Warum gesperrte Liquidität nicht bedeutet, dass ein Token sicher ist

Jeder Leitfaden zu diesem Thema sagt dasselbe: gesperrte Liquidität bedeutet, dass das Team keinen Rug Pull durchführen kann, also ist der Token sicherer. Das traf zu, als der einzige Ausweg das Abziehen des Pools war. Auf modernen Launchpads ist die Sperre zur Einnahmequelle des Betrugs geworden, und das Häkchen, nach dem Sie suchen, ist das, was den Angreifer bezahlt.

Es gibt ein Kästchen, das auf Token-Screenern, Launchpad-Oberflächen und jeder Sicherheitscheckliste für Memecoin-Händler erscheint: Liquidität gesperrt. Es zu finden wird als einer der wesentlichen Schritte vor dem Kauf eines anonymen Tokens dargestellt, und die Logik hinter diesem Rat ist soweit richtig. Eine Liquiditätssperre verhindert tatsächlich den zerstörerischsten Angriff in dezentralen Finanzen, den Rug Pull, bei dem der Ersteller eines Tokens die Vermögenswerte, die den Handels-Pool stützen, entfernt und die Inhaber mit etwas zurücklässt, das sie nicht verkaufen können. Die Leitfäden sind sich einig. Einer sagt, die Überprüfung der Sperre sei nicht optional, sondern wesentlich. Ein anderer sagt, sie versichere Investoren, dass das Projekt sicher sei. Ein dritter sagt, sie gebe Investoren ein Gefühl der Sicherheit. Alle beschreiben einen echten Schutz, und alle sind unvollständig auf eine Weise, die teuer geworden ist. Denn auf den Launchpads, auf denen die meisten neuen Tokens jetzt entstehen, garantiert dieselbe Sperre, die den Ersteller daran hindert, den Pool zu leeren, dem Ersteller auch einen Anteil an jedem Handel darin, für immer, und das ändert, was das Kästchen bedeutet.

Was eine Liquiditätssperre tatsächlich bewirkt

Beginnen wir mit dem Mechanismus, denn der Schutz ist real, und ihn genau zu verstehen, ermöglicht es Ihnen, die Lücke zu sehen.

Wenn ein Token auf einer dezentralen Börse gestartet wird, muss jemand den Pool bereitstellen, der es den Leuten ermöglicht, ihn zu handeln. Das bedeutet, den neuen Token zusammen mit etwas Wertvollem, typischerweise einem Stablecoin oder dem nativen Asset der Chain, in einen Pool-Vertrag einzuzahlen. Im Gegenzug erhält der Einzahler Liquiditätsanbieter-Token, die den Anspruch auf diese Einlage darstellen. Wer die Anbieter-Token hält, kann sie einlösen und den Inhalt des Pools wieder herausnehmen.

Dieser Anspruchsschein ist die gesamte Verwundbarkeit. Ein Ersteller, der ihn hält, kann warten, bis Käufer kommen, zusehen, wie sich der Pool mit echtem Geld füllt, dann die Scheine einlösen, alles Wertvolle abheben und den Token ohne Gegenwert zurücklassen. Der Preis fällt auf null, weil es nichts gibt, in das man verkaufen kann. Das ist der Rug Pull, und er machte über mehrere Jahre einen enormen Anteil der Memecoin-Verluste aus.

Eine Liquiditätssperre sendet die Anbieter-Token in einen separaten zeitlich gesperrten Vertrag, anstatt sie in der Wallet des Erstellers zu belassen. Sperrdienste halten sie für einen angegebenen Zeitraum, veröffentlichen die Sperre on-chain, sodass jeder sie überprüfen kann, und weigern sich, die Token vor Ablauf freizugeben. Der Ersteller kann nicht einlösen, was er nicht mehr hält. Der klassische Ausstieg ist mechanisch ausgeschlossen.

Zwei Klarstellungen, die Leute hereinlegen. Ein gesperrter Pool handelt weiterhin normal; die Sperre beschränkt das Abheben des Pool-Inhalts, nicht das Kaufen und Verkaufen dagegen. Und Liquiditätssperre unterscheidet sich von Token-Sperre, die das eigene Angebot des Teams durch einen Vesting-Plan einschränkt. Ein Projekt kann das eine ohne das andere tun, und das Kästchen, das Sie lesen, deckt normalerweise nur das Erste ab.

