Rug pull crypto : comment le repérer avant d'acheter

L’essentiel

Qu'est-ce qu'un rug pull ?

Chainalysis définit le rug pull comme une situation où des développeurs construisent ce qui ressemble à un projet crypto légitime, puis prennent l'argent des investisseurs et disparaissent. Dans la finance décentralisée (DeFi), le scénario classique est le suivant : les escrocs créent un token, en font la promotion avec de fausses promesses, puis vident la réserve de liquidité une fois qu'assez d'acheteurs sont entrés.

Le phénomène n'est pas marginal. Selon Chainalysis, les rug pulls ont rapporté plus de 2,8 milliards de dollars en 2021, soit 37 % des revenus des arnaques crypto cette année-là, contre 1 % en 2020. Ce total inclut toutefois le cas exceptionnel de Thodex, une plateforme d'échange turque, qui représente près de 90 % de la somme.

Plus récemment, le rapport 2025 de Solidus Labs estimait qu'environ 93 % de 388 000 pools de liquidité analysés sur le DEX Raydium (Solana) présentaient des caractéristiques de « soft rug pull ».

Petit rappel : la liquidité, c'est quoi ?

Pour qu'un token s'échange sur un DEX (un échange décentralisé comme Uniswap, PancakeSwap ou Raydium), quelqu'un doit déposer une réserve de liquidité : par exemple, des tokens du projet d'un côté et de l'ETH, du BNB ou du SOL de l'autre. C'est dans cette réserve que les acheteurs puisent quand ils achètent, et qu'ils revendent quand ils sortent.

En échange de ce dépôt, le fournisseur reçoit des LP tokens (jetons de fournisseur de liquidité), qui lui permettent de récupérer sa part de la réserve à tout moment. Si c'est le créateur du token qui détient ces LP tokens, il peut donc retirer la liquidité quand il le souhaite. C'est le cœur de nombreux rug pulls.

Les différents types de rug pull

Le hard rug pull

Le hard rug pull repose sur un geste brutal ou un piège technique :

• Retrait de liquidité : le créateur retire d'un coup toute la réserve. Le prix s'effondre à presque zéro et plus personne ne peut vendre à un prix raisonnable.
• Code malveillant : le contrat du token contient une porte dérobée, par exemple une fonction qui permet de créer des tokens à volonté ou d'empêcher les ventes.

Ce type d'arnaque est généralement prémédité dès la création du token.

Le soft rug pull

Le soft rug pull est plus progressif et plus difficile à prouver :

• l'équipe vend peu à peu ses tokens pendant que la communauté achète ;
• le projet est abandonné après la levée de fonds, sans annonce ;
• la liquidité est retirée en plusieurs fois.

Juridiquement, la frontière entre un projet raté et une arnaque peut être floue. Pour vous, le résultat est souvent le même : un token qui ne vaut plus rien.

Le honeypot

Un honeypot (pot de miel) est un token que vous pouvez acheter mais pas revendre. Le graphique monte, car tout le monde achète et personne ne peut vendre, ce qui attire encore plus d'acheteurs. GoPlus Security décrit un mécanisme typique : une liste noire (blacklist) intégrée au contrat fait échouer toute tentative de transfert depuis une adresse listée, ce qui empêche les détenteurs de vendre.

Les honeypots peuvent aussi fonctionner avec une taxe de vente modifiable (par exemple portée à 100 %) ou une pause des échanges réservée aux adresses « autorisées ».

Les signaux d'alerte à vérifier

1. La liquidité n'est pas verrouillée

Si les LP tokens sont dans le portefeuille du créateur, rien ne l'empêche de tout retirer. Des services permettent de verrouiller la liquidité (la bloquer dans un contrat pour une durée donnée) ou de brûler les LP tokens (les envoyer à une adresse inutilisable).

À vérifier : quelle part de la liquidité est verrouillée, et jusqu'à quand ? Un verrouillage de quelques jours n'offre presque aucune protection.

Attention : une liquidité verrouillée n'empêche pas les gros détenteurs de vendre leurs tokens dans la réserve et de faire chuter le prix.

