Comment repérer une arnaque crypto avant qu'elle ne se produise : une vérification pré-transaction en 8 étapes

Vous découvrez un nouveau token sur les réseaux sociaux. Son cours s'emballe, la communauté annonce la fin imminente de la prévente et le site web promet des gains exceptionnels aux premiers acheteurs. La tentation est grande de se décider en quelques minutes. C'est précisément à ce moment-là qu'une arnaque est la plus difficile à déceler : avant la fuite, le projet peut paraître dynamique, liquide et légitime.

Une arnaque de type « rug pull » désigne généralement une escroquerie crypto où des initiés ou des promoteurs s'approprient soudainement la valeur d'un projet, par exemple en vidant les liquidités, en vendant une position concentrée de jetons, en abusant des contrôles privilégiés des contrats ou en rendant l'actif invendable. Tous les jetons ayant échoué ou mal conçus ne sont pas des arnaques de ce type, et aucun signe avant-coureur isolé ne prouve la fraude. Ce guide a pour but de combiner plusieurs vérifications indépendantes avant de risquer votre argent ou les autorisations de votre portefeuille.

Le processus décrit ci-dessous va des vérifications les plus rapides à une analyse plus approfondie sur la blockchain. Si un projet échoue lamentablement à une première vérification, il n'est pas nécessaire de poursuivre les investigations pour justifier son abandon.

Étape 1 : Faites abstraction du battage médiatique avant d’examiner le jeton

Commençons par analyser l'argumentaire de vente. Le service d'éducation des investisseurs de la Securities and Exchange Commission (SEC) américaine met régulièrement en garde contre les promesses de rendements élevés ou garantis, de risques faibles ou nuls, d'offres non sollicitées et de pressions pour une action immédiate : autant de signes d'escroquerie classiques. La Federal Trade Commission (FTC) rappelle également que personne ne peut garantir les profits liés aux cryptomonnaies.

Avant d'examiner le code, posez-vous trois questions simples :

• La présentation promet-elle des profits garantis, fixes ou quasi certains ?
• Y a-t-il un compte à rebours, une « clôture de la liste blanche », une « dernière attribution » ou autre urgence artificielle ?
• La plupart des preuves sont-elles de la preuve sociale (captures d'écran, influenceurs, témoignages ou nombre d'abonnés) plutôt que des faits vérifiables ?

Un projet légitime peut recourir à un marketing agressif, mais l'urgence ne doit jamais remplacer la diligence raisonnable. Consultez l'alerte aux investisseurs de la SEC de 2024 concernant les arnaques aux crypto-actifs et les recommandations de la FTC sur les arnaques aux crypto-actifs pour connaître les avertissements actuels aux consommateurs.

Étape 2 : Vérifier que le projet existe au-delà de son propre marketing

Ensuite, vérifiez que les personnes, le produit et le code peuvent être vérifiés indépendamment. Recherchez une description technique expliquant le fonctionnement du jeton, une adresse de contrat cohérente publiée sur les canaux officiels, un historique de développement et des informations sur l'équipe vérifiables en dehors du site du projet.

Une équipe anonyme n'est pas forcément frauduleuse — certains projets crypto légitimes font appel à des contributeurs pseudonymes —, mais cela modifie le profil de risque. Si les opérateurs sont inconnus, le code source fermé, la documentation vague et le projet sans historique significatif en dehors des canaux promotionnels, il est plus difficile d'évaluer qui contrôle le système ou ce qui se passe en cas de problème.

Recherchez indépendamment le nom du projet, le symbole du jeton, l'adresse du contrat et les noms des principaux membres de l'équipe. La FTC recommande de rechercher le nom de l'entreprise ou de la personne et la cryptomonnaie, ainsi que des termes tels que « arnaque » ou « plainte ». Ne vous fiez pas uniquement aux liens fournis par les promoteurs.

Étape 3 : Vérifier la concentration des détenteurs et les portefeuilles connectés

Ouvrez un explorateur de blocs fiable pour la chaîne et examinez les principaux détenteurs du jeton. Une offre concentrée n'est pas forcément synonyme de fraude : les portefeuilles d'échange, les contrats d'acquisition, les ponts, les contrats de trésorerie, les coffres de staking et les pools de liquidités peuvent légitimement détenir des soldes importants. La question est de savoir qui contrôle ces adresses et quelles sont leurs actions .

Recherchez des schémas tels que :

• un portefeuille détenu par un tiers et contenant une part exceptionnellement importante de l'offre ;
• plusieurs portefeuilles de premier plan financés par le même déployeur ou interagissant de manière coordonnée ;
• allocations d'équipe importantes et non verrouillées sans mécanisme d'acquisition crédible ;
• Transferts rapides depuis les adresses liées au déploiement vers de nouveaux portefeuilles avant une campagne marketing.

