Token-Anatomie, Rug Pulls und Honeypots

Neugier

1. Welche konkrete On-Chain-Authority ermöglicht es einem Ersteller, nach dem Launch unbegrenzt viele Token zu erzeugen?
2. Wie verwandelt der Freeze-Mechanismus ein gewöhnliches Asset in einen Honeypot, aus dem es kein Entkommen gibt?
3. Warum können sich Name und Bild eines Tokens ändern, nachdem Sie ihn gekauft haben?

Erkunden

Teil IToken-Anatomie: Angebot, Liquidität, Mint Authority und Freeze Authority

1. Jeder SPL-Token auf Solana wird über die Anweisung `InitializeMint` initialisiert, die die Anzahl der Dezimalstellen festlegt und eine `mint_authority` zuweist. Während pump.fun-Token einheitlich sechs Dezimalstellen verwenden, wählen andere Emittenten eine andere Genauigkeit. Bleibt diese Authority an eine bestimmte Wallet-Adresse gebunden, statt auf null gesetzt zu werden, behält deren Inhaber die Macht, jederzeit neue Token zu erzeugen. Dieses strukturelle Merkmal unterscheidet ein Asset mit festem Angebot von einem, das einer unbegrenzten, willkürlichen Inflation unterliegt.
2. Der Parameter `freeze_authority` führt eine administrative Befugnis mit gravierenden Folgen für die Liquidität ein. Ist sie aktiviert, kann ihr Inhaber das Token-Konto jedes Nutzers einfrieren, sodass dessen Guthaben nicht mehr bewegt werden kann und Verkäufe faktisch unmöglich sind. In regulierten Umgebungen dient dies der Compliance, bei dezentralen Assets anonymer Teams stellt es jedoch ein kritisches Risiko dar. Eine eingefrorene Wallet kann keine Token an eine Börse oder einen anderen Nutzer übertragen; das Asset wird so zu einem Honeypot, in den man einsteigen, aus dem man aber nicht mehr aussteigen kann.
3. Die Liquidität bestimmt, ob Token überhaupt verkauft werden können. Auf Plattformen wie pump.fun, das im Januar 2024 auf Solana startete, werden Token zunächst auf einer Bonding Curve gehandelt, bevor sie nach Abschluss der Kurve in einen Pool eines Automated Market Makers migrieren. Die vom Ersteller oder den ersten Käufern bereitgestellte Liquidität ist der Mechanismus, der anderen Teilnehmern den Ausstieg ermöglicht. Wird diese Liquidität weder verbrannt noch gesperrt, behält das Team die Kontrolle über die Liquidity-Provider-Token und kann alle gepaarten Assets aus dem Pool abziehen.
4. Ein Rug Pull besteht typischerweise darin, diese Liquidität abzuziehen oder die Mint Authority auszunutzen. Eine Variante nimmt jede Ausstiegsmöglichkeit, indem die SOL aus dem Pool entfernt werden; eine andere verwässert das Asset, indem das Angebot aufgebläht wird, nachdem Käufer angelockt wurden. Beide Mechanismen beruhen darauf, dass ein Team administrative Schlüssel behält, die es auch aufgeben könnte. Der Zielkonflikt ist klar: Behält man diese Befugnisse, sind künftige Anpassungen möglich, doch die Holder sind einer einseitigen Wertvernichtung ausgesetzt; verbrennt man sie, sind die Regeln fest, aber bei Fehlern gibt es keinerlei Korrekturmöglichkeit mehr.
5. Die Verteilung auf die Holder zeigt ein Konzentrationsrisiko, das unabhängig von den Befugnissen im Contract besteht. Ein Token, der überwiegend von den zehn größten Wallets gehalten wird, hat eine andere Ausstiegsdynamik als einer, der über Tausende Adressen verteilt ist. Wallets, die mit dem Ersteller oder frühen Insidern verbunden sind, können große Positionen mit erheblichem Price Impact bewegen, besonders in dünnen Pools. Scanner analysieren diese Daten zusammen mit der Update Authority für die Metadaten, die bestimmt, ob Name, Symbol und Bild nach dem Launch geändert werden können. Veränderbare Metadaten erlauben es, einen Token umzubenennen oder neu zu branden, nachdem Leute ihn bereits gekauft haben.
6. Die Überprüfung ist ein manueller Vorgang, den jeder mit Internetzugang durchführen kann. Öffnen Sie einen Solana-Explorer wie Solscan oder Solana Explorer und rufen Sie die Mint-Adresse eines beliebigen Tokens auf. Notieren Sie `mint_authority` und `freeze_authority` (leer bedeutet widerrufen), die aktuelle Liquidität im Pool und den Anteil des Angebots, den die zehn größten Wallets halten. Tools wie RugCheck automatisieren diese Prüfungen, doch wer die zugrunde liegenden Felder versteht, kann selbst nachprüfen, was ein Scanner meldet.

