Como detectar rugpull em token cripto antes de perder dinheiro
Tutorial sobre identificação de rugpulls — sinais técnicos e on-chain (liquidez locked, contrato verificado, holder concentration), heurísticas e ferramentas em 2026.
15/05/2026 · 4 min de leitura · Tutorial · Seguranca · Rugpull · DeFi
O que é rugpull e por que é tão comum
Rugpull é quando o time de um projeto cripto desaparece com o dinheiro dos investidores. Versões clássicas: (1) hard rug — devs drenam liquidez do pool DEX e somem; (2) soft rug — devs param de desenvolver, abandonam o token, e cashout via vendas graduais; (3) honeypot — contrato impede venda do token (você pode comprar mas não vender).
Rugpulls são comuns porque a barreira de entrada para criar token cripto é zero. Em Solana, Base e Polygon, qualquer um lança token em minutos sem KYC. Cinquenta mil tokens novos são criados por semana globalmente — a maioria deles é lixo ou scam direto.
Sinal 1: liquidez não locked
Quando um token novo lança em DEX (Uniswap, Raydium, Aerodrome), devs precisam adicionar liquidez ao pool. Se essa liquidez não está locked (em smart contract que impede retirada por período), devs podem drenar quando quiserem.
Verifique: vá em DexTools, GMGN ou DexScreener, e cheque o pool. 'Liquidity locked' ou 'LP burned' deve estar visível. Se 'unlocked' ou 'not burned', é red flag alto. Mesmo locked não é garantia — locks de 30 dias terminam, e devs podem drenar quando vence.
Sinal 2: holder concentration
Verifique o top 10 holders do token no Etherscan, Solscan, ou explorer da chain. Se top 10 detém mais de 30% do supply, é red flag. Se top 1 detém mais de 10%, é red flag maior — significa que um único endereço pode drenar mercado vendendo.
Cuidado com burned addresses (0x000...dead) e contrato burning — alguns parecem holders mas são supply queimado, não vendedores. Ferramentas como Bubblemaps mostram relacionamento entre wallets, identificando se vários 'holders' são na verdade controlados pelo mesmo agente.
Sinal 3: contrato não verificado ou com função suspeita
Em Ethereum/L2s e BSC, contratos podem ser verificados em Etherscan/BSCScan — significa que o código fonte é público e auditável. Se o contrato não está verificado, é alto red flag. Você está confiando em código que ninguém pode ler.
Mesmo verificado, procure por funções suspeitas: mint() infinito (devs podem criar tokens novos), blacklist() (devs podem bloquear venda de wallets específicas), updateTax() (devs podem mudar fee de transação para 99%). Ferramentas como TokenSniffer e GoPlus detectam essas funções automaticamente.
Sinal 4: team anônimo sem track record
Time totalmente anônimo, sem LinkedIn público, sem histórico de outros projetos, sem doxxing, é red flag em projetos novos. Bitcoin Satoshi é a exceção, não a regra. A maioria dos projetos legítimos em 2026 tem founders identificáveis.
Doxxed não garante segurança — Do Kwon era doxxed e fugiu com Terra. Mas anonymous + sem track record + token novo = combo que praticamente garante rugpull risk. Pelo menos um critério da tríade deve passar.
Sinal 5: marketing antes de produto
Projetos que gastam centenas de milhares em influencer marketing antes mesmo de ter MVP funcional são red flag. Esse padrão se chama 'paid pump' — marketing artificial cria FOMO, retail entra, e team dumpa em primeira oportunidade.
Sinais: presence Twitter intensa com poucos engagements reais (bots), patrocinio em pequenos influencers (US$ 5-50k each), promessas vagas ('revolutionary DeFi infrastructure') sem detalhe técnico. Reais projetos focam em produto primeiro, marketing depois.
Ferramentas para checagem rápida
GoPlus Security: cheque automatizado de contrato (mint infinito, blacklist, tax modificável). TokenSniffer: similar, com score 0-100. Bubblemaps: visualiza concentração de wallets. DeFiLlama: TVL e protocolo metrics. Etherscan/Solscan: contrato verificado e top holders.
Use múltiplas ferramentas — nenhuma é definitiva. Se três delas levantam red flags, pule. O custo de oportunidade de não comprar é zero, o custo de perder capital em rugpull é total.
OFFCODE: lista whitelist via processo institucional
OFFCODE lista apenas tokens que passam por due diligence institucional. Não significa zero risco — mesmo blue chips podem ter falhas — mas significa que rugpull risk de smart contract está mitigado. Para acessar long-tail tokens (memecoins novos, tokens não-listed), o caminho é self-custody via DEX, e o risco de rugpull é seu.
Aviso YMYL: rugpull pode drenar 100% do capital investido em minutos. Não aloque mais que dispostos a perder integralmente em qualquer token long-tail (memecoin, micro-cap). Para a maioria dos investidores, 95%+ do portfolio cripto deveria estar em blue chips (BTC, ETH, SOL, stablecoins), com no máximo 5% em apostas especulativas.