Tránh rug pull trên Solana: 10 bước kiểm tra trước khi mua
2026-10-2010 phút đọc
Phần lớn các vụ rug pull trên Solana không hề bất ngờ. Dấu hiệu đã nằm sẵn on-chain trước khi bạn bấm mua: dev vẫn có quyền in thêm token, thanh khoản có thể bị rút, 10 ví giữ một nửa nguồn cung, hay một "đợt mở bán" mà 20 ví mua cùng một block. Muốn tránh rug pull, bạn không cần công cụ nội gián. Bạn cần một quy trình cố định và khoảng 2 phút cho mỗi token.
Bài này đưa cho bạn đúng quy trình đó: 10 bước kiểm tra, xem ở đâu, thế nào là dấu hiệu đỏ, và bước nào bot giao dịch có thể tự làm thay bạn.
Tóm tắt nhanh
- Rug trên Solana có 4 dạng: rút thanh khoản, dev xả hàng, bundle và "bẫy" trong cài đặt token. Dạng nào cũng để lại dấu vết kiểm tra được.
- 3 bước đầu (quyền mint, quyền freeze, extension của token) mất 20 giây và loại được những cái bẫy tệ nhất.
- Với token Pump.fun, rủi ro thật nằm ở nguồn cung: kiểm tra top holder, ví dev và bundle trước tiên.
- Không checklist nào làm token trở nên an toàn. Nó chỉ làm các bẫy lộ liễu hiếm đi, phần còn lại do khối lượng lệnh và cắt lỗ của bạn xử lý.
Rug pull trên Solana năm 2026 trông như thế nào
"Rug pull" hay được dùng cho mọi token về 0, nhưng cơ chế mới là điều quan trọng, vì mỗi dạng bị phát hiện bằng một bước kiểm tra khác nhau:
- Rút thanh khoản. Người tạo thêm thanh khoản vào pool, chờ người mua vào, rồi rút thanh khoản ra. Giá không thể hồi vì không còn gì để bán vào.
- Dev xả hàng. Người tạo, hoặc các ví họ kiểm soát, giữ một phần lớn nguồn cung và bán vào đợt người mua đầu tiên.
- Bundle. Dev tự mua token của mình bằng nhiều ví ngay trong block ra mắt, nên nguồn cung trông có vẻ phân tán dù chỉ một người kiểm soát. Chúng tôi đã phân tích một vụ thật trong bài Đường dây rug pull 18,43 triệu USD trên Robinhood Chain, nơi nhóm này giữ 82–86% nguồn cung sau khi ra mắt.
- Cài đặt bẫy. Bản thân token được tạo ra để chặn bạn: có thể in thêm token, tài khoản của bạn có thể bị đóng băng, hoặc phí chuyển token ăn mất lệnh bán.
Lưu ý về Pump.fun: token ở đây ra mắt với nguồn cung cố định 1 tỷ, và thanh khoản bị đốt khi token tốt nghiệp sang PumpSwap. Kiểu rút thanh khoản cổ điển rất hiếm. Rủi ro trên Pump.fun là ai đang giữ nguồn cung và khi nào họ bán, vì vậy bước 6 đến 8 quan trọng nhất với các token này. Bài Snipe token mới trên Pump.fun: cách làm đúng năm 2026 cho thấy việc bán đó thường đến nhanh thế nào.
10 bước kiểm tra
1. Quyền mint đã bị thu hồi
Nếu quyền mint (mint authority) vẫn còn, ai đó có thể tạo thêm token bất cứ lúc nào và bán vào pool. Tra trên Solscan hoặc công cụ quét token như RugCheck: bạn muốn Mint Authority trống hoặc đã thu hồi.
Dấu hiệu đỏ: quyền mint vẫn hoạt động trên một token đang được giao dịch.
2. Quyền freeze đã tắt
Quyền freeze có thể đóng băng tài khoản token trong ví bạn. Bạn vẫn thấy số dư nhưng không bán được. Đó là phiên bản honeypot trên Solana.
Dấu hiệu đỏ: freeze authority được gán cho bất kỳ ví nào.
3. Không có extension nguy hiểm
Token tạo bằng chương trình Token-2022 mới hơn có thể mang extension. Phần lớn vô hại, nhưng một vài cái có thể dùng để chống lại người mua: phí chuyển (transfer fee) cắt một phần mỗi lệnh bán, transfer hook chạy code tùy ý mỗi lần chuyển, permanent delegate có thể rút token khỏi bất kỳ ví nào, hoặc tài khoản mặc định bị đóng băng.
