Sept vérifications portant sur la liquidité, les détenteurs, les autorisations du contrat et les autorités Solana, et ce qu’elles ne peuvent pas vous apprendre.
De nouveaux tokens sont lancés chaque minute, et le moyen le plus simple d’y perdre de l’argent n’est pas un krach boursier. C’est un rug pull.
Un rug pull est une arnaque à la sortie. Les créateurs lancent un token, attirent des acheteurs et des liquidités, puis vident le pool ou vendent leurs propres avoirs avant de disparaître. Cela peut arriver très vite. En 2021, AnubisDAO a levé près de 60 millions de dollars presque du jour au lendemain, sans site web, sans livre blanc et avec des développeurs anonymes. Les fonds ont quitté son pool de liquidités environ 20 heures plus tard (selon Chainalysis, cité par The Register).
Chaque vérification ci-dessous revient à trois questions : Qui contrôle la liquidité ? Qui détient l’offre ? Que permet le code au créateur de faire ?
Les trois types les plus courants
Rug pull brutal : les créateurs retirent les liquidités du pool, et le prix chute presque à zéro.
Rug pull progressif : des initiés vendent discrètement une grande quantité de jetons au fil du temps.
Honeypot : le contrat vous permet d’acheter, mais vous empêche de vendre.
Les 7 vérifications
1. La liquidité est-elle verrouillée ?
Ouvrez le jeton sur DEX Screener et vérifiez le montant de liquidités disponibles, qui les contrôle, si elles sont verrouillées et à quelle date le verrouillage prend fin. Vérifiez que le verrouillage couvre une part importante du pool et qu’aucun autre pool ne reste sous le contrôle d’initiés. L’absence de verrouillage ou un verrouillage de très courte durée est un signal d’alerte, mais le verrouillage à lui seul ne garantit pas la sécurité d’un jeton.
2. Qui détient l’offre ?
Collez l’adresse du contrat dans Etherscan, BscScan ou Solscan, puis ouvrez l’onglet des détenteurs. Ne tenez pas compte des plateformes d’échange, des pools de liquidité, des bridges ni des adresses de destruction, puis demandez-vous qui contrôle l’offre réellement susceptible d’être vendue. Si quelques portefeuilles semblant liés à l’équipe en détiennent la majeure partie, une seule vente peut faire s’effondrer le prix.
3. Que peut faire le contrat ? (chaînes EVM)
Des outils d’analyse comme Token Sniffer, Honeypot.is et GoPlus peuvent signaler des paramètres risqués. Recherchez la possibilité de créer de nouveaux jetons, de mettre des portefeuilles sur liste noire ou de les geler, des restrictions inhabituelles à l’achat ou à la vente, une taxe de vente susceptible d’être modifiée après le lancement, ainsi que de larges privilèges de propriétaire détenus par un seul portefeuille. Vérifiez également que le code source est certifié sur l’explorateur.
4. Autorité de création et de gel (Solana)
L’autorité de création permet à son détenteur de créer de nouveaux jetons. L’autorité de gel permet à son détenteur de bloquer des comptes de jetons individuels, les empêchant ainsi d’effectuer des transferts. Une autorité de création définie sur « null » est révoquée définitivement, tandis qu’une autorité de gel conservée peut servir à créer un honeypot. Vérifiez l’onglet « Authority » dans un explorateur Solana. Les émetteurs de stablecoins conservent ces pouvoirs pour des raisons légitimes : le contexte est donc important.
5. Recherchez les honeypots et les taxes cachées
Analysez le contrat avec un outil de détection de honeypots, comparez les taxes à l’achat et à la vente, et vérifiez que les frais ne peuvent pas être modifiés par la suite. Un petit achat suivi d’une vente test peut révéler un blocage évident, mais ne permet pas de détecter un rug pull qui surviendrait plusieurs semaines plus tard.
6. Renseignez-vous sur l’équipe, l’audit et l’historique
Une équipe anonyme sans audit ne rend personne responsable. Si un audit est annoncé, trouvez le rapport sur le site de l’auditeur lui-même au lieu de vous fier à un badge. L’anonymat à lui seul ne prouve pas qu’il s’agit d’une arnaque, et un audit à lui seul ne garantit pas la sécurité.
7. Méfiez-vous du battage médiatique et des pressions
L’urgence, les promesses de rendements élevés et une promotion tapageuse sans produit fonctionnel sont des tactiques de manipulation, pas des preuves de qualité. Et ne communiquez jamais votre phrase de récupération à qui que ce soit, même à des personnes qui proposent de « vérifier » votre portefeuille.
Quelle est la fréquence de ce phénomène ?
Solidus Labs a constaté qu’environ 93 % des 388 000 pools Raydium présentaient des signes de retrait de liquidités, avec une perte médiane d’environ 2 832 $. Interprétez ce chiffre avec prudence : il mesure les effondrements de liquidité et les tendances aux retraits, et non des fraudes prouvées par un tribunal ; de plus, Solidus vend des outils d’analyse de jetons. Il montre à quelle vitesse la plupart des nouveaux jetons échouent, et non combien relèvent d’actes criminels.
Ce que ces vérifications ne peuvent pas vous dire
Un rug pull progressif peut se dérouler sur plusieurs mois. Les outils d’analyse peuvent passer à côté de nouvelles astuces ou signaler des fonctionnalités inoffensives. Un jeton peut réussir toutes les vérifications et quand même perdre de la valeur lors d’une baisse ordinaire du marché. Utilisez plusieurs outils et considérez leurs désaccords comme un signal d’alerte.
La règle générale
Un seul signal d’alerte mérite un examen plus approfondi. Plusieurs signaux réunis sont une bonne raison de laisser tomber le jeton. N’investissez jamais plus que ce que vous pouvez vous permettre de perdre.
J’ai publié le guide complet, avec un tableau récapitulatif et une FAQ, sur CST Times point com :
Avertissement : cet article est fourni à des fins éducatives uniquement et ne constitue pas un conseil financier, d’investissement ou juridique. Les cryptoactifs sont volatils et vous pouvez perdre une partie ou la totalité de votre argent. Faites toujours vos propres recherches.