Teil IIRug Pulls und Honeypots

7. Das Abziehen der Liquidität ist die direkteste Form der Abschöpfung. Bei einem automatisierten Market Maker wird gegen einen Pool aus gepaarten Assets gehandelt, die in einem Smart Contract liegen. Behält der Ersteller das Eigentum an diesem Contract oder an den zugrunde liegenden Liquidity-Provider-Token, kann er das gesamte Paar abziehen. Danach gibt es keine Gegenpartei mehr, mit der andere Holder handeln könnten. Die Token bleiben in ihren Wallets, doch ihr Preis ist nicht mehr definiert, weil kein Marktmechanismus mehr Käufer und Verkäufer zusammenbringt.
8. Mint-Missbrauch nutzt die Befugnis aus, neues Angebot zu schaffen. Viele Token-Standards sehen eine Mint Authority vor, mit der sich unbegrenzt weitere Einheiten ausgeben lassen. Wird diese Befugnis nach dem Launch nicht widerrufen, kann der Ersteller ohne Kosten riesige Mengen an Token prägen. Verkauft er diese neu geminteten Einheiten in einen bestehenden Pool, verwässert das den Wert jeder gehaltenen Einheit und zieht Liquidität ab. Dieser Mechanismus erlaubt es einer einzelnen Partei, die Ausweitung des Angebots zu kontrollieren, und besteuert damit faktisch alle anderen Holder über Inflation.
9. Honeypots halten Kapital fest, indem sie Transfers asymmetrisch einschränken. Auf Solana geschieht das meist über eine aktive Freeze Authority, die eingesetzt wird, nachdem Käufer eingestiegen sind, oder über einen Transfer Hook, der Verkäufe ablehnen kann. Auf EVM-Chains stecken oft Verkaufssteuern von 100 % für Adressen, die nicht auf der Whitelist stehen, dahinter oder Code, der Verkäufe per Revert scheitern lässt. Käufer können die Position eröffnen, doch der Ausstiegsweg ist programmatisch abgeschnitten. Der Entwickler behält den Zugriff auf seine eigenen Bestände, die nicht eingefroren werden.
10. Der Squid-Game-Token (November 2021, BNB Smart Chain), benannt nach der Erfolgsserie, steht exemplarisch für dieses Muster: Sein Contract ließ jeden kaufen, hinderte gewöhnliche Holder aber am Verkauf. Als immer mehr Käufer einstiegen und der Preis in die Höhe schoss, kassierten die Ersteller ab – zeitgenössischen Schätzungen zufolge rund 3 Millionen Dollar –, und der Preis fiel innerhalb von Minuten auf nahezu null. Der Mechanismus war kein Fehler im Konsens der Chain, sondern bewusst angelegte Logik in den Transferregeln des Tokens.
11. Slow Rugs unterscheiden sich von sofortigen Exits durch das Timing. Entwickler halten mitunter große Allokationen und verkaufen sie schrittweise über Wochen oder Monate, um plötzliche Kurseinbrüche zu vermeiden, die andere alarmieren würden. Alternativ geben sie die Weiterentwicklung des Projekts ganz auf, behalten aber ihren ursprünglichen Anteil. Fehlende aktive Pflege signalisiert Desinteresse, doch das Hauptrisiko bleibt der spätere Abverkauf der Insider-Bestände gegen die Liquidität der Kleinanleger.
12. Vorsichtige Trader prüfen mehrere On-Chain-Bedingungen, bevor sie mit einem neuen Token interagieren. Sie kontrollieren, ob Mint und Freeze Authority widerrufen bzw. auf null gesetzt sind. Sie stellen fest, ob die Liquidität verbrannt (an eine Adresse ohne Private Keys gesendet) oder in einem Time-Lock-Contract gesperrt ist. Sie analysieren die Holder-Konzentration, um sicherzugehen, dass keine einzelne Partei einen übermäßigen Teil des Angebots kontrolliert. Schließlich machen viele einen kleinen Testverkauf, um zu sehen, ob Verkaufen überhaupt funktioniert – im Wissen, dass ein Contract, dessen Owner Steuern oder Berechtigungen noch ändern kann, Verkäufe später blockieren kann.

Kernfakten

Übung neun, sechs, drei, eins

Faktcheck

Datumsangaben, Zahlen und Behauptungen wurden mit den unten aufgeführten veröffentlichten Quellen abgeglichen.

• SPL Token Documentation: InitializeMint Instruction
• pump.fun Technical Documentation: Bonding Curve Mechanics
• RugCheck Documentation: Solana Token Safety Metrics
• Chainalysis, Crypto Crime Report (2024)
• Solana Program Library, SPL Token documentation
• Contemporary reporting on the Squid Game token collapse (November 2021)