DeFiに参加するには、まず中央集権型取引所で法定通貨の入金を済ませる必要があります。Binance公式サイトまたはBinance公式アプリからアカウント開設とKYCを完了でき、iOS端末で直接インストールできない場合はiOSインストールガイドを参考にしてください。DeFiプロジェクトの持ち逃げ（rug pull）を見分ける核心的な警戒シグナルは4つあります。第一に、コントラクトの権限が放棄されておらず、管理者がトークンを無制限に発行したり資金を引き出したりできること。第二に、トークンの保有が少数のアドレスに極度に集中していること。第三に、流動性プールがロックされていない、またはロック期間が短いこと。第四に、チームが完全に匿名で、検証可能な実績が一切ないことです。Chainalysisの2025年レポートによると、2024年通年のrug pullによる損失は約11億ドルにのぼり、2023年比で35%増加しました。主な発生場所はSolanaとBaseチェーン上のMemecoinです。
持ち逃げ（rug pull）とは、プロジェクト運営者が資金を持ち逃げし、保有者が損失を被る行為全般を指します。手口によっていくつかの種類に分けられます。
ハードラグ（Hard Rug）：プロジェクト運営者がコントラクトのバックドアを利用して、流動性プールを一気に抜き取ったり、無制限にトークンを発行して売り抜けたりする手口です。被害者のトークンは瞬時に無価値となり、挽回の余地はまったくありません。
ソフトラグ（Soft Rug）：プロジェクト運営者が自身の保有トークンを少しずつ売却し、価格がゆっくりとゼロに近づいていく手口です。表面上は「持ち逃げ」行為には見えませんが、本質は同じです。
エグジットスキャム（Exit Scam）：「チーム解散」「コンプライアンス上の問題」といった理由を掲げて突然サービスを停止し、公式サイトやコミュニティを閉鎖して資金を返還しない手口です。
緩慢な持ち逃げ：「ロードマップは来四半期に実現」といった約束を先延ばしにし続け、絵に描いた餅で価格を維持しながら、最終的にひっそりと撤退する手口です。
Solidus Labsの2025年データによると、EVMチェーン上で2024年に累計デプロイされたトークンコントラクトのうち約22%が「持ち逃げの特徴を含む」と識別されましたが、実際に持ち逃げが実行されたのはそのうちの約3%にとどまります（その他は流動性がなかったか、見破られて実行できなかったケースです）。
スマートコントラクトはDeFiプロジェクトの根幹ですが、コード内に隠された「管理者関数」は持ち逃げの常套手段です。
上限のないmint()関数：コントラクトの管理者がトークンを無制限に増発できます。プロジェクトトークンのmint関数にアクセス制御がない、またはownerが任意に呼び出せる場合、持ち逃げの際に数十億単位でトークンを増発して売り抜けることができます。
// 危険な書き方
function mint(address to, uint256 amount) external onlyOwner {
_mint(to, amount); // 総量制限なし
}
高税率のsetTax()関数：コントラクトのtax関数によってownerが売買税を99%まで変更でき、持ち逃げの際に売却の窓口を閉ざすことができます。初期のBSC Memecoinでは、このような「ハニーポット」コントラクトが多用されていました。
emergencyWithdraw()：管理者が「緊急」にプール内のすべての資金を引き出せる関数です。LPプロトコルにこの関数がある場合、非常に危険です。
unpause()のないpause()：コントラクトはすべての取引を停止できますが、二度と再開できないというもので、ユーザーの資金を実質的に永久に凍結することになります。
アップグレード可能なproxyコントラクト：アップグレード可能なコントラクト（proxyパターン）は、管理者がロジックコントラクトを差し替えることを可能にします。たとえ元のコントラクトが監査を通過していても、アップグレード後は完全に悪意あるコントラクトに変わり得ます。
ステップ1：Etherscan／Solscanでコントラクトを確認する。「Read Contract」と「Write Contract」タブをクリックし、公開されているすべての関数を確認します。
ステップ2：キーワードを検索する。コントラクトのソースコード内で「owner」「admin」「mint」「pause」「emergencyWithdraw」「setFee」「upgrade」などを検索します。
