Eram 3 da manhã de uma terça-feira qualquer. O brilho azul da tela era a única luz no quarto, e o grupo do Telegram que eu acompanhava estava em êxtase absoluto. GIFs de foguetes inundavam o chat, mensagens de “LUA!” e “WAGMI” (we are all going to make it) passavam rápido demais para ler. O projeto? Chamava-se algo genérico, tipo “SafeGalaxyMars”. O gráfico na DexScreener era uma linha verde vertical desafiando a gravidade. Parecia o bilhete premiado, a chance de transformar alguns trocados em uma aposentadoria antecipada. Eu quase comprei. O dedo pairou sobre o botão “Swap” na minha carteira. A ganância é uma droga poderosa, e o FOMO (o medo de ficar de fora) é o seu traficante. Mas algo no meu estômago — aquele instinto calejado por anos vendo carteiras sangrarem em bear markets — me fez parar para checar o contrato. E lá estava ele, escondido nas linhas de código que ninguém lê: o gatilho do desastre. O que eu estava prestes a testemunhar, e do qual escapei por pouco, era um clássico Rug Pull (puxada de tapete).
Para entender como evitar isso, precisamos dissecar a anatomia do golpe, não como teóricos, mas como investigadores de uma cena de crime financeiro. A armadilha começa muito antes do gráfico subir. Ela começa na engenharia social. Golpistas sabem que investidores de cripto, especialmente os iniciantes que buscam a próxima gema de 100x, operam na base da emoção. Eles criam um site bonito em minutos usando templates prontos, enchem o roadmap de promessas vagas como “NFT Marketplace” ou “Metaverso” e compram milhares de bots para inflar o número de membros no Telegram e Twitter. Se você entra em um grupo com 20.000 pessoas, mas o engajamento real é baixo ou as mensagens parecem robóticas e repetitivas, o sinal de alerta deve gritar na sua cabeça.
Mas a verdadeira “arma do crime” está na liquidez. No caso do tal “SafeGalaxyMars”, os desenvolvedores alegavam que a liquidez estava trancada (LP Locked) por dois anos. Isso deveria passar segurança, certo? Errado. Quando abri o explorador de blocos (BscScan ou Etherscan), fui direto para a carteira detentora dos tokens de liquidez. Sim, eles estavam em um contrato de lock, mas ao ler as permissões do contrato principal do token, notei que a “propriedade” (ownership) não havia sido renunciada. O desenvolvedor ainda tinha acesso a funções administrativas. Pior ainda: havia uma função de mint (cunhagem) ilimitada escondida.
O golpe se desenrolou dois dias depois. O desenvolvedor não precisou destravar a liquidez para roubar o dinheiro. Ele simplesmente usou a função oculta para cunhar trilhões de novos tokens para sua própria carteira e vendeu tudo de uma vez no mercado. O preço foi a zero instantaneamente. Quem tinha comprado ficou com trilhões de moedas que não valiam nem a poeira digital que ocupavam. Outra variante cruel, que vi acontecer com o infame token “Squid Game”, é o Honeypot. O gráfico só sobe, atraindo cada vez mais gente. Você vê seu investimento de $100 virar $5.000 e decide realizar o lucro. Clica em vender, aprova a transação e… erro. Tenta de novo aumentando a taxa de slippage. Erro. O código do contrato inteligente foi escrito de forma a permitir apenas a compra, bloqueando a venda para qualquer carteira que não seja a do desenvolvedor. É como entrar em um hotel onde a porta se tranca por fora assim que você faz o check-in.