Solana Token Rugpull İşaretleri (Yatırım Öncesi 8 Kontrol)

Solana rug pull vakaları memecoin projelerinin büyük çoğunluğunu bitiriyor. Pump.fun'da token graduate olamadan içeridekilerin satışıyla erir, klasik havuzlarda LP sahipleri likiditeyi çeker, holder'ın elinde satılamayan token kalır. Yatırım öncesi 90 saniyelik tarama bu durumu önceden görmenin tek pratik yolu.

Bu rehber kimin için

Pump.fun veya Raydium'da yeni bir token'a göz atan herkes için. Solana ekosistemini biraz tanıyorsun, Solscan token gezginini açabiliyorsun ve para koymadan önce sağlıklı bir projenin neye benzediğini bilmek istiyorsun. 8 kontrolü sırayla geçiyoruz. Hiçbiri 30 saniyeden uzun sürmüyor.

1. Mint authority kalıcı olarak kaldırılmış mı

Token'ın mint authority'si açıksa sahibi istediği zaman yeni token basıp arzı sulandırabilir. Sağlıklı bir token için Solscan'de mint authority alanı "None" olmalı. Hâlâ bir cüzdan adresi görünüyorsa risk yüksek. Sahibin bu yetkiyi Solana mint authority kaldırma aracı ile kapatması gerekir; işlem geri dönüşsüz.

2. Freeze authority ve cüzdan dondurma riski

Freeze authority açıksa token'ın sahibi istediği an herhangi bir cüzdandaki bakiyeyi dondurabilir. Senin bakiyen de dondurulabilir ve o zaman satamazsın. Solscan'de freeze authority alanında da "None" yazmalı. Freeze authority kaldırma aracı bunu kapatıyor. İstisna: düzenleme gereği freeze yetkisini tutması gereken stablecoin'ler ve whitelist token'ları.

3. LP kilitlenmiş mi, yakılmış mı

En büyük zarar genellikle likidite havuzundan gelir. LP token'ları yakılmamış ya da kilitlenmemişse, sahibi havuza yatırdığı SOL'u 5 dakikada çekebilir ve token'ın fiyatı çöker. Havuzun detay sayfasına bak: LP token deployer cüzdanında mı, yoksa burn adresine veya lock kontratına mı gönderilmiş? Solana token rehberleri kategorisinde LP yakma ile kilitlemeyi yan yana karşılaştıran yazılar var.

4. Top 10 holder yüzdesi

Solscan'deki holder listesinde ilk 10 cüzdanın arzın ne kadarını tuttuğuna bak. %30'dan az: sağlıklı. %30-50: izle. %50+: risk yüksek. %70+: arz içeridekilerin elinde toplanmış, tek bir satış token'ı çökertir. Listede yalnızca bu token'la işlem yapmış birden fazla yeni cüzdan ("fresh wallet") varsa, bunlar büyük ihtimalle holder kılığına girmiş deployer'ın kendisidir.

5. Deployer cüzdan geçmişi

Mint authority'yi açık tutan veya yakın zamanda revoke eden cüzdana Solscan'de bak. İşlem geçmişinde başka token lansmanları var mı? Hepsi 1-2 hafta sonra dump edilmiş ve cüzdan boşaltılmış mı? Aynı desen tekrar ediyorsa bu cüzdan seri rugpull yapıyordur. İşlem geçmişi bir haftadan kısa olan yeni bir cüzdandan çıkan token'lar da risk taşır.

6. Hacim gerçek mi, sahte mi

İşlem geçmişine DexScreener ya da Birdeye üzerinden bak. Hacmi oluşturan işlemlerin %60'tan fazlası aynı 5-10 cüzdandan geliyorsa hacim büyük olasılıkla botla üretiliyor. Gerçek hacim yüzlerce farklı cüzdandan kendiliğinden gelir. Sahte hacim listelerde geçici görünürlük sağlar ama altında talep yoktur. Token holder analizi aracı ile holder/işlem hacmi oranını çıkarabilirsin.