ステップ3：owner のアドレスを確認する。owner のアドレスは通常のウォレットかマルチシグウォレットか。0x000...dEaD（放棄済み）か、それとも特定のEOAか。マルチシグ＋一部権限を既に放棄している状態が比較的安全です。
ステップ4：ツールで自動スキャンする。Token Sniffer、Honeypot.is、GoPlus Securityなどのツールがコントラクトの危険な関数を自動でスキャンできます。
トークンの分布状況は「売り抜けが起こるかどうか」を判断する最も直感的な指標です。
Etherscanなどのブロックエクスプローラーの「Holders」タブで確認します。
| 指標 | 安全 | 一般 | 危険 |
|---|---|---|---|
| Top1保有比率 | 5%未満 | 5%〜15% | 15%超 |
| Top10保有比率 | 30%未満 | 30%〜60% | 60%超 |
| Top100保有比率 | 60%未満 | 60%〜85% | 85%超 |
| 保有アドレス数 | 5000超 | 1000〜5000 | 1000未満 |
Top10が80%以上のトークンを保有している場合、プロジェクト運営者や初期投資家はいつでも売り抜けが可能です。
LPプールは除外する：Uniswap、PancakeSwapなどのDEXプールコントラクトは大量のトークンを保有していますが、これらは「個人の保有」ではないため、分析からは除外すべきです。
マルチシグと金庫は除外する：プロジェクトの金庫やDAOのマルチシグアドレスは上位保有者リストに表示されますが、集団で管理されているため持ち逃げリスクは比較的低くなります。
ステーキングコントラクトを識別する：stakingコントラクトはユーザーがステークしたトークンを保有しているため、こちらも除外する必要があります。
実務では、Bubblemaps、Arkhamなどのツールを使ってアドレスの背後にある実体を識別し、「本当に個人が保有している」集中度を見極める必要があります。
DEXの流動性プール（LP）は新規トークンの取引の基盤です。LPのロック（liquidity locked）は持ち逃げリスクを判断する上で重要な要素です。
未ロック：プロジェクト運営者がいつでも流動性を引き上げられる状態です。持ち逃げリスクが極めて高く、多くのrug pullはここから始まります。
部分ロック：LPの50〜90%がロックされ、残りは引き出し可能な状態です。中程度のリスクです。
完全ロック：LPの100%が6か月以上ロックされている状態です。比較的安全ですが、ロック期間が満了すればそれでも引き出される可能性があります。
永久バーン：LPトークンが0x000...dEaDアドレスに送られ、二度と引き出せない状態です。最も安全です。
Team Finance／Unicrypt：主流のLPロックサービスで、ロック証明のリンクを提供します。プロジェクト側はこのリンクを公開すべきです。
オンチェーン照会：DEX上でLPトークンのコントラクトアドレスを見つけたら、「Holders」タブを確認します。上位保有者がUnicrypt、TrustSwap、PinkSaleなどのロックサービスのコントラクトアドレスであり、ロック期間が長ければ比較的安全です。
Solanaチェーン：Solana上のLPロックサービスにはStreamflow、Mercurialなどがあります。Pump.funの「卒業」したトークンはRaydiumへ自動移行し、LPを自動的にバーンする仕組みがあり、これがSolana Memecoinの安全対策になっています。
過去には「LPロックを回避する」いくつかの持ち逃げの手口がありました。
チーム情報は「プロジェクト運営者がプロジェクトに責任感を持っているかどうか」を判断する核心です。
完全公開＋KYC：チームメンバーの実名、LinkedIn、職歴がすべて確認でき、かつKYCを経ている（Certikのkycタグなど）状態です。最も信頼度が高く、代表的なプロジェクトはAave、Curve、MakerDAOです。
公開だが匿名：チームはハンドルネームで活動していますが、身元が長期にわたって安定しており、コミュニティに認知されている状態です。中程度の信頼度で、代表的なプロジェクトはPendle、GMX、Yearn（Andre Cronje時代）です。
完全匿名：チームが完全に姿を隠しており、検証可能な身元情報が一切ない状態です。高リスクのシグナルです。
身元の偽装：AI生成の偽アバターや、虚偽のLinkedinプロフィール、他人の職歴の盗用などを使用する状態です。最も危険なシグナルです。
GitHubのオープンソース化：コードがGitHubで公開されており、commit履歴が活発で、複数の独立したコントリビューターがいることです。これは実績の最も直接的な証拠です。
