Penipuan "rug pull" di dunia kripto: bagaimana penipuan DeFi bekerja dan bagaimana mengenali tanda-tandanya sebelum Anda kehilangan uang.

Saya ingat pernah menelusuri Twitter kripto pada hari Selasa acak di bulan April 2025 dan menyaksikan grafik Mantra runtuh secara real-time. Tujuh belas dompet telah membuang 43,6 juta token OM ke bursa dalam beberapa jam sebelumnya, dan pada saat sebagian besar pemegang menyadarinya, harganya sudah anjlok 94%, menguapkan $5,5 miliar dalam peristiwa yang seperti kecelakaan mobil dalam gerakan lambat yang dapat dilihat semua orang tetapi tidak ada yang dapat menghindar. Tim Mantra menyalahkan likuidasi paksa; analis on-chain menunjukkan bahwa tujuh belas dompet tidak secara kebetulan mengkoordinasikan deposit bursa senilai $227 juta. Saya serahkan kepada Anda untuk menarik kesimpulan sendiri dari serangkaian fakta tersebut.

Bagian yang paling menyakitkan bagi komunitas Mantra adalah bahwa semua ini tidak terlihat seperti penipuan ketika mereka menginvestasikan uang. Ini adalah platform aset dunia nyata dengan kemitraan nyata dan token yang terdaftar di bursa utama, bukan koin anonim yang diluncurkan pada Minggu malam. Dan itulah tepatnya masalah dengan penipuan rug pull di dunia kripto: yang menyebabkan kerusakan paling besar adalah yang terlihat sah sampai saat terungkap bahwa itu tidak sah. Yang berbahaya tidak pernah datang dengan tanda yang bertuliskan "Saya akan mencuri uang Anda."

Saya terjun ke dunia kripto pada tahun 2017, dan sejak itu saya secara pribadi telah menyaksikan pola ini menggerogoti tabungan orang berkali-kali. Mesin hype berputar, grafik naik vertikal, tidak ada yang mau mengajukan pertanyaan canggung tentang tokenomics karena harga terus naik dan mempertanyakan proyek terasa seperti mempertanyakan uang gratis. Kemudian suatu pagi Anda bangun, memeriksa grafik, dan menyadari tim telah menjual semuanya saat Anda tidur. Obrolan grup sepi. Tidak ada yang berbicara. Saya menulis ini karena terlalu banyak orang yang saya kenal secara pribadi telah menjadi korban penipuan, dan hampir dalam setiap kasus tanda-tanda peringatan sudah ada, hanya terkubur di bawah hype dan jargon yang tidak ada yang mau menerjemahkannya ke dalam bahasa yang mudah dipahami.

Bagaimana sebenarnya penipuan rug pull kripto bekerja

Jika seseorang di grup obrolan kripto memberi tahu Anda "Saya kena tipu tadi malam," mereka mengatakan bahwa tim di balik token atau protokol yang mereka investasikan uangnya telah mengemasi dan pergi membawa semuanya. Ungkapan ini dipinjam dari idiom lama tentang menarik karpet dari bawah seseorang yang sedang berdiri di atasnya: satu detik tanah ada di sana, detik berikutnya Anda sudah terlentang menatap langit-langit mencoba mencari tahu apa yang baru saja terjadi pada ETH Anda.

Setelah Anda cukup sering menyaksikan hal ini terjadi, modus operandinya berhenti mengejutkan dan mulai membuat frustrasi karena hampir tidak berubah dan orang-orang tetap saja tertipu.

Sebuah tim membuat sesuatu yang tampak sah: situs web profesional dengan penghitung waktu mundur, whitepaper yang penuh dengan jargon tentang "merevolusi DeFi," peta jalan yang membentang hingga tahun 2028, bahkan mungkin demo testnet yang berfungsi yang hanya membutuhkan waktu satu akhir pekan bagi seorang pengembang untuk membuatnya. Bisa jadi token tata kelola untuk "protokol DeFi," bisa jadi koleksi NFT 10.000 buah dengan permainan yang menyertainya, bisa jadi beberapa perangkat yield farming eksotis yang tidak sepenuhnya dipahami siapa pun. Tidak masalah jenis apa yang mereka pilih; mekanisme dasarnya selalu disalin dan ditempel dari buku panduan yang sama setiap saat.