7. Metadata değiştirilemez mi

Update authority açık bir token'da sahibi istediği zaman ad, sembol, görsel ve URI alanlarını değiştirebilir. Aldığın token bir gecede bambaşka bir ad ve görselle karşına çıkabilir. Solscan'de metadata bölümünde "Is Mutable: false" yazmalı. Değiştirilebilir kalan metadata, projenin henüz son hâlini almadığını gösterir.

8. Bonding curve mü, AMM mi

Pump.fun'da hâlâ bonding curve'de mi, yoksa graduate olup PumpSwap'e geçti mi? Bonding curve aşamasının riskleri farklıdır: eğri dolmadan sahibi likiditeyi çekemez. Graduate olduktan sonra risk LP tarafına kayar ve LP burn/lock kontrolü kritik hale gelir (madde 3'e dön).

Ne zaman pas geçilir

Bu 8 maddeden üçü kırmızı çıkıyorsa pas geç. Bir ya da ikisi sarı yanıyorsa gireceğin miktarı küçült. Hepsi yeşil çıksa bile %100 garanti yok; bu kontroller riski azaltır, sıfırlamaz.

Bu kontrolleri otomatize etmek

Elle kontrol her token için 90 saniye sürer. Günde 20 token bakıyorsan otomatik araç gerekir. Solana token snapshot aracı holder maddelerini tek formdan çıkarır; mint ve freeze yetkisini göstermez, onları Solscan'da kontrol et. Solana token oluşturucu ile kendi token'ını oluşturuyorsan, launch öncesi bu listeyi kendi projende uygula. Yatırımcılar aynı taramayı yapacak. Daha fazla rehber için Solana etiket sayfası'na bak.

Solana rug pull nedir?

Rug pull, bir token sahibinin yatırımcıların parasını alıp ortadan kaybolması demek. İsim İngilizce "halıyı çekmek" deyiminden geliyor: yatırımcılar halının üstünde dururken halı bir anda altlarından çekiliyor. Pratikte sahip ya likidite havuzundaki SOL'u çekiyor, ya elindeki büyük arzı piyasaya boşaltıyor, ya da en baştan açık bıraktığı bir yetkiyle (mint, freeze) token'ı kullanılamaz hale getiriyor.

Klasik dolandırıcılıktan farkı, çoğu zaman her şeyin göz önünde ve meşru görünmesi. Kod açıkta, herkes bakabilir; ama açık kalan bir yetki ya da kilitlenmemiş likidite tetiği çekilene kadar zararsız durur. Bu yüzden rug pull'u önceden görmenin tek yolu, yukarıdaki 8 kontrolü token'a para koymadan önce yapmak. Tetik çekildikten sonra geri dönüş yok.

Rug pull nasıl işler (saldırganın gözünden)

Mekanizmayı bilmek, işaretleri daha hızlı görmeni sağlar. Tipik bir rug pull üç yoldan biriyle yapılır:

• Likidite çekme: Sahip LP token'larını kendi cüzdanında tutar (burn veya lock etmez). Fiyat yükselince havuzdaki SOL'u tek işlemle geri çeker; havuzda satmak isteyenlere ödenecek SOL kalmaz ve fiyat dibe vurur. Sağlıklı projeler likiditeyi burn adresine gönderir ya da kilitler; sen de havuza dokunmadan önce likidite ekleme ve çekme aracıyla pozisyonun kimde olduğunu görebilirsin.
• Supply sulandırma: Mint authority açık bırakılır. Topluluk büyüdükten sonra sahip yeni token basıp satar; dolaşımdaki her token değer kaybeder. Bu yüzden mint authority'nin "None" olması ilk kontroldü.
• Sessiz dondurma: Freeze authority açık kalır. Token yükselirken sahip alıcıların token hesaplarını dondurur; kimse satamaz, yalnızca sahip satıp çıkar.

Bunların hepsi, sahibin bir yetkiyi kapatmamayı seçmesiyle mümkün olur. Dürüst bir ekip bu yetkileri en baştan kaldırır ve metadata'yı değiştirilemez hale getirme aracıyla kilitler. Kendine bir kaçış kapısı bırakmaz. Açık kalan her yetki, senin için bir soru işaretidir.