La SEC a mis en garde contre les risques liés aux structures de propriété et de contrôle des cryptomonnaies, souvent très concentrées et opaques. Cette concentration s'avère d'autant plus dangereuse qu'elle s'accompagne d'une faible liquidité ou de contrôles contractuels privilégiés.

Étape 4 : Lisez les pouvoirs d’administration du contrat, et pas seulement la page relative à la tokenomics.

Les supports marketing peuvent mentionner une « offre fixe » ou une « propriété communautaire », mais le contrat intelligent reste la source d'information la plus fiable. Si le code source est vérifié, examinez les fonctions et les rôles de contrôle d'accès. Si le contrat est évolutif, vérifiez également l'administrateur proxy et l'autorité de mise à jour.

Portez une attention particulière à la possibilité pour un propriétaire ou un administrateur de :

• émettre des jetons supplémentaires ;
• modifier les frais de transfert ou les taxes ;
• liste noire ou liste blanche des adresses ;
• suspendre les transferts ou les échanges ;
• modifier les limites de négociation ;
• mettre à niveau ou remplacer la logique d'implémentation ;
• transférer des fonds du Trésor ou du protocole.

Ces fonctions peuvent être légitimes. Les commandes de pause d'urgence, par exemple, peuvent s'avérer utiles lors d'un bug critique. Le risque ne réside pas dans la simple existence d'une fonction d'administration ; il réside dans la possibilité pour une seule entité d'utiliser des fonctions puissantes sans limitation de durée, sans contrôle de signature multiple, sans gouvernance transparente ni autres contraintes.

La documentation actuelle d'OpenZeppelin sur le contrôle d'accès explique l'importance des rôles régissant la création, le gel, les mises à niveau et autres actions privilégiées. De même, la documentation de sécurité des contrats intelligents d'Ethereum insiste sur l'importance d'un contrôle d'accès approprié pour les fonctions sensibles.

Étape 5 : Analyser la profondeur de la liquidité et identifier les acteurs habilités à la retirer.

Un jeton peut afficher une capitalisation boursière nominale élevée tout en présentant une liquidité très faible pour les acheteurs et les vendeurs. Vérifiez la composition réelle du pool : quelle est la quantité d’actif sous-jacent disponible, quelle est la profondeur du marché et qui contrôle la liquidité ?

Si le déployeur ou un portefeuille étroitement lié contrôle la majeure partie des liquidités retirables, le projet peut les retirer brutalement. Un mécanisme de blocage ou d'acquisition peut atténuer ce risque, mais le « blocage des liquidités » n'est pas une garantie absolue. Il est indispensable de vérifier le contrat de blocage, sa durée, le bénéficiaire, la date de déblocage et l'existence d'autres pools.

Il convient également de distinguer le risque de liquidité du risque lié à la propriété des jetons . Même un blocage permanent de la liquidité ne peut empêcher les initiés de déverser une part importante de leurs jetons non débloqués dans le pool.

Étape 6 : Confirmer que les détenteurs ordinaires peuvent effectivement vendre

Certains jetons malveillants sont conçus pour faciliter l'achat tout en bloquant, taxant fortement ou limitant la vente à certaines adresses. Avant d'investir des sommes importantes, examinez la logique de transfert et utilisez des outils de simulation ou d'exploration de transactions fiables, lorsqu'ils sont disponibles.

Rechercher:

• facturer des frais pouvant être modifiés à des niveaux extrêmes ;
• Des règles différentes pour les achats et les ventes ;
• listes noires ou autorisations de transactions contrôlées par le propriétaire ;
• Règles de transactions maximales ou de portefeuille maximal pouvant être modifiées arbitrairement ;
• Une logique qui traite différemment les routeurs, les paires ou les adresses spécifiques.

Ne présumez pas qu'un achat réussi garantit une revente réussie. Si vous choisissez de tester les mécanismes du marché, limitez-vous à des montants minimes et gardez à l'esprit que même une petite vente réussie ne garantit pas le maintien des ventes futures ; un administrateur peut modifier les paramètres ultérieurement.

Étape 7 : Traiter les approbations de portefeuille comme une décision de sécurité distincte

Une vérification de type « rug pull » doit inclure les documents que le site web demande à votre portefeuille de signer. Une application décentralisée (dApp) malveillante ou compromise peut exiger une autorisation d'achat illimitée de jetons, permettant ainsi à son contrat de dépenser les jetons déjà présents dans votre portefeuille. Ce risque persiste même après votre départ du site web.

Ethereum.org met en garde contre les abus potentiels des contrats malveillants qui autorisent un nombre illimité d'autorisations et recommande de n'approuver que les autorisations nécessaires et de révoquer les autorisations inutiles. Si un nouveau projet demande une autorisation générale sans rapport avec l'action que vous effectuez, prenez le temps de vérifier précisément le jeton, l'adresse de dépense et le montant