Para participar en DeFi, primero hay que completar el ingreso de fondos en moneda fiat en un exchange centralizado. Puede abrir su cuenta y completar el KYC desde el Sitio Oficial de Binance o la App Oficial de Binance; si su dispositivo Apple no permite la instalación directa, consulte la Pagina de Descarga. Las señales de alerta centrales de un rug pull en un proyecto DeFi son 4: primero, los permisos del contrato no se han renunciado y el administrador puede acuñar tokens ilimitadamente o retirar los fondos; segundo, la tenencia de tokens está extremadamente concentrada en pocas direcciones; tercero, el pool de liquidez no está bloqueado o tiene un periodo de bloqueo corto; cuarto, el equipo es completamente anónimo y no tiene ningún trabajo verificable. Según el informe de Chainalysis de 2025, en 2024 las pérdidas totales por rug pull fueron de unos 1.100 millones de dólares, un 35% más que en 2023, ocurriendo principalmente en Memecoins de las cadenas Solana y Base.
Un rug pull se refiere de forma general a que el equipo del proyecto huye con los fondos y deja a los poseedores con pérdidas totales. Según el método de operación, se dividen en varios tipos:
Fuga dura (Hard Rug): el equipo del proyecto usa una puerta trasera del contrato para vaciar directamente el pool de liquidez o acuñar tokens ilimitados y venderlos masivamente. El token de las víctimas cae a cero al instante, sin posibilidad de recuperación.
Fuga suave (Soft Rug): el equipo del proyecto vende gradualmente los tokens que posee, provocando que el precio caiga lentamente hasta casi cero. En apariencia no hay un "robo" evidente, pero la esencia es la misma.
Estafa de salida (Exit Scam): el equipo del proyecto, con excusas como "disolución del equipo" o "problemas de cumplimiento normativo", detiene el servicio de forma repentina, cierra el sitio web y la comunidad, y los fondos nunca se devuelven.
Fuga crónica: el equipo del proyecto retrasa continuamente sus promesas ("la hoja de ruta se cumplirá el próximo trimestre"), mantiene el precio del token con expectativas infladas y finalmente se retira en silencio.
Según los datos de Solidus Labs de 2025, del total de contratos de tokens desplegados en todas las cadenas EVM en 2024, aproximadamente el 22% fue identificado como "con características de rug pull", pero de ellos solo cerca del 3% llegó realmente a ejecutar la fuga (el resto o no tenía liquidez, o fue detectado y no se atrevió a lanzarse).
El contrato inteligente es el alma de un proyecto DeFi, pero las "funciones de administrador" ocultas en el código son un arma común para el rug pull.
función mint() sin límite: el administrador del contrato puede emitir tokens de forma ilimitada. Si la función mint del token del proyecto no tiene control de acceso o permite que el owner la llame libremente, en el momento de la fuga puede emitir miles de millones de tokens y venderlos masivamente.
// Forma peligrosa
function mint(address to, uint256 amount) external onlyOwner {
_mint(to, amount); // Sin límite de suministro total
}
función setTax() con tasas altas: la función tax del contrato permite que el owner modifique el impuesto de compra/venta hasta el 99%, cerrando la ventana de venta en el momento de la fuga. Muchos Memecoins tempranos de BSC usaron este tipo de contrato "trampa" (honeypot).
emergencyWithdraw(): el administrador puede retirar "de emergencia" todos los fondos del pool. Es muy peligroso si un protocolo de LP tiene este tipo de función.
pause() sin unpause: el contrato puede pausar todas las operaciones pero nunca puede reanudarlas, equivalente a bloquear permanentemente los fondos de los usuarios.
contratos proxy actualizables: los contratos actualizables (patrón proxy) permiten que el administrador reemplace el contrato de lógica. Aunque el contrato original haya pasado una auditoría, después de la actualización puede convertirse en un contrato completamente malicioso.
Paso uno: revisar el contrato en Etherscan/Solscan. Hacer clic en las pestañas "Read Contract" y "Write Contract" para ver todas las funciones públicas expuestas.
Paso dos: buscar palabras clave. En el código fuente del contrato, buscar "owner", "admin", "mint", "pause", "emergencyWithdraw", "setFee", "upgrade".
Paso tres: revisar la dirección del owner. ¿La dirección del owner es una wallet común o una wallet multifirma? ¿Es 0x000...dEaD (ya renunciada) o una EOA cualquiera? La combinación de multifirma + renuncia parcial de propiedad es relativamente más segura.
Paso cuatro: usar herramientas de escaneo automático. Herramientas como Token Sniffer, Honeypot.is y GoPlus Security pueden escanear automáticamente las funciones peligrosas del contrato.
La distribución del token es el indicador más directo de "si va a haber una venta masiva".
Consultando la pestaña Holders de exploradores de bloques como Etherscan:
| Indicador | Seguro | Normal | Peligroso |
|---|---|---|---|
| Proporción del Top 1 | < 5% | 5%-15% | > 15% |
| Proporción del Top 10 | < 30% | 30%-60% | > 60% |
| Proporción del Top 100 | < 60% | 60%-85% | > 85% |
| Número de direcciones con el token | > 5000 | 1000-5000 | < 1000 |
Si el Top 10 posee más del 80% del token, el equipo del proyecto o los primeros inversores pueden vender masivamente en cualquier momento.
Excluir los pools de LP: los contratos de pools de DEX como Uniswap o PancakeSwap pueden mantener grandes cantidades del token, pero no son "tenencia individual" y deben excluirse del análisis.
Excluir multifirmas y tesorerías: la tesorería del proyecto y las direcciones multifirma de la DAO aparecen en el Top holders, pero son gestión colectiva y su riesgo de fuga es menor.
Identificar los contratos de staking: los contratos de staking mantienen los tokens que los usuarios han depositado, y también deben excluirse.
En la práctica, se necesitan herramientas como Bubblemaps o Arkham para identificar las entidades detrás de las direcciones y ver con claridad la concentración de "tenencia individual real".
El pool de liquidez (LP) de un DEX es la base para operar un nuevo token. El bloqueo del LP (liquidity locked) es clave para evaluar el riesgo de fuga.
Sin bloquear: el equipo del proyecto puede retirar la liquidez en cualquier momento. Riesgo de fuga extremadamente alto; la mayoría de los rug pull comienzan aquí.
Parcialmente bloqueado: entre el 50% y el 90% del LP está bloqueado, y el resto se puede retirar. Riesgo medio.
Totalmente bloqueado: 100% del LP bloqueado por más de 6 meses. Relativamente seguro, pero aún puede retirarse al vencer el bloqueo.
Quema permanente: el token LP se envía a la dirección 0x000...dEaD, sin posibilidad de retiro. Lo más seguro.
Team Finance / Unicrypt: servicios principales de bloqueo de LP que ofrecen un enlace de prueba de bloqueo. El proyecto debería publicar ese enlace.
Consulta on-chain: una vez encontrada la dirección del contrato del token LP en el DEX, revisar la pestaña "Holders". Si los principales poseedores son direcciones de contratos de servicios de bloqueo como Unicrypt, TrustSwap o PinkSale, y el periodo de bloqueo es largo, es relativamente seguro.
Cadena Solana: los servicios de bloqueo de LP en Solana incluyen Streamflow y Mercurial. Los tokens "graduados" de Pump.fun migran automáticamente a Raydium y queman el LP; este es el mecanismo de seguridad de los Memecoins de Solana.
Históricamente ha habido varios métodos de fuga que "eluden el bloqueo de LP":
La información del equipo es el elemento central para evaluar si "el equipo del proyecto tiene sentido de responsabilidad hacia el proyecto".
Totalmente público + KYC: los miembros del equipo tienen su nombre real, LinkedIn e historial laboral verificables, y han pasado por un proceso de KYC (como la etiqueta KYC de Certik). Máximo nivel de confianza. Proyectos representativos: Aave, Curve, MakerDAO.
Público pero anónimo: el equipo es activo bajo un seudónimo, pero su identidad es estable a largo plazo y cuenta con reconocimiento de la comunidad. Nivel de confianza medio. Proyectos representativos: Pendle, GMX, Yearn (en la época de Andre Cronje).
Totalmente anónimo: el equipo permanece completamente oculto, sin ninguna información de identidad verificable. Señal de alto riesgo.
Identidad falsificada: uso de avatares falsos generados por IA, perfiles de LinkedIn ficticios, o suplantación del historial laboral de otras personas. La señal más peligrosa.
Código abierto en GitHub: el código es de código abierto en GitHub, con un historial de commits activo y varios colaboradores independientes. Esta es la evidencia más directa de la producción de trabajo.
Informes de auditoría: informes de firmas de auditoría de primer nivel como Trail of Bits, ChainSecurity, OpenZeppelin o Quantstamp. Estas firmas no aceptan proyectos sin código real o con equipos anónimos. Hay que distinguir entre firmas de auditoría de primer nivel y pequeñas empresas de "auditoría de nombre".
Interacción con la comunidad: ¿el equipo actualiza regularmente Discord, Telegram y Twitter? ¿responde a las preguntas técnicas de forma profesional? Los proyectos que se fugan suelen borrar masivamente los mensajes de la comunidad o cerrar los grupos en la última semana.
Cobertura de terceros: la cobertura de medios como The Block, CoinDesk o Bankless refleja la notoriedad del proyecto. Contar con inversión de VC reconocidos (a16z, Paradigm, Polychain) también es una señal indirecta.
Una influencer de 22 años, Haliey Welch, lanzó el Memecoin $HAWK, cuya capitalización se disparó a 490 millones de dólares en los primeros 30 minutos, para luego colapsar un 95%. Los datos on-chain mostraron que más del 80% del token estaba concentrado en pocas direcciones y el equipo vendió rápidamente. Es un caso típico del patrón "impulso de un influencer + concentración del token + venta masiva del equipo".
Iron Finance era un protocolo de stablecoin algorítmica + LP en Polygon, en el que incluso participó Mark Cuban. Más tarde, por fallos de diseño del algoritmo y ventas especulativas, el token TITAN cayó de 60 dólares a casi cero, y el TVL se evaporó en 2.000 millones de dólares en 24 horas. Este fue un colapso causado por un "fallo en el diseño del modelo económico"; el equipo no huyó de forma activa, pero el efecto fue el mismo.
Usando el nombre de una serie popular como reclamo, este token limitaba las operaciones solo a compra (buy-only), sin permitir venta (contrato trampa/honeypot). Tras subir de 0,01 dólares a 2.860 dólares, el equipo retiró 3,3 millones de dólares del LP del pool y se fugó. Un patrón típico de "contrato trampa + retiro de LP".
El Memecoin más popular en los primeros días de la cadena Base; el equipo afirmaba ser anónimo, pero investigadores on-chain descubrieron su vínculo con Alameda Research. El token alcanzó una capitalización de 85 millones de dólares en las primeras 24 horas, y el equipo retiró el LP y se fugó con unos 7 millones de dólares.
Un Memecoin en Solana, lanzado con la plataforma Pump.fun, sin el riesgo tradicional de fuga (quema automática del LP). Pero en las primeras 6 horas tras el lanzamiento, una dirección ballena (presuntamente el equipo del proyecto) vendió el 95% de su posición, llevando el precio a cero. Este es un caso de "fuga suave bajo el mecanismo de seguridad de Pump.fun".
Combinando las 4 dimensiones en una puntuación simplificada:
| Dimensión | Peligroso (1) | Normal (2) | Seguro (3) |
|---|---|---|---|
| Permisos del contrato | Sin renunciar, con mint/pause | Renuncia parcial | Renuncia completa + multifirma |
| Concentración del Top 10 | > 60% | 30-60% | < 30% |
| Bloqueo de LP | Sin bloquear | Bloqueado < 6 meses | Bloqueado > 1 año o quemado |
| Equipo | Totalmente anónimo | Parcialmente público | Público + KYC |
Puntuación total 4-6: alto riesgo, se recomienda evitar Puntuación total 7-9: riesgo medio, se puede participar con un monto pequeño Puntuación total 10-12: relativamente seguro (pero aún hay que prestar atención al contrato y al modelo económico)
| Herramienta | Función | Cadenas soportadas |
|---|---|---|
| Token Sniffer | Escaneo automático de contratos | Multichain EVM |
| Honeypot.is | Detección de trampas (honeypot) | EVM |
| GoPlus Security | Escaneo de riesgo integral | Multichain |
| RugDoc | Revisión de proyectos DeFi | EVM |
| DEXScreener | Análisis de LP y holders | Todas las cadenas |
| Etherscan/Solscan | Exploradores de bloques | Cada cadena |
| Bubblemaps | Mapa de relaciones de tenencia | Multichain |
| Arkham | Etiquetado de wallets | Multichain |
| Solidus Labs | Puntuación de riesgo de rug pull | Multichain |
| Certik Skynet | Monitoreo de seguridad de proyectos | Multichain |
P: ¿Todos los equipos anónimos se van a fugar?
No. Andre Cronje (fundador de Yearn), 0xMaki (SushiSwap) y otros proyectos también fueron anónimos en sus inicios. El anonimato combinado con una producción de trabajo estable a largo plazo, inversión de VC reconocidos y actualizaciones continuas del código puede generar confianza. Pero los proyectos totalmente anónimos y sin ninguna producción de trabajo casi siempre terminan en fuga.
P: ¿Un proyecto que pasó una auditoría no se va a fugar?
No necesariamente. La auditoría solo puede detectar vulnerabilidades en el código, no puede impedir que el administrador actúe de mala fe de forma deliberada. Si el contrato indica explícitamente "owner can mint unlimited", la empresa auditora lo señalará, pero eso no necesariamente impedirá que los usuarios compren. La combinación de auditoría + gobernanza transparente + multifirma es relativamente más segura.
P: ¿No son confiables todos los tokens en un DEX?
Un DEX (Uniswap, PancakeSwap) permite que cualquiera cree un pool, sin mecanismo de revisión. Antes de comprar hay que hacer una debida diligencia (contrato, holders, bloqueo de LP, equipo). "Operar en un DEX" por sí solo no significa que el proyecto sea confiable.
P: ¿Un token listado en un CEX es siempre seguro?
No necesariamente. Los principales CEX como Binance, OKX o Bybit tienen procesos de revisión para listar tokens, pero aun así hay proyectos que llegaron a cero después de listarse (FTT, LUNA, CEL). Listarse en un CEX reduce el riesgo de una "fuga dura", pero no elimina el riesgo de "colapso del modelo económico".
P: ¿Cómo saber si un Memecoin va a llegar a cero?
Más del 90% de los Memecoins llegan a cero en 1-3 meses. Los pocos proyectos que sobreviven suelen necesitar: una IP fuerte (POPCAT, PEPE), cultura comunitaria, respaldo de listado en CEX y popularidad sostenida en redes sociales. Invertir en Memecoins se acerca al juego de azar; se recomienda destinar como máximo el 1% del total de la posición en cada operación.
P: ¿Un proyecto que afirma ser "totalmente descentralizado" es seguro?
Hay que verificarlo en la práctica. La "descentralización" a menudo se usa mal por parte de los equipos de proyecto, como mero eslogan de marketing, mientras el contrato aún tiene permisos de owner, la gobernanza está controlada por pocos grandes poseedores y las decisiones clave siguen siendo centralizadas. Hay que mirar los datos on-chain reales y no el material publicitario.
P: ¿Se puede recuperar la pérdida si se compra un proyecto que se fuga?
Muy pocas veces. Los fondos de la fuga suelen mezclarse varias veces a través de Tornado Cash, puentes entre cadenas y CEX, lo que dificulta el rastreo on-chain. Incluso si se llega a una cuenta de CEX, en la mayoría de los casos está registrada con una identidad falsa y no se puede congelar. Denunciar es útil, pero la probabilidad de recuperación es baja.
P: ¿Son seguros los proyectos de Pump.fun en Solana?
Pump.fun tiene un mecanismo automático de quema del LP (al "graduarse" a Raydium el LP se quema directamente), lo que reduce el riesgo de fuga dura. Pero el token en sí puede seguir siendo vendido masivamente por la posición del equipo del proyecto, y la probabilidad de que caiga a cero en el corto plazo sigue siendo de más del 90%.
P: ¿Los contratos "infinitamente actualizables" de un proyecto DeFi son siempre inseguros?
No necesariamente. Proyectos de primer nivel como Aave, Compound o Curve usan el patrón de proxy actualizable, pero mediante multifirma + gobernanza + timelock hacen que el proceso de actualización sea transparente y no se pueda abusar de él. Lo clave es si el admin del proxy está descentralizado y si la actualización requiere votación de la comunidad.
P: ¿Cuánto tiempo lleva revisar un proyecto?
Una debida diligencia simple toma 30 minutos (escaneo del contrato + distribución de holders + búsqueda del equipo); una debida diligencia profunda toma de 2 a 5 horas (revisar el código, leer los informes de auditoría, consultar el historial on-chain, comparar con proyectos similares). Cuanto más esfuerzo se invierte, más seguro es, pero también hay que sopesar el costo en tiempo. Se recomienda hacer una debida diligencia profunda solo para inversiones grandes.
Informe de crimen cripto 2025 de Chainalysis, base de datos de Rug Pull de Solidus Labs, informes trimestrales de CertiK, Etherscan, Solscan, DEXScreener, cobertura en Twitter y medios de diversos eventos de fuga.