監査レポート：Trail of Bits、ChainSecurity、OpenZeppelin、Quantstampなど大手監査会社によるレポートです。これらの会社は実在しないコードや匿名チームの案件を引き受けません。大手監査会社と「名義貸し」的な小規模会社を区別することが重要です。
コミュニティとのやり取り：Discord、Telegram、Twitter上でチームが定期的に情報発信しているか、技術的な質問への回答が専門的かどうかです。持ち逃げするプロジェクトは通常、最後の1週間でコミュニティのメッセージを大量に削除したり、グループを閉鎖したりします。
第三者による報道：The Block、CoinDesk、Banklessなどのメディアによる報道は、プロジェクトの知名度を反映します。a16z、Paradigm、Polychainなど著名なVCから出資を受けていることも隠れたシグナルです。
22歳のインフルエンサーHaliey Welch氏が$HAWK Memecoinをローンチし、上場30分以内に時価総額4.9億ドルまで急騰した後、95%暴落しました。オンチェーンデータでは80%以上のトークンが少数のアドレスに集中しており、チームが迅速に売り抜けていたことが判明しています。これは「著名インフルエンサーによる牽引＋トークンの集中＋チームの売り抜け」の典型的なパターンです。
Iron FinanceはPolygon上のアルゴリズム型ステーブルコイン＋LPプロトコルで、Mark Cuban氏も参加していました。その後アルゴリズムの設計上の欠陥と投機的な売却が重なり、TITANトークンは60ドルからほぼゼロまで下落し、TVLは24時間で20億ドル蒸発しました。これは「経済モデルの設計失敗」による崩壊で、チームが能動的に持ち逃げしたわけではありませんが結果は同じでした。
人気ドラマのIPにちなんで発行されたトークンで、buy-onlyの制限により売却できない仕組み（ハニーポットコントラクト）でした。トークンは0.01ドルから2860ドルまで上昇した後、チームがプールから330万ドル相当のLPを抜き取って持ち逃げしました。「ハニーポットコントラクト＋LP抜き取り」の典型的なパターンです。
Baseチェーン初期で最も話題になったMemecoinで、チームは匿名を名乗っていましたが、オンチェーン探偵によってAlameda Researchとの関連が暴かれました。トークンは上場24時間で時価総額8500万ドルに達し、チームはLPを抜き取って約700万ドルを持ち逃げしました。
Solana上のMemecoinで、Pump.funプラットフォームを使って発行されており、従来型の持ち逃げリスクはありません（LPが自動バーンされる仕組み）。しかしトークン上場から6時間以内に、あるクジラアドレス（プロジェクト運営者の疑いあり）が保有量の95%を売却し、価格がゼロになりました。これは「Pump.funの安全機構下でのソフトラグ」の事例です。
4つの観点を組み合わせて簡易的なスコアにまとめます。
| 観点 | 危険（1） | 一般（2） | 安全（3） |
|---|---|---|---|
| コントラクト権限 | 未放棄、mint/pauseあり | 一部放棄 | 完全放棄＋マルチシグ |
| Top10集中度 | 60%超 | 30〜60% | 30%未満 |
| LPロック | 未ロック | 6か月未満のロック | 1年超のロックまたはバーン |
| チーム | 完全匿名 | 一部公開 | 公開＋KYC |
合計4〜6点：高リスク、避けることを推奨 合計7〜9点：中リスク、少額なら参加可能 合計10〜12点：比較的安全（ただしコントラクトと経済モデルには引き続き注意が必要）
| ツール | 機能 | 対応チェーン |
|---|---|---|
| Token Sniffer | コントラクトの自動スキャン | EVM各チェーン |
| Honeypot.is | ハニーポット検出 | EVM |
| GoPlus Security | 総合リスクスキャン | 複数チェーン |
| RugDoc | DeFiプロジェクトの審査 | EVM |
| DEXScreener | LPと保有者の分析 | 全チェーン |
| Etherscan/Solscan | ブロックエクスプローラー | 各チェーン |
| Bubblemaps | 保有関係図 | 複数チェーン |
| Arkham | ウォレットのラベリング | 複数チェーン |
| Solidus Labs | 持ち逃げリスクスコア | 複数チェーン |
| Certik Skynet | プロジェクトのセキュリティ監視 | 複数チェーン |