2. Des fonctions dangereuses dans le contrat

Sur les blockchains compatibles Ethereum, le code des contrats vérifiés est lisible sur les explorateurs de blocs. Sans être développeur, vous pouvez repérer certains noms de fonctions ou faire appel à un scanner qui le fera pour vous. Les plus risquées :

GoPlus Security souligne aussi que certains contrats malveillants cachent ces fonctions derrière du code volontairement confus ou des conditions déclenchées plus tard, pour tromper les outils d'analyse.

Sur Solana, les points équivalents à vérifier sont notamment l'autorité de mint (qui peut créer de nouveaux tokens) et l'autorité de gel (freeze authority, qui peut bloquer des comptes). Idéalement, elles sont révoquées.

3. Les détenteurs sont très concentrés

Si quelques portefeuilles (hors réserve de liquidité et contrats de verrouillage) détiennent une grande part de l'offre, ils peuvent faire s'effondrer le prix en vendant. Soyez particulièrement méfiant si plusieurs de ces portefeuilles ont été alimentés depuis la même adresse : c'est souvent la même personne derrière. Le guide Analyser un token on-chain explique comment vérifier cela.

4. L'équipe est anonyme et injoignable

L'anonymat n'est pas en soi une preuve d'arnaque : il est fréquent dans la crypto. Mais Chainalysis cite l'absence de site web, de livre blanc ou de développeurs identifiés parmi les signaux d'alerte. Combiné à d'autres points (liquidité non verrouillée, contrat non audité), il augmente fortement le risque, car personne ne pourra être tenu responsable.

5. La communication est verrouillée

Commentaires désactivés, messages critiques supprimés, pression pour acheter « avant qu'il soit trop tard » : un projet sérieux accepte les questions.

6. Pas d'audit, ou un audit invérifiable

Chainalysis recommandait d'éviter les nouveaux tokens n'ayant fait l'objet d'aucun audit de code. Un audit ne garantit pas tout, mais vérifiez au minimum qu'il existe, qu'il est publié par le cabinet lui-même et qu'il porte sur le bon contrat.

Les outils de vérification

Des scanners de tokens analysent automatiquement un contrat à partir de son adresse : fonctions de mint, blacklist, taxes, simulation d'achat-revente pour détecter un honeypot, concentration des détenteurs, état de la liquidité. GoPlus Security, Token Sniffer ou RugCheck (pour Solana) en sont des exemples, cités ici à titre d'illustration et sans recommandation.

Ces outils ont des limites :

• ils peuvent être trompés par du code obscurci, comme le reconnaît GoPlus ;
• un score « vert » ne prouve pas qu'un projet est honnête, seulement qu'aucun piège connu n'a été détecté ;
• ils ne détectent pas un soft rug pull à venir.

Complétez toujours par une vérification sur un explorateur de blocs (voir Lire un explorateur de blocs).

Exemple concret : le token Squid Game (2021)

En octobre 2021, en pleine vague de popularité de la série, un token baptisé SQUID apparaît sur BNB Smart Chain et s'échange sur PancakeSwap. Selon Gizmodo et la synthèse de Wikipedia :

• le token est mis en vente le 20 octobre 2021 ;
• son prix grimpe jusqu'à 2 861 $ ;
• les acheteurs découvrent qu'ils ne peuvent pas revendre leurs tokens : un mécanisme de type honeypot ;
• le 1er novembre 2021, les créateurs retirent la liquidité et le prix tombe à quasiment zéro ;
• environ 3,38 millions de dollars sont emportés, puis passés par le service de mixage Tornado Cash selon Wikipedia ;
• le site web disparaît ; le canal Telegram n'acceptait pas les commentaires extérieurs et le compte Twitter bloquait les réponses.

Plusieurs grands médias avaient relayé la hausse spectaculaire du token avant que l'arnaque ne soit révélée. Presque tous les signaux d'alerte de ce guide étaient réunis : impossibilité de vendre, équipe anonyme, communication fermée, site truffé de fautes, hausse irréaliste.