Dấu hiệu đỏ: có một trong bốn thứ trên ở một memecoin. Meme không cần chúng.
4. Thanh khoản đã bị đốt hoặc khóa
Với token giao dịch trong pool, kiểm tra xem LP token đã bị đốt hay khóa chưa. LP đã đốt nghĩa là không ai rút thanh khoản được. Token Pump.fun đã tốt nghiệp tự động đốt LP; token ra mắt thẳng vào các pool khác thì có thể không.
Dấu hiệu đỏ: LP nằm trong một ví bình thường, rút lúc nào cũng được.
5. Thanh khoản đủ sâu so với vốn hóa
Một token vốn hóa 1 triệu USD với 20 nghìn USD thanh khoản trông thì lớn nhưng giao dịch thì nhỏ: vài lệnh bán đã làm giá rơi mạnh, và chính lệnh thoát của bạn sẽ tốn hơn bạn nghĩ. So sánh kích thước pool với vốn hóa và với số tiền bạn định mua.
Dấu hiệu đỏ: lệnh mua dự kiến của bạn lớn hơn 1–2% pool, hoặc thanh khoản chỉ bằng một phần rất nhỏ của vốn hóa.
6. Top holder không quá tập trung
Mở danh sách holder và bỏ qua tài khoản của pool và bonding curve. Cộng tổng 10 ví thật lớn nhất.
Dấu hiệu đỏ: top 10 giữ hơn khoảng 25–30% nguồn cung, hoặc một ví giữ hơn 5–10%.
7. Ví dev giữ ít và có lịch sử sạch
Tìm ví người tạo. Ví đó còn giữ bao nhiêu phần trăm nguồn cung? Những token nó ra mắt trước đây ra sao? Một ví đã ra mắt 40 token và tất cả về 0 trong vòng một giờ không phải kém may mắn, đó là một mô hình kinh doanh.
Dấu hiệu đỏ: dev giữ hơn 5–10%, hoặc phần lớn token trước đây của họ chết trong vài giờ.
8. Không có bundle ở block đầu
Xem các giao dịch đầu tiên. Nếu 10 hay 20 ví mua cùng block với lúc ra mắt, với số tiền tương tự nhau, thường được nạp tiền từ cùng một nguồn vài phút trước đó, thì đó là bundle. Bản đồ ví như Bubblemaps giúp bạn thấy rõ liên kết giữa các ví này.
Dấu hiệu đỏ: một cụm ví liên kết với nhau giữ phần lớn nguồn cung ngay từ block đầu.
9. Khối lượng đến từ trader thật
Khối lượng giao dịch cao rất dễ làm giả: vài ví mua bán qua lại với nhau, thường với số tiền tròn, để đẩy token lên danh sách trending. Xem có bao nhiêu ví khác nhau đang giao dịch và các địa chỉ giống nhau có xuất hiện liên tục ở cả hai chiều không.
Dấu hiệu đỏ: khối lượng khổng lồ nhưng đến từ ít ví, hoặc khối lượng tăng vọt ngay sau một đợt quảng cáo trả phí.
10. Mạng xã hội và câu chuyện có cơ sở
Tín hiệu yếu nhất, nhưng vẫn hữu ích như một bộ lọc: token có website hay tài khoản X không, tài khoản đó tạo hôm qua à, tên token có phải sao chép một token vừa chạy tuần trước? Thiếu mạng xã hội giúp loại phần lớn token tạo tự động.
Dấu hiệu đỏ: không có link nào, hoặc link tới các tài khoản tạo cùng ngày với follower mua.
Quy trình 2 phút
Thứ tự quan trọng, vì các bước đầu là loại ngay còn các bước sau cần đánh giá:
- 0:00 đến 0:20: quyền mint, quyền freeze, extension của token. Có dấu hiệu đỏ: bỏ qua, không bàn thêm.
- 0:20 đến 0:50: thanh khoản đã đốt hoặc khóa, thanh khoản so với vốn hóa và kích thước lệnh của bạn.
- 0:50 đến 1:30: top 10 holder, ví dev và các token trước đó, bundle ở block đầu.
- 1:30 đến 2:00: chất lượng khối lượng và mạng xã hội.