Q：匿名のチームは必ず持ち逃げするのですか？
そうとは限りません。Andre Cronje氏（Yearnの創業者）、0xMaki氏（SushiSwap）などのプロジェクトも当初は匿名でした。匿名＋長期にわたる安定した実績＋著名VCからの出資＋継続的なコードの更新があれば信頼を築くことができます。しかし完全匿名＋実績なしのプロジェクトはほぼすべて持ち逃げしています。
Q：監査を通過したプロジェクトは持ち逃げしないのですか？
そうとは限りません。監査はコードの脆弱性を発見できるだけで、管理者が意図的に悪事を働くことを防げるわけではありません。コントラクトに「ownerが無制限にmint可能」と明記されている場合、監査会社はそれを指摘はしますが、ユーザーが購入することを止められるわけではありません。監査＋ガバナンスの透明性＋マルチシグがそろって初めて比較的安全といえます。
Q：DEXに上場しているトークンはすべて信用できないのですか？
DEX（Uniswap、PancakeSwap）は誰でもプールを作成でき、審査の仕組みがありません。購入前には必ずデューデリジェンス（コントラクト、保有者、LPロック、チーム）を行う必要があります。「DEXで取引されている」こと自体は、プロジェクトの信頼性を保証するものではありません。
Q：CEXに上場しているトークンは必ず安全ですか？
そうとは限りません。Binance、OKX、Bybitなど大手CEXには上場審査がありますが、それでも上場後にゼロになったプロジェクト（FTT、LUNA、CEL）は存在します。CEXへの上場は「ハードラグ」のリスクを下げますが、「経済モデルの崩壊」のリスクを消し去るわけではありません。
Q：あるMemecoinがゼロになるかどうかはどう見分ければよいですか？
90%以上のMemecoinは1〜3か月以内にゼロになります。生き残る少数のプロジェクトには通常、強力なIP（POPCAT、PEPEなど）、コミュニティ文化、CEX上場、継続的なソーシャルメディアの話題性が必要です。Memecoin投資はギャンブルに近く、1回あたり総資産の1%未満に抑えるべきです。
Q：プロジェクトが「完全に分散化されている」と主張していれば安全ですか？
実際の検証が必要です。「分散化」は多くの場合プロジェクト側によって誇張されて使われており、実際には単なる宣伝文句にすぎず、コントラクトにはowner権限が残っていたり、ガバナンスが少数の大口保有者に支配されていたり、重要な意思決定が依然として中央集権的であるケースが多くあります。宣伝資料ではなく、実際のオンチェーンデータを見るべきです。
Q：持ち逃げされたプロジェクトの損失は取り戻せますか？
取り戻せることはほとんどありません。持ち逃げされた資金は通常Tornado Cash、クロスチェーンブリッジ、CEXを何度も経由して攪拌されるため、オンチェーンでの追跡は困難です。仮にCEXのアカウントまで追跡できたとしても、多くの場合は偽の身元で登録されているため凍結できません。警察への通報は無駄ではありませんが、成功の確率は低いです。
Q：Solana上のPump.funプロジェクトは安全ですか？
Pump.funには自動LPバーンの仕組みがあり（Raydiumに「卒業」する際にLPが自動的にバーンされる）、ハードラグのリスクは低下しています。しかしトークン自体はプロジェクト運営者による保有売り抜けのリスクを依然として抱えており、短期間でゼロになる確率は依然として90%以上あります。
Q：DeFiプロジェクトの「無制限にアップグレード可能な」コントラクトは必ず危険なのですか？
そうとは限りません。Aave、Compound、Curveなどのトッププロジェクトもupgradeableなproxyパターンを採用していますが、マルチシグ＋ガバナンス＋タイムロックによってアップグレードプロセスを透明化し、悪用できないようにしています。重要なのはproxyのadminが分散しているか、アップグレードにコミュニティの投票が必要かどうかです。
Q：プロジェクトの審査にはどのくらい時間がかかりますか？
簡単なデューデリジェンスなら30分（コントラクトスキャン＋保有者分布＋チーム検索）、深いデューデリジェンスなら2〜5時間（コードの確認、監査レポートの読み込み、オンチェーンの履歴の確認、同種プロジェクトとの比較）かかります。時間をかけるほど安全性は高まりますが、時間コストとのバランスも考慮する必要があります。
Chainalysis 2025年暗号資産犯罪レポート、Solidus Labs Rug Pullデータベース、CertiK四半期レポート、Etherscan、Solscan、DEXScreener、各持ち逃げ事件に関するTwitterおよびメディア報道。