Rug pull ed exit scam: truffa, bancarotta o riciclaggio?

Un rug pull, cioè l'abbandono di un progetto crypto con sottrazione della liquidità versata dagli investitori, si inquadra di regola nella truffa (art. 640 c.p.): reclusione da 6 mesi a 3 anni, da 1 a 5 anni se commessa a distanza con strumenti che ostacolano l'identificazione. Il reimpiego dei proventi può aggiungere l'autoriciclaggio (da 2 a 8 anni); la bancarotta richiede un'impresa in liquidazione giudiziale.

Cos'è un rug pull e in cosa differisce da un exit scam?

Il rug pull («tirare via il tappeto») è l'operazione con cui gli ideatori di un token o di un protocollo DeFi incassano il denaro degli investitori e abbandonano il progetto. Le forme ricorrenti sono tre: il ritiro improvviso della liquidità dal pool di un exchange decentralizzato, che rende il token invendibile; la vendita massiccia dei token trattenuti dal team (dump); il codice dello smart contract scritto per impedire la vendita a chi non è il creatore, o per consentire a quest'ultimo di coniare nuovi token senza limiti.

Exit scam è la formula più ampia: indica la chiusura improvvisa di qualunque iniziativa (piattaforma di trading, exchange, servizio di staking) con sparizione dei fondi dei clienti. Lo schema Ponzi, invece, può durare anni pagando i vecchi investitori con i versamenti dei nuovi, e spesso finisce proprio con un exit scam.

Un rug pull è truffa per la legge italiana?

Nella maggior parte dei casi sì, perché ha gli elementi dell'art. 640 c.p.: artifizi o raggiri (roadmap fittizie, audit inesistenti, liquidità dichiarata «bloccata» ma svincolabile, team anonimo presentato come identificato), induzione in errore degli investitori, profitto ingiusto per gli sviluppatori e danno per chi ha acquistato. Il punto decisivo è il dolo iniziale: la procura deve dimostrare che il progetto era costruito per sottrarre i fondi, non che è semplicemente fallito.

Dopo le modifiche della L. 90/2024 e del D.L. 48/2025, il comma 2, n. 2-ter punisce da 1 a 5 anni (multa da 309 a 1.549 euro) la truffa commessa a distanza con strumenti informatici o telematici idonei a ostacolare l'identificazione, ipotesi tipica dei progetti anonimi; il comma 4 mantiene per questa aggravante la procedibilità a querela. Se il meccanismo si basa sull'alterazione del funzionamento di un sistema informatico, per esempio un contratto che dirotta i fondi, la contestazione può diventare quella della frode informatica dell'art. 640-ter c.p..

Gli sviluppatori che spariscono con i fondi rischiano la bancarotta?

Solo in presenza di presupposti che nei rug pull mancano spesso. La bancarotta fraudolenta dell'art. 322 del Codice della crisi d'impresa (reclusione da 3 a 10 anni) punisce l'imprenditore dichiarato in liquidazione giudiziale che ha distratto o dissipato i beni. Serve quindi un'impresa, di solito una società italiana che emette il token o gestisce la piattaforma, e una sentenza di liquidazione giudiziale: se la società veicolo è in insolvenza e i fondi raccolti sono stati trasferiti ai wallet personali dei soci, la contestazione diventa concreta. Per un team anonimo senza struttura societaria resta la truffa; i profili generali sono trattati nella pagina sulla bancarotta fraudolenta e i reati fallimentari.

Quando un exit scam diventa riciclaggio?

Quando i proventi vengono spostati in modo da ostacolarne l'identificazione. Chi ha commesso la truffa non risponde di riciclaggio ma di autoriciclaggio (art. 648-ter.1 c.p.) se impiega i fondi in attività economiche, finanziarie o speculative: il reinvestimento in altri token o in liquidity pool rientra facilmente nella nozione di attività speculativa. Il comma 4 esclude la punibilità per la mera utilizzazione o il godimento personale.

Il terzo che non ha partecipato alla truffa e, sapendo della provenienza, fa passare i fondi attraverso mixer, bridge fra blockchain o conversioni ripetute risponde di riciclaggio (art. 648-bis c.p.). In entrambi i casi l'art. 648-quater impone la confisca del prodotto o del profitto, anche per equivalente. Sulle tecniche di offuscamento si veda la pagina su mixer, privacy coin e riciclaggio.

Cosa rischia l'influencer che ha promosso il progetto?

La promozione in sé non è reato. L'influencer risponde di concorso nella truffa (art. 110 c.p.) se era consapevole del piano: per esempio se aveva ricevuto token gratuiti da vendere subito dopo la promozione, se conosceva il controllo del team sulla liquidità, se ha diffuso rendimenti o partnership che sapeva falsi. Senza questa consapevolezza resta, al più, il rischio di sanzioni amministrative per manipolazione di mercato (art. 91 MiCAR, art. 33 D.Lgs. 129/2024: da 5.000 euro a 5 milioni di euro) e di azioni risarcitorie.

La prima mossa è conservare contratti, compensi, messaggi con il team e cronologia dei propri acquisti e vendite: sono gli elementi che distinguono il promotore ingannato dal complice.

Come si denuncia un rug pull e si possono recuperare i fondi?

La querela va presentata entro 3 mesi dal giorno in cui si è saputo del fatto (art. 124 c.p.), alla polizia postale, ai carabinieri o direttamente in procura. Va corredata di: indirizzo dello smart contract, hash delle transazioni, indirizzi dei wallet usati, screenshot di sito, whitepaper e canali social, ricevute degli acquisti sull'exchange. Più denunce collegate allo stesso progetto rafforzano l'indagine.

Il recupero passa per il sequestro dei fondi individuati on-chain, spesso quando arrivano su un exchange centralizzato che identifica i clienti: le procure ottengono i dati con gli strumenti descritti nella pagina sulle indagini su exchange esteri. Il danneggiato può costituirsi parte civile (art. 74 c.p.p.) e chiedere il sequestro conservativo dei beni dell'imputato (art. 316, comma 2, c.p.p.). Il quadro generale dei reati crypto è nell'hub crypto, DeFi e reati informatici. Diffidare di chi, dopo la perdita, promette il recupero dietro pagamento anticipato: è la recovery scam dei falsi recuperatori.