a chance de cair é bem menor

Antes de pôr dinheiro, topa gastar dez minutos no Etherscan conferindo o contrato e a posse;
Só mexe com projeto cujo "por que isso tem valor" você consegue explicar sozinho, não corre atrás de "100x exclusivo" de grupo;
Usa dinheiro que sobra, testa em valor pequeno, nunca coloca muito em projeto novo;
Ao ver "lucro garantido", "tempo limitado", "capital garantido com juros altos", fica em alerta, não animado.

Se você está nesta situação, redobre o cuidado

Ao ver alguém mostrando lucro no grupo, não consegue ficar parado, tem medo de perder e quer recuperar rápido;
Não distingue "site oficial" de "site de phishing", tem o hábito de clicar em link mandado por outros e conectar a carteira direto;
Acha que "checar contrato é trabalhoso", e que como todo mundo compra, se der problema resolve depois;
O que você está colocando é dinheiro da despesa de casa ou dinheiro emprestado, e perder abalaria sua vida.

Perguntas frequentes

O que é Rug Pull?

A equipe cria um token para atrair investidores e de repente foge com todo o dinheiro, o valor do token zera na hora.

Como identificar um Rug Pull?

Equipe anônima, liquidez não travada, código sem auditoria, promessa de retorno irreal, comunidade que proíbe discussão. Quanto mais red flags, mais perigoso.

Caí em um Rug Pull, dá para recuperar o dinheiro?

Quase nunca: a transação na blockchain não se desfaz, e os autores costumam ser anônimos e estar fora do país. Mesmo assim, faça o básico logo: pare de mandar dinheiro, revogue as permissões dadas ao contrato no Etherscan, no BscScan ou no revoke.cash, junte provas (endereço do contrato, hashes, prints do grupo) e registre o B.O. online pelo gov.br ou na delegacia eletrônica do seu estado. Se pagou alguém por Pix, peça a contestação pelo MED no app do banco em até 80 dias. E desconfie de quem prometer recuperar tudo mediante taxa: é o segundo golpe.

Fontes

Etherscan: confira o código do contrato, a distribuição de posse e os direitos de acesso.
CoinGecko: confira se o projeto está mesmo listado e tem dados reais.
Chainalysis: relatórios de golpes e crime on-chain do setor.

Atualizado: 2026-09-27. A CoinLingo é um site educacional independente, não é conselho de investimento. Este artigo é só para educação de segurança, decida por conta própria antes de investir.

A carteira continua lá, mas a moeda zerou da noite para o dia O que é Rug Pull, os golpes comuns, como identificar antes