Rug pull olmuş bir token'a ne olur, param kurtarılır mı?

Çoğu durumda hayır. Solana'da işlemler geri alınamaz; likidite çekildiğinde veya arz piyasaya boşaltıldığında SOL saldırganın cüzdanına çoktan geçmiş olur. Token'ı hâlâ satabilirsin ama alıcı kalmadığı için fiyat sıfıra yakındır. Elinde kalan, neredeyse değersiz bir bakiyedir.

Sana özelden mesaj atıp "kayıp paranı kurtaracağım" diyen "recovery" hesaplarının tamamı ikinci bir dolandırıcılıktır. Cüzdanını bağlatıp ya da bir ücret ödetip seni tekrar soyarlar. Böyle birine cüzdan bağlama, hiçbir işlemi onaylama, anahtarını kimseyle paylaşma.

Yapabileceğin tek somut şey, zararı kabul edip değersiz token'ı cüzdanından temizlemek ve aynı deployer'a bir daha bulaşmamak. Saldırganın cüzdanını Solscan'de işaretleyip geçmişteki ve gelecekteki lansmanlarını izleyebilirsin; aynı desen tekrar eder. Yani mesele parayı kurtarmak değil, aynı tuzağa bir daha düşmemek. 8 kontrol de bu yüzden ancak para koymadan önce yapıldığında işe yarar.

Solana rug pull hakkında sık sorulan sorular

Rug pull kaç dakikada olur?

Likidite çekme tek işlemdir. Fiyatın dibe vurması bir blok sürer, yani yarım saniyeden az. Uyarı işaretleri ise günler öncesinden ortadadır: kilitlenmemiş LP, açık kalmış mint yetkisi, ilk on cüzdanda toplanmış arz. Kontrolü parayı koymadan önce yaparsan zamanın var. Sonrasında yok.

Mint authority "None" görünüyorsa token güvenli mi?

Hayır, sadece bir kapı kapanmış olur. Kapalı mint yetkisi arzın sulandırılmasını engeller, o kadar. Likidite hâlâ deployer cüzdanındaysa ya da arzın yüzde yetmişi üç cüzdanda duruyorsa token bir gecede sıfırlanabilir. Sekiz kontrol ancak bir arada anlam taşıyor.

Pump.fun'daki token'lar daha mı güvenli?

Bonding curve aşamasında likidite kontratın içinde durur, sahibi çekemez. Klasik likidite çekme o aşamada mümkün değil. Token PumpSwap'e geçtiği anda tablo değişir ve LP kontrolü yeniden en kritik madde olur.

Rug pull yapan cüzdanı nasıl takip ederim?

Deployer adresini Solscan'de aç, işlem geçmişinde başka mint'ler var mı bak. Aynı cüzdan iki hafta arayla üç token açıp üçünü de boşaltmışsa desen zaten görünür hale gelir. Adresi bir yere not et; aynı ekip çoğu zaman yeni bir isimle geri gelir.

Bu kontrollerin hepsi ücretsiz araçlarla yapılabilir mi?

Evet. Solscan yetki alanlarını, holder listesini ve "Is Mutable" bayrağını ücretsiz gösteriyor. Hacim dağılımı için DexScreener yeterli. Cüzdan bağlamana gerek yok, çünkü hepsi herkese açık zincir verisi.

Kendi token'ıma da aynı listeyi uygulamalı mıyım?

Kesinlikle. Yatırımcı aynı taramayı senin token'ına da yapacak. Lansmandan önce mint ve freeze yetkilerini kapat, metadata'yı kilitle, LP'yi yak ya da kilitle. Bu üç maddeyi yeşile çevirmek, satın alma kararının önündeki en büyük engeli kaldırıyor.

Güvenlik kontrolünü genişlet

Sekiz kontrolü, memecoin ile utility token arasındaki yapısal farklarla, yaygın token holder sorunları listesiyle ve PUMP kilit açılımındaki 121 cüzdanın zincir üstü verileriyle birlikte değerlendir.