Was die Leitfäden richtig machen

Bevor die Kritik kommt, Anerkennung, wo sie gebührt, denn die Sperre völlig abzutun, wäre ein eigener Fehler.

Die Beweise für ungesperrte Pools sind wirklich alarmierend. Eine Analyse von tausend Memecoins auf einer großen Chain ergab, dass über neunzig Prozent ihre Liquidität nicht gesperrt hatten, was sie strukturell genau dem oben beschriebenen Angriff aussetzte. Branchenschätzungen beziffern die Verluste durch Memecoin-Betrug auf Hunderte Millionen Dollar in einem einzigen Jahr, wobei das Abziehen von Pools eine führende Methode war. Vor diesem Hintergrund hat ein Projekt, das seine Liquidität sperrt, einen realen und häufigen Fehlermodus beseitigt, und der Unterschied zwischen einem gesperrten und einem ungesperrten Pool ist nicht kosmetisch.

Das Schloss hat auch eine Signalfunktion, die etwas wert ist. Ein Team, das bereit ist, auf die Möglichkeit des Abhebens des Pools zu verzichten, ist ein Team, das eine Einschränkung akzeptiert, und freiwillig akzeptierte Einschränkungen korrelieren tendenziell mit Absichten, die einen fallenden Preis überstehen. Diese Korrelation ist schwach, und schwache Korrelationen tragen dennoch Informationen.

Die Leitfäden liegen also nicht falsch darin, was ein Schloss tut. Sie liegen falsch darin, was ein Schloss impliziert, und die Lücke zwischen diesen beiden Dingen ist der Ort, an dem die aktuelle Generation von Betrügereien operiert.

Die Umkehrung

Hier ist die Veränderung, die die Sicherheitsliteratur nicht aufgenommen hat.

Launchpads in der Pump.fun-Linie – die darunterliegende Maschinerie – automatisierten die Token-Erstellung und lösten den Rug Pull strukturell: Wenn ein Token von seiner Startkurve zu einem Handels-Pool übergeht, sperrt die Plattform die Liquidität selbst, dauerhaft, in einem Vertrag, den niemand leeren kann. Das ist eine echte Verbesserung und die Grundlage dafür, dass diese Plattformen sich als rug-resistent bezeichnen.

Dieselben Plattformen zahlen auch Erstellungsgebühren. Ein gesperrter Pool generiert dennoch Handelsgebühren bei jedem Tausch, und diese Gebühren können von der Adresse beansprucht werden, die den Token erstellt hat. Die Regelung ist auf den ersten Blick vertretbar: Sie belohnt Entwickler, deren Token echtes Volumen aufrechterhalten, und gibt Erstellern einen Grund, ein Projekt weiter zu unterstützen, anstatt es zu dumpen und zu verlassen.

Kombinieren Sie nun die beiden Eigenschaften und folgen Sie dem Anreiz. Ein Ersteller, der den Pool nicht leeren kann, hat eine Einnahmequelle verloren. Ein Ersteller, der bei jedem Handel Gebühren erhält, hat eine andere gewonnen, und die zweite erfordert nicht, dass der Token erfolgreich ist, sondern nur, dass er gehandelt wird. Volumen aus panischen Verkäufen zahlt genauso gut wie Volumen aus enthusiastischen Käufen. Volumen von Haltern, die versuchen, einen Token zu verlassen, den sie jetzt als wertlos erkennen, zahlt genauso gut wie beides.

Was das Schloss entfernte, war der Ausstieg. Was es nicht entfernte, war die Extraktion, und es verwandelte die Extraktion von einem Ereignis in ein Abonnement.

Dies ist keine theoretische Sorge. Als Angreifer das soziale Konto eines prominenten Führungskräften kompromittierten und einen Token auf dem Ort starteten, an dem das Design auf Glaubwürdigkeit beruhte, lief die Operation genau auf diesem Design: Liquidität dauerhaft gesperrt, Handelsgebühren wiederholt innerhalb der ersten Stunden beansprucht, und zu keinem Zeitpunkt ein Rug Pull, weil ein Rug Pull einen Strom beendet hätte, den der Angreifer jeden Grund hatte, weiter zu sammeln. Der Token konnte nicht geleert werden. Es musste auch nicht. Die Berichterstattung über den Vorfall stellte es klar dar: Gesperrte Liquidität ließ den Betrug als legitimen Token erscheinen. Für die Berichterstattung hinter diesem Argument dokumentierte der $VLAD-Fall die vollständige Extraktionssequenz.