Checklist rapide avant d'acheter un token

• Adresse du contrat obtenue depuis une source officielle (pas depuis un message privé).
• Contrat vérifié sur l'explorateur et passé dans au moins un scanner.
• Pas de fonction de mint, de blacklist ou de taxe modifiable active (ou autorités révoquées sur Solana).
• Liquidité verrouillée ou brûlée, pour une durée significative.
• Concentration des détenteurs raisonnable, sans grappe de portefeuilles liés.
• Des ventes réussies par d'autres adresses visibles dans l'historique des transactions.
• Montant limité à ce que vous acceptez de perdre, depuis un portefeuille dédié.

Les erreurs à éviter

• Se fier uniquement au graphique : un honeypot affiche justement une courbe qui ne fait que monter.
• Faire confiance à un score unique : un scanner est une aide, pas une garantie.
• Croire qu'une liquidité verrouillée suffit : les gros détenteurs peuvent toujours vendre.
• Acheter à cause de la couverture médiatique : l'exemple SQUID montre que des médias peuvent relayer une arnaque avant qu'elle soit identifiée.
• Utiliser le portefeuille qui contient votre épargne : un contrat malveillant ou une fausse interface peut aussi chercher à vider votre portefeuille (voir Phishing et drainers).
• Tenter de « récupérer » ses pertes : méfiez-vous des services qui promettent de retrouver vos fonds contre paiement ; c'est une arnaque fréquente visant les victimes. Signalez plutôt les faits aux autorités.

Ce guide est fourni à titre d'information générale et ne constitue ni un conseil en investissement, ni un conseil juridique.

Questions fréquentes

Qu'est-ce qu'un rug pull en crypto ?

Une arnaque où les créateurs d'un token attirent des acheteurs puis partent avec leur argent : ils retirent la liquidité, vendent massivement ou empêchent les autres de revendre. Il peut être brutal (hard rug pull) ou progressif (soft rug pull).

Un rug pull est-il illégal ?

Un rug pull organisé est une arnaque : déposez plainte en conservant les preuves et signalez le site sur Pharos (internet-signalement.gouv.fr). La frontière entre un projet raté et un soft rug pull peut toutefois être floue juridiquement.

Peut-on récupérer son argent après un rug pull ?

Très rarement : une transaction confirmée sur la blockchain ne s'annule pas. Conservez les hash de transaction et les adresses pour la plainte, et méfiez-vous des services qui promettent de récupérer vos fonds contre paiement : c'est une arnaque fréquente.

Comment savoir si un token est un honeypot ?

Un détecteur de honeypot comme Honeypot.is, ou un scanner comme GoPlus Security, simule un achat puis une vente du token. Vérifiez aussi dans l'historique des transactions que d'autres adresses ont réussi à vendre.

À retenir

• Un rug pull peut être brutal (retrait de liquidité, code piégé) ou progressif (ventes de l'équipe, abandon du projet).
• Un honeypot vous laisse acheter mais pas revendre : vérifiez que d'autres adresses ont réussi à vendre.
• Les signaux clés sont la liquidité non verrouillée, les fonctions de mint ou de blacklist, la concentration des détenteurs et l'anonymat combiné à une communication fermée.
• Les scanners de tokens aident à repérer les pièges connus, mais ne garantissent jamais qu'un projet est sûr.
• Le cas Squid Game (2021) réunissait presque tous ces signaux : n'engagez que des sommes dont la perte totale est acceptable.

Sources

• Chainalysis — Crypto Scams: 2021 Rug Pulls Put Revenues Near All-Time High
• Gizmodo — Squid Game Cryptocurrency Scammers Make Off With $3.3 Million
• Wikipedia — 2021 Squid Game cryptocurrency scam
• GoPlus Security — Dive into Token Code and Safeguard Web3 Security
• Solidus Labs — Solana Rug Pulls & Pump-and-Dumps: What Crypto Institutions Must Know

Comparer les services liés à ce sujet

• Meilleur wallet crypto : comparatif