Pemasaran datang selanjutnya dan itu sangat gencar. Anda akan melihat proyek ini muncul di utas Twitter kripto dari akun yang belum ada bulan lalu, di grup Telegram tempat "manajer komunitas" terus-menerus mempromosikannya, di server Discord tempat moderator memblokir siapa pun yang bertanya mengapa kontrak belum diaudit. Para kreator YouTube yang rela menjual kotak kardus dengan bayaran yang tepat mulai memposting video tentang bagaimana "yang satu ini bisa berlipat ganda 100 kali lipat dengan mudah." Pesan intinya tidak pernah berubah: "Anda masih di tahap awal," karena memicu rasa takut ketinggalan (FOMO) pada orang-orang yang melihat teman mereka menghasilkan uang di Solana adalah taktik penjualan terbaik di seluruh dunia kripto dan para penipu mengetahuinya.

Uang mengalir deras. Orang-orang menukarkan ETH atau BNB hasil jerih payah mereka dengan token baru di bursa terdesentralisasi, mengisi kumpulan likuiditas. Grafik naik karena tekanan beli tinggi dan belum ada yang menjual. Pada titik ini, jujur saja, proyek tersebut bisa terlihat identik dengan sesuatu yang nyata. Banyak usaha sah juga mengalami masa-masa awal yang buruk, dan penipu mengandalkan ambiguitas itu agar Anda tidak terlalu teliti memeriksa kode kontrak.

Kemudian semuanya berakhir, biasanya dengan cepat. Tim tersebut memanggil fungsi pengurasan pada kumpulan likuiditas, atau mereka menjual seluruh alokasi token mereka dalam hitungan menit, atau saklar pemutus dalam kontrak pintar diaktifkan dan tombol jual Anda berhenti berfungsi. Metode apa pun yang mereka pilih, hasilnya adalah token Anda yang tadinya "naik 300%" menjadi tidak berharga dalam waktu yang dibutuhkan untuk menyegarkan halaman.

Setelah penarikan dana, jejak mulai menghilang. Akun media sosial dihapus. Discord menjadi kota hantu. Situs web tersebut menjadi gelap atau, dalam kasus Defi100, diganti dengan pesan mengejek yang secara harfiah mengatakan "Kami menipu Anda." Dana curian dicuci melalui Tornado Cash atau dipantulkan melalui lima blockchain untuk mengaburkan jejak. Forensik on-chain terkadang dapat melacak ke mana uang itu pergi, tetapi memulihkannya adalah cerita yang berbeda dan hampir tidak pernah berakhir bahagia.

Seluruh siklus dapat memakan waktu berbulan-bulan (untuk skema yang rumit) atau beberapa jam (untuk penipuan memecoin yang cepat). Pada tahun 2024, Comparitech mencatat sekitar 92 kasus penipuan yang terkonfirmasi dengan kerugian sebesar $126 juta. Pada tahun 2025, angkanya melonjak: DappRadar memperkirakan kerugian akibat penipuan hampir mencapai $6 miliar, meskipun 92% di antaranya berasal dari insiden Mantra saja.

Jenis-jenis tarikan karpet: tarikan keras, tarikan lunak, dan segala sesuatu di antaranya.

Rug pull memiliki berbagai macam bentuk, dan perbedaan tersebut penting karena memengaruhi seberapa awal Anda dapat mendeteksi apa yang terjadi dan apakah Anda memiliki kesempatan untuk keluar sebelum kerusakan terjadi.

Tarikan karpet yang keras

Dengan cara yang kasar dan tanpa basa-basi, niatnya sudah kriminal sejak baris kode pertama. Tidak seorang pun di tim tersebut pernah berencana untuk merilis produk. Mereka membangun kontrak pintar dengan pintu belakang tersembunyi, membungkusnya dalam kampanye pemasaran, menunggu dana terkumpul, dan kemudian mengurasnya. Proyek itu adalah jebakan sejak hari pertama, dan satu-satunya pertanyaan adalah kapan mereka akan mengaktifkan jebakan tersebut.

Taktik tarik paksa yang umum:

Pencurian likuiditas. Ini adalah modus operandi klasik. Seorang pengembang membuat token, memasangkannya dengan ETH atau BNB dalam kumpulan likuiditas di bursa terdesentralisasi seperti Uniswap atau PancakeSwap. Investor membeli, kumpulan likuiditas bertambah, dan kemudian pengembang memanggil fungsi dalam kontrak yang menarik semua likuiditas. Token Anda masih ada di dompet Anda, tetapi nilainya sekarang nol karena tidak ada yang dapat diperdagangkan dengannya.

Pembatasan penjualan. Kontrak pintar ditulis sedemikian rupa sehingga hanya dompet pembuatnya yang dapat menjual. Semua orang lain dapat membeli tetapi tidak dapat menjual. Harga naik karena hanya ada tekanan beli. Kemudian pembuatnya menjual semuanya. Anda akhirnya memegang token yang benar-benar tidak dapat Anda singkirkan. Ini terkadang disebut penipuan "honeypot".

Fungsi pencetakan token tersembunyi. Kontrak tersebut berisi fungsi yang memungkinkan pemilik untuk membuat token baru tanpa batas. Mereka mencetak token dalam jumlah besar, menjualnya ke pasar, dan menyebabkan harga anjlok. Dari luar, ini tampak seperti penjualan normal, tetapi sebenarnya ini adalah penipuan inflasi yang dikodekan ke dalam kontrak.

Tarikan karpet lembut

Penipuan terselubung lebih licik dan, jujur saja, itulah yang paling mengganggu pikiran. Proyek ini mungkin dimulai dengan niat yang tulus, atau setidaknya tanpa kode yang secara terang-terangan jahat. Tidak ada fungsi pengurasan tersembunyi, tidak ada jebakan, tidak ada saklar pemutus. Yang terjadi justru sebaliknya, tim secara bertahap kehilangan minat (atau memang tidak pernah tertarik), diam-diam menjual kepemilikan token mereka selama berminggu-minggu atau berbulan-bulan, berhenti menjawab pertanyaan komunitas, dan akhirnya menghilang dari obrolan grup satu per satu.

Portofolio Anda tidak akan hancur dalam semalam. Ia akan mengalami kerugian secara bertahap. Perlahan-lahan. Pada saat Anda menyadari bahwa commit terakhir ke repositori GitHub sudah empat bulan yang lalu dan "pengembang utama" belum memposting apa pun sejak Agustus, tim tersebut sudah menjual sebagian besar aset mereka dengan harga yang tidak akan pernah Anda lihat lagi. Yang membuat penipuan ini sangat berbahaya adalah ambiguitasnya: apakah itu penipuan, atau proyek tersebut memang gagal? Banyak tim yang jujur kehabisan uang atau motivasi. Para penipu bersembunyi di balik penyangkalan yang masuk akal itu.

Skema pump-and-dump termasuk dalam kategori ini. Tim mempromosikan token tersebut, harganya naik, orang dalam menjual di puncak harga, dan pembeli yang terlambat menanggung kerugian. Ini tidak etis dan mungkin ilegal jika token tersebut memenuhi syarat sebagai sekuritas, tetapi jaksa penuntut lebih sulit menanganinya karena tidak ada kode berbahaya yang dapat ditunjuk. Tidak ada pintu belakang dalam kontrak. Tidak ada fungsi tersembunyi. Hanya orang-orang yang menjual apa yang mereka miliki, yang dalam sebagian besar sistem hukum bukanlah kejahatan secara otomatis meskipun terasa seperti kejahatan.

Memecoin Hawk Tuah dari Desember 2024 adalah contoh yang sempurna. Para penciptanya memegang 70% dari pasokan, kapitalisasi pasar mencapai $500 juta hanya karena hype, dan kemudian para insider menjual, menyebabkan harga melambung dan kemudian runtuh dari $500 juta menjadi $50 juta dalam hitungan jam. Apakah itu penipuan? Manipulasi harga? Investasi buruk yang seharusnya sudah bisa diprediksi? Tergantung siapa yang Anda tanya. Secara hukum, ini berantakan. Secara moral, kebanyakan orang setuju bahwa para insider tahu persis apa yang mereka lakukan.

Memecoin telah menjadi kendaraan utama untuk aksi penipuan (rug pull) pada tahun 2026. Menurut data CoinLaw, sekitar 80% dari aksi penipuan sekarang melibatkan memecoin, token yang tidak memiliki utilitas selain spekulasi dan popularitas di komunitas. Hambatan peluncuran yang rendah (Anda dapat membuat token dalam hitungan menit di platform seperti Pump.fun di Solana) berarti ribuan potensi aksi penipuan diluncurkan setiap minggu. Chainalysis memperkirakan bahwa sekitar 95% dari kumpulan token yang diluncurkan di PancakeSwap berakhir sebagai aksi penipuan. Bayangkan angka itu.

Contoh-contoh penipuan penarikan dana terbesar yang merugikan investor miliaran dolar

Angka-angka di bawah ini bukanlah angka teoritis. Setiap baris dalam tabel ini mewakili orang-orang nyata yang bangun tidur dengan dompet kosong.

OneCoin layak mendapat paragraf tersendiri karena ini adalah penipuan "rug pull" paling merusak dalam sejarah kripto dan bahkan bukan mata uang kripto sungguhan. Tidak ada blockchain. Tidak ada penambangan. Tidak ada node. Ruja Ignatova menjual "paket pendidikan" senilai $4 miliar melalui struktur pemasaran berjenjang yang merekrut korban untuk merekrut lebih banyak korban. Dia menghilang pada Oktober 2017 dan tetap menjadi salah satu dari sepuluh buronan paling dicari FBI. BBC memproduksi serial podcast lengkap tentang dirinya yang berjudul "The Missing Cryptoqueen." Saudara laki-lakinya ditangkap dan kemudian dihukum, tetapi Ruja sendiri tidak pernah ditemukan.

Cara mengenali penipuan karpet sebelum terjadi: daftar periksa tanda-tanda peringatan.

Di sinilah letak manfaat artikel ini. Saya akan mencantumkan delapan tanda peringatan, dan jika Anda menemukan tiga atau lebih tanda tersebut dalam proyek yang sedang Anda periksa, tutup tab tersebut dan lanjutkan. Serius.

Hal pertama yang saya periksa adalah timnya. Anonimitas di dunia kripto bukanlah hal yang buruk; Satoshi tidak pernah mengungkapkan identitasnya. Tetapi ada perbedaan yang sangat besar antara pendiri anonim dengan sejarah bertahun-tahun di blockchain dan "tim" yang tidak memiliki jejak di LinkedIn, tidak ada komitmen di GitHub, dan foto profil yang terlihat seperti berasal dari situs web yang tidak jelas identitasnya. Jika Anda tidak dapat menemukan satu pun orang yang dapat diverifikasi di balik proyek tersebut, risiko Anda akan berlipat ganda.

Kedua: apakah smart contract tersebut sudah diaudit? Saya tidak bermaksud "diaudit oleh teman-teman kita." Maksud saya adalah laporan yang dipublikasikan dari CertiK, Hacken, Trail of Bits, atau firma lain yang dapat Anda cari di Google dan verifikasi keberadaannya. Tidak adanya audit berarti tidak ada pihak independen yang memeriksa apakah kontrak tersebut dapat menguras deposit Anda. Satu hal lagi: bahkan jika ADA audit, periksa apakah kontrak tersebut dapat diupgrade melalui pola proxy. Jika pengembang dapat mengganti kode baru setelah audit, audit tersebut hanya mencakup versi yang ditinjau oleh auditor, bukan versi yang mereka rilis Selasa depan.

Ketiga: penguncian likuiditas. Buka GeckoTerminal atau DEXTools dan lihat apakah kumpulan likuiditas terkunci dalam kontrak yang terkunci waktu. Jika tidak terkunci, pengembang dapat mengurasnya saat ini juga. Penguncian yang lebih pendek dari 30 hari adalah lelucon. Proyek nyata mengunci setidaknya selama 6-12 bulan. Dan inilah detail yang sering dilewatkan orang: penguncian dengan tanggal kedaluwarsa yang diketahui hanya berarti penarikan dana secara tiba-tiba (rug pull) telah dijadwalkan. Tandai kalender Anda.

Keempat: konsentrasi dompet. Buka halaman token di Etherscan atau Solscan dan gulir ke daftar pemegang. Jika 10 dompet teratas mengendalikan lebih dari 50% pasokan dan dompet-dompet tersebut tidak diberi label dengan jelas sebagai kumpulan likuiditas, vesting tim, atau perbendaharaan, salah satu dari mereka dapat menghancurkan harga dengan menjual. Itu bukan risiko; itu adalah kepastian yang menunggu pemicu.

Kelima: apa yang mereka janjikan? Jika Anda melihat "dijamin 100x" atau "APY berkelanjutan 1000%" atau "ini adalah Bitcoin berikutnya," jauhi proyek tersebut. Proyek yang memfokuskan pemasarannya pada seberapa kaya Anda akan menjadi alih-alih apa yang sebenarnya mereka bangun, cenderung delusi atau bersifat eksploitatif, dan kedua pilihan tersebut tidak akan berakhir baik bagi Anda.

Keenam: perhatikan pemasarannya sendiri. Apakah grup Telegram penuh dengan percakapan nyata, ataukah akun-akun yang dikelola bot yang memposting emoji roket? Apakah Discord aktif dengan diskusi teknis, ataukah setiap saluran hanya berisi "wen moon?" Apakah dukungan dari influencer bersifat organik atau jelas-jelas berbayar? Ketika pengeluaran pemasaran jelas jauh lebih besar daripada upaya rekayasa, Anda sedang melihat operasi penjualan, bukan proyek teknologi.

Ketujuh: apakah produk yang berfungsi sudah ada? Bukan peta jalan. Bukan presentasi bisnis. Bukan whitepaper dengan diagram mewah. Produk nyata yang dapat digunakan seseorang saat ini. Jika tim meminta uang Anda sebelum mereka mengirimkan sesuatu yang fungsional, risiko Anda mendanai keluarnya mereka daripada visi mereka akan meningkat drastis.

Kedelapan dan terakhir: tekanan FOMO (Fear of Missing Out). "Hanya tersisa 2 jam di daftar putih." "Harga akan berlipat ganda setelah putaran ini." "Jika Anda tidak segera bergabung sekarang, Anda akan menyesal selamanya." Setiap kalimat ini dirancang untuk membuat Anda bertindak sebelum berpikir, dan itulah yang dibutuhkan penipu. Peluang nyata tidak memiliki penghitung waktu mundur. Jika seseorang mendesak Anda, mereka punya alasan, dan alasan itu bukanlah keuntungan Anda.

Alat yang membantu Anda menghindari kesulitan

Anda tidak perlu mengevaluasi semuanya secara manual. Tersedia beberapa alat gratis:

Sebelum membeli token baru, setidaknya jalankan melalui Token Sniffer. Proses ini hanya membutuhkan waktu 30 detik dan secara otomatis mendeteksi sebagian besar honeypot dan penipuan fungsi mint. Untuk analisis yang lebih mendalam, baca kontrak sebenarnya di Etherscan. Jika kontrak tersebut belum diverifikasi (kode sumber belum dipublikasikan), jangan membelinya. Titik.

Namun, saya ingin bersikap realistis tentang satu hal. Alat-alat ini menangkap para penipu yang malas. Tim yang didanai dengan baik dan mempekerjakan pengembang Solidity yang mumpuni dapat menulis kontrak yang lolos pemindai otomatis dan tetap memiliki mekanisme penipuan tersembunyi di dalam logikanya. Tidak ada alat yang dapat menggantikan pemahaman tentang apa yang Anda beli. Jika Anda tidak dapat membaca kontrak pintar sendiri, setidaknya tetaplah pada proyek yang telah diaudit oleh perusahaan yang dapat Anda verifikasi, dan pahami bahwa bahkan proyek yang telah diaudit pun telah mengalami penipuan (auditor meninjau snapshot, bukan setiap tindakan tim di masa mendatang).

Pertahanan terbaik bukanlah alat apa pun. Melainkan penentuan ukuran posisi. Jangan menanamkan uang ke token baru yang tidak mampu Anda tanggung kerugiannya sepenuhnya. Jika Anda memperlakukan setiap proyek yang belum terbukti sebagai potensi jebakan, Anda akan menentukan ukuran taruhan Anda cukup kecil sehingga kerugian yang Anda alami lebih menyakitkan harga diri Anda daripada portofolio Anda.

Apakah praktik "rug pull" (menarik uang dari toko secara tiba-tiba dan membuang uang ke toko) ilegal?

Jawaban singkat: penipuan rug pull pada dasarnya ilegal di mana-mana. Menyematkan fungsi pengurasan dalam kontrak pintar untuk mencuri deposit orang adalah penipuan, titik. Para pendiri NFT Frosties menghadapi tuduhan penipuan kawat federal di AS. Turki menjatuhkan hukuman 11.196 tahun penjara kepada pendiri Thodex, yang bisa dianggap mengesankan atau absurd tergantung pada perasaan Anda tentang sistem hukum Turki.

Kasus "soft rug pull" (penarikan dana secara tiba-tiba dan tidak disengaja) adalah di mana masalah hukum menjadi rumit. Jika Anda membuat token, mempromosikannya secara besar-besaran, dan kemudian menjual aset Anda saat harganya mencapai puncak, apakah Anda melakukan kejahatan atau hanya menjual properti Anda sendiri? Jawabannya bergantung pada apakah token tersebut dianggap sebagai sekuritas menurut hukum di negara Anda. SEC (Komisi Sekuritas dan Bursa AS) telah berupaya keras untuk mengklasifikasikan lebih banyak token sebagai sekuritas, yang akan membuat tindakan "pump-and-dump" (penarikan dana secara tiba-tiba dan tidak disengaja) dapat dituntut secara hukum. Namun, mereka belum memenangkan setiap kasus, dan penegakan hukum masih beragam di berbagai yurisdiksi.

Namun, inilah bagian yang sebenarnya penting bagi para korban: bahkan ketika penipuan (rug pull) jelas-jelas kriminal, mendapatkan kembali uang Anda hampir mustahil dalam praktiknya. Kripto yang dicuri dialihkan melalui Tornado Cash, dijembatani antar rantai, dan dicampur hingga jejaknya hilang. Chainalysis dan perusahaan forensik blockchain lainnya terkadang dapat melacak alirannya, dan mereka telah membantu penegak hukum dalam beberapa kasus penting. Tetapi bagi orang awam yang kehilangan $5.000 pada memecoin yang nilainya menjadi nol, tidak ada yang menyelidiki kasus Anda. Uang itu hilang. Itulah kebenaran brutal dari penyimpanan mandiri: sistem yang sama yang melindungi Anda dari bank juga berarti tidak ada bank yang dapat dihubungi ketika Anda dirampok.

Marco Lucchetti

Marco Lucchetti is a senior content strategist and blockchain analyst at Plisio. With over 7 years of experience in cryptocurrency research, DeFi protocols, and payment technologies, Marco specializes in creating clear, data-driven content for a global crypto audience. His work focuses on transaction tracing, crypto compliance, and the future of blockchain infrastructure.