Warum das Kontrollkästchen jetzt in die Irre führt

Der praktische Schaden besteht nicht darin, dass Schlösser nutzlos sind. Es ist, dass sie in einem mentalen Modell tragend sind, das das Risiko nicht mehr beschreibt.

Ein Händler, der die Standard-Checkliste durchgeht, sieht Liquidität gesperrt, setzt ein Häkchen und behandelt eine Kategorie von Gefahr als gelöst. Das ist korrekt. Aber derselbe Händler behandelt das Häkchen typischerweise als breiteres Legitimitätssignal, weil jeder Leitfaden es so darstellt, und auf einem Launchpad, wo das Sperren automatisch und universell ist, trägt es keine Informationen über das Projekt. Wenn jeder Token auf einer Plattform standardmäßig gesperrte Liquidität hat, unterscheidet das Vorhandensein eines Schlosses nichts. Es ist kein Filter; es ist eine Grundlinie.

Schlimmer noch, es kehrt die übliche Betrugserkennungs-Heuristik um. Historisch gesehen sah ein verdächtiger Token verdächtig aus: kein Schloss, anonymes Team, Vertrag mit einer Mint-Funktion, Angebot in wenigen Wallets konzentriert. Ein Launchpad-Token, der zum Zweck der Gebührenernte erstellt wurde, sieht nach dem am häufigsten zitierten Maß sauber aus, weil die Plattform ihn automatisch sauber gemacht hat. Das Design, das den Angriff profitabel macht, ist dasselbe Design, das den Angriff die Inspektion bestehen lässt.

Was ein Schloss Ihnen nicht sagt

Fünf Dinge liegen vollständig außerhalb dessen, was ein Liquiditätsschloss abdeckt, und jedes hat in den letzten Zyklen mehr Positionen beendet als das Leeren von Pools.

Angebotskonzentration. Ein Schloss deckt den Pool ab, nicht die von Insidern gehaltenen Token. Ein Ersteller, der einen großen Anteil des Angebots hält, kann kontinuierlich in den Pool verkaufen, was ein langsamerer Rug ist, der für Halter das gleiche Ergebnis liefert. Überprüfen Sie die Verteilung der Top-Halter separat.

Vertragsberechtigungen. Mint-Funktionen, Transferbeschränkungen, Blacklists und änderbare Gebührenparameter befinden sich im Token-Vertrag, nicht im Pool. Ein gesperrter Pool, der an einen Vertrag gebunden ist, dessen Eigentümer unbegrenztes Angebot minten kann, ist in keinem sinnvollen Sinne geschützt.

Sperrfrist und Bedingungen. Sperren laufen ab. Eine dreißigtägige Sperre für einen Token, der als langfristiges Projekt vermarktet wird, verrät Ihnen, wann das Risiko zurückkehrt. Lesen Sie das Ablaufdatum und lesen Sie, ob der Sperrvertrag unter bestimmten Bedingungen eine vorzeitige Auszahlung erlaubt.

Vergütungsregelungen für Ersteller. Das Thema dieses Leitfadens. Wenn die Plattform Gebühren an Token-Ersteller zahlt, verstehen Sie, dass ein gekennzeichneter, öffentlich bekannter Betrug weiterhin Einnahmen für seinen Betreiber generiert, jedes Mal, wenn jemand damit handelt, auch wenn Sie verkaufen.

Ob morgen jemand damit handeln wird. Die häufigste Art, bei einem neuen Token Geld zu verlieren, ist überhaupt kein Rug Pull. Es ist der Kauf in einen Pool, der innerhalb von Tagen illiquide wird und eine Position hinterlässt, die nur zu einem katastrophalen Preis verlassen werden kann. Keine Sperre behebt dies.

Der blinde Fleck des Screeners

Die meisten Händler lesen nie einen Sperrvertrag. Sie lesen einen Screener, der alles oben Genannte in Symbole zusammenfasst, und zu verstehen, was der Screener sehen kann und was nicht, ist praktischer als die zugrunde liegende Mechanik zu verstehen.

