Rug pull

Rug pull (буквально «выдернуть ковёр из-под ног») — ситуация, когда команда проекта обналичивает свою выгоду за счёт остальных держателей токена и оставляет проект мёртвым. Это не уязвимость в коде и не взлом — это намеренное действие самих создателей. На TON наиболее частая форма — мем-токен или «низкокачественный» jetton с маркетинг-хайпом.

Типы rug pull

• Hard rug — слив ликвидности. Команда добавляет токен на DEX (STON.fi, DeDust), часть пользователей покупает в LP-пуле, и в один момент команда снимает всю ликвидность из пула. Цена токена обнуляется мгновенно.
• Hard rug — массовая продажа аллокейшна. Команда оставила себе 30–80% эмиссии «на маркетинг» и без локапа. После роста цены весь объём выливается в стакан, цена падает в десятки раз.
• Soft rug — медленный отказ. Проект не делает публичного скама, но команда тихо продаёт свой аллокейшн в течение нескольких недель, перестаёт публиковать обновления, удаляет соцсети, перестаёт отвечать. Формально не воровство, по факту — exit scam.
• Mint rug. В контракте jetton-а оставлена функция бесконечного mint у владельца. Через месяц после листинга владелец начеканит ещё миллиард токенов и продаст их.
• Honeypot. Контракт устроен так, что покупка работает, а продажа — нет (или возможна только для адресов из whitelist). Жертва видит «рост цены» в кошельке, но не может выйти.

Индикаторы рисков в TON

• Анонимная команда. Нет публичных лиц, нет LinkedIn-профилей, нет верифицированного Telegram. Не само по себе диагноз, но повышает риск.
• Концентрация холдеров. Tonviewer показывает топ-холдеров jetton-а. Если 70–90% supply сидит на 1–3 адресах вне пула ликвидности — это пороховая бочка.
• Отсутствие аудита. Серьёзный jetton-проект публикует отчёт от CertiK, Halborn, Slowmist или TON-фокусной команды. Отсутствие отчёта — тревожный сигнал, особенно если контракт не использует стандартный шаблон TEP-74.
• Mint authority остаётся у деплойера. В коде jetton-контракта поле admin_address не должно быть установлено в адрес команды или должно быть передано на «нулевой» адрес/мёртвый кошелёк после выпуска. Проверяется в Tonviewer / Tonscan через get-методы.
• Ликвидность не залочена. Профессиональные команды отправляют LP-токены пула на time-lock контракт или сжигают их. Если LP-токены лежат на обычном адресе команды — она физически может их вытащить.
• Подозрительный маркетинг. «100x за неделю», «скоро на Binance», обещания с конкретными цифрами доходности — почти всегда rug в зачатке.
• Очень молодой проект. Возраст контракта 1–2 дня, тысячи холдеров появились за часы — типичный pump-and-dump шаблон.

Что проверять до покупки

• В Tonviewer открыть страницу токена, посмотреть распределение, возраст, активность, верификацию контракта.
• Через get-методы (get_jetton_data) убедиться, что admin-адрес — пустой или сожжён.
• Найти LP-пул на STON.fi/DeDust и проверить, залочены ли LP-токены.
• Прочитать аудит, если он есть. Особое внимание — выводу о mint authority и upgrade authority.

Что делать, если попал в rug

К сожалению, ничего. В блокчейне транзакция необратима, юридически догнать анонимную команду крайне сложно. Единственное полезное действие — задокументировать адреса и репортить в Tonviewer/Tonscan, чтобы будущие пользователи получили предупреждение.

Rug pull — главный риск любых низкокачественных jetton-проектов. Защита здесь не техническая, а поведенческая: ограничение размера позиций, скепсис к «100x возможностям», работа только с проектами, у которых публичная команда и реальный продукт.