- Quyết định: dấu hiệu đỏ ở nhóm 1–2 thì bỏ qua. Một dấu hiệu nhẹ ở nhóm 3–4 thì mua nhỏ hơn bình thường với cắt lỗ chặt. Sạch cả 10 bước thì mua kích thước bình thường, vẫn có cắt lỗ.
Để bot kiểm tra thay bạn
Kiểm tra thủ công từng token ổn khi bạn mua hai token một ngày. Không ổn khi lệnh copy trade hay sniper khớp trong chưa đầy một giây. Đó là lúc bộ lọc làm việc:
- Copy trade trong TradeWiz có thể bỏ qua token chưa từ bỏ quyền sở hữu (Unrenounced) hoặc pool chưa đốt LP (Unburned), bỏ qua pool dưới mức Min LP, và chỉ copy trong khoảng vốn hóa và tuổi token bạn đặt. Chi tiết trong hướng dẫn Copy Trading.
- Sniper có thể giới hạn Dev Holding, yêu cầu có Social Media và giữ danh sách đen tối đa 50 token. Xem hướng dẫn Sniper.
Bộ lọc không bắt được mọi thứ, và ví bạn copy cũng quan trọng không kém: một ví hay mua token bị bundle sẽ kéo bạn vào theo. Bài cách tìm ví smart money chỉ cách nhận ra những ví đó trước khi bạn theo.
Những gì checklist không bảo vệ được
Một token có thể vượt qua cả 10 bước mà vẫn giảm 80% trong 10 phút. Hợp đồng sạch không ngăn được người mua sớm chốt lời, và câu chuyện của memecoin chết rất nhanh. Checklist loại bỏ cái bẫy; quy tắc rủi ro của bạn lo phần còn lại:
- Đặt khối lượng mỗi lệnh sao cho mất trắng chỉ là chuyện bình thường, không phải nỗi đau.
- Đặt kế hoạch thoát trước khi mua: auto sell có cắt lỗ, như trong bài Chốt lời meme coin: Auto Sell, Trailing Stop hay Limit Order?
- Tách ví giao dịch khỏi ví tiết kiệm, như trong bài Dùng bot trading có an toàn không? 10 quy tắc giữ ví.
Câu hỏi thường gặp
Token qua hết các bước kiểm tra vẫn có thể rug không?
Có. Dev có thể giữ qua giờ đầu rồi bán sau, hoặc một nhóm có thể dùng ví mới trông không liên quan. Checklist làm các bẫy lộ liễu hiếm đi, không làm token nào an toàn tuyệt đối.
LP đã đốt là đủ chưa?
Chưa. LP đã đốt ngăn được việc rút thanh khoản, nhưng không ngăn dev hay bundle xả token vào chính thanh khoản đó. Hãy kiểm tra cả holder và bundle.
Token Pump.fun có an toàn hơn token ra mắt nơi khác không?
Pump.fun loại bỏ một số rủi ro: nguồn cung cố định và LP bị đốt khi tốt nghiệp. Nhưng không loại bỏ rủi ro nguồn cung. Bundle và dev xả hàng rất phổ biến trên Pump.fun, nên bước 6 đến 8 quan trọng nhất ở đó.
Honeypot trên Solana là gì?
Là token bạn mua được nhưng không bán được. Trên Solana thường là do quyền freeze còn hoạt động, hoặc cài đặt Token-2022 như permanent delegate hay phí chuyển cực cao.
Nên dùng công cụ miễn phí nào?
Solscan để xem quyền token, holder và giao dịch, một bản đồ ví để thấy các cụm ví, và bất kỳ công cụ quét token nào tóm tắt quyền token và trạng thái LP. Hãy dùng nhiều hơn một công cụ: chúng đọc cùng một blockchain nhưng trình bày khác nhau.
Điểm mấu chốt
Để tránh rug pull trên Solana, hãy kiểm tra cùng 10 thứ theo cùng một thứ tự mỗi lần. Cài đặt bẫy trước, rồi thanh khoản, rồi nguồn cung, rồi hoạt động giao dịch. Bỏ qua mọi token trượt 3 bước đầu, giảm khối lượng khi có dấu hiệu nhẹ, và không bao giờ mua khi chưa có kế hoạch thoát. Khi giao dịch tốc độ cao, hãy để bộ lọc trong bot kiểm tra thay bạn.
Thiết lập các bộ lọc đó trong TradeWiz và thử với ngân sách nhỏ trước.
Trade Fast. Trade Smart.