Screener sind gut bei dem, was on-chain beobachtbar und mechanisch überprüfbar ist. Ob Liquiditätsanbieter-Token in einem bekannten Sperrvertrag liegen, wann die Sperre abläuft, ob das Eigentum am Token-Vertrag aufgegeben wurde, ob eine Mint-Funktion existiert, wie die Versorgung auf die größten Inhaber verteilt ist und wie viel Liquidität den Pool stützt. Dies sind Fakten mit eindeutigen Antworten, und ein Screener, der sie genau meldet, hat seine Arbeit getan.

Was ein Screener nicht sehen kann, sind Absicht und Vereinbarung. Er kann Ihnen nicht sagen, ob der Ersteller weiterhin Handelsgebühren beansprucht, da dies ein gewöhnlicher Vertragsaufruf ist, der sich in einer Zusammenfassung nicht von anderen unterscheidet. Er kann Ihnen nicht sagen, ob die Wallet, die den Token bereitgestellt hat, jemandem gehört, der dies bereits elfmal getan hat, es sei denn, die Adressen sind verknüpft und jemand hat sie gekennzeichnet. Er kann Ihnen nicht sagen, dass der Name und das Bild des Tokens eine Stunde zuvor von einem kompromittierten Konto übernommen wurden, da diese Tatsache vollständig off-chain existiert.

Die Lücke ist wichtig, weil die aktuelle Generation der Extraktion genau darin aufgebaut ist. Alles, was der Screener überprüft, kommt sauber zurück, weil die Launchpad es standardmäßig sauber gemacht hat, und alles, was das Problem identifizieren würde, lebt in der Transaktionshistorie, dem sozialen Kontext und den Gebührenabhebungsmustern, die kein Symbol zusammenfasst. Ein Händler, der einen sauberen Screener als Entwarnung behandelt, hat ein Urteil ausgelagert, das das Werkzeug nie treffen sollte.

Die praktische Anpassung ist klein. Nutzen Sie den Screener für das, was er gut misst, nämlich Vertragsberechtigungen und Versorgungsverteilung, und behandeln Sie das Liquiditätssperr-Symbol als Hintergrund, nicht als Urteil. Dann nehmen Sie sich dreißig Sekunden für die Dinge, die er nicht sehen kann: woher der Token kommt, wer ihn bewirbt und ob jemand den Vertrag gemeldet hat.

Wie man einen Token richtig bewertet

Ersetzen Sie die einzelne Checkbox durch eine kurze Sequenz. Nichts davon dauert länger als ein paar Minuten, und es überlebt die Designänderungen, die die alte Heuristik zerstört haben.

Lesen Sie zuerst die Inhaberverteilung, nicht die Sperre. Wenn eine kleine Anzahl von Wallets den Großteil der Versorgung hält, ist die Sperre irrelevant, da der Ausstieg den Pool nicht benötigt.

Überprüfen Sie die Berechtigungen des Vertrags. Screener kennzeichnen Mint-Befugnis, Eigentumsstatus und Transferbeschränkungen. Ein nicht aufgegebener Vertrag mit einer aktiven Mint-Funktion ist ein größeres Risiko als ein entsperrter Pool.

Gehen Sie von der Sperre aus, fragen Sie dann, was sie Sie kostet. Bei Launchpad-Token ist die Sperrung Standard. Die relevante Frage ist nicht, ob die Liquidität gesperrt ist, sondern wer die Handelsgebühren erhält und ob der Ersteller sie noch beansprucht.

Behandeln Sie gekennzeichnete Token als dauerhaft gekennzeichnet. Wenn ein Explorer einen Vertrag als wahrscheinlichen Betrug markiert, riskiert der Handel nicht nur Ihr Kapital; auf gebührenzahlenden Plattformen zahlt es den Betreiber. Es gibt keine Version der Teilnahme, die neutral ist.

Dimensionieren Sie für Illiquidität. Fragen Sie, was das Verlassen einer Position kosten würde, wenn das Volumen morgen um neunzig Prozent fällt, denn bei den meisten neuen Token wird es das.

Die unbequeme Zusammenfassung ist, dass die Branche einen Angriff extrem gut gelöst hat und die Angreifer weitergezogen sind. Gesperrte Liquidität bleibt ein echter Schutz gegen das, wogegen sie schützt, und sie als allgemeines Sicherheitssignal zu behandeln, ist jetzt der Fehler, den sie verhindern sollte.

Das Muster, in das dies passt

Treten Sie einen Schritt zurück von Token, und die Episode veranschaulicht etwas, das sich in der Krypto-Sicherheit wiederholt, und das es wert ist, benannt zu werden, weil es wieder passieren wird.

Sicherheitstechnik in dieser Branche ist tendenziell konfrontativ und spezifisch. Ein bestimmter Angriff verursacht genug Verluste, um berüchtigt zu werden, Entwickler entwerfen einen Mechanismus, der ihn genau ausschließt, der Mechanismus wird zum Standard, und das Ökosystem behandelt das Vorhandensein dieses Mechanismus als Beleg für allgemeine Sicherheit. Dann umgehen Angreifer, die dieselbe Dokumentation gelesen haben, ihn. Der Mechanismus funktioniert weiterhin genau wie spezifiziert. Die Sicherheitsschlussfolgerung gilt nicht mehr.

Dieselbe Sequenz brachte das Audit-Abzeichen hervor, das bescheinigt, dass bestimmter Code überprüft wurde, und als Nachweis dafür gelesen wird, dass ein Projekt legitim ist. Sie brachte die Entsagung des Eigentums hervor, die die Fähigkeit eines Administrators entfernt, einen Vertrag zu ändern, und als Risikobeseitigung gelesen wird, während nichts über einen von vornherein böswillig geschriebenen Vertrag ausgesagt wird. Sie brachte die Multi-Signatur-Verwahrung hervor, die verhindert, dass ein einzelner kompromittierter Schlüssel Gelder abfließen lässt, und als institutionelle Sicherheit gelesen wird, während nichts darüber ausgesagt wird, wer die Schlüssel hält. In jedem Fall ist der Mechanismus real und wertvoll, universell übernommen und letztlich nicht informativ – ein Muster von Mechanismusdesign, das auf Gegner trifft, das sich aus genau dem Grund, aus dem es erfolgreich war, in der gesamten Branche wiederholt: Sobald es jeder hat, zeichnet es niemanden mehr aus.

Die Folgerung ist praktisch. Jedes Sicherheitssignal, das zu einer Checkbox wird, hat eine Zeituhr, und die Zeituhr läuft ab dem Moment, in dem das Signal zum Standard wird, nicht ab dem Moment, in dem ein Angriff es besiegt. Eine Checkbox, die bei jedem Projekt in einer Kategorie vorhanden ist, hat aufgehört, ein Filter zu sein, egal was sie noch verhindert. Die nützliche Frage ist nie, ob ein Token die Standardsicherungen hat, sondern welche Risiken diese Sicherungen nie adressieren sollten, und diese Liste ist immer länger als die Checkliste.

Eine abschließende Anmerkung dazu, wie man das Schloss in Zukunft betrachten sollte, denn der Mechanismus wird nicht verschwinden, und das darauf aufgebaute Design auch nicht.

Das richtige mentale Modell ist ein Schloss an einer Ladentür. Es verhindert eine bestimmte Sache, nämlich dass jemand nachts das Inventar hinausträgt, und es ist wirklich wertvoll, es zu haben. Es sagt nichts darüber aus, ob der Laden etwas Nützliches verkauft, ob der Besitzer ehrlich ist, ob die Preise fair sind oder ob das Geschäft nächsten Monat noch existiert. Niemand würde in einen unbekannten Laden gehen, feststellen, dass die Tür ein Schloss hat, und daraus schließen, dass die Ware gut ist. Das ist ungefähr die Schlussfolgerung, die die Standard-Token-Checkliste fördert, und die Launchpads haben es schlimmer gemacht, indem sie automatisch jede Tür mit demselben Schloss ausgestattet haben.

Was die Bewertung ändert, ist zu wissen, wer davon profitiert, dass Sie drinnen sind. Auf einer Plattform, auf der der Ersteller des Tokens eine Gebühr von jeder Transaktion im Laden erhebt, einschließlich der Transaktion, bei der Sie verkaufen, was Sie bereuen, gekauft zu haben, ist das Schloss an der Tür nicht für Sie da. Es ist da, weil es die Vereinbarung dauerhaft macht, und Dauerhaftigkeit ist das, was der Betreiber brauchte. Es so zu lesen, kostet nichts und verhindert den spezifischen Fehler, den dieser Leitfaden beschreiben soll.

Häufig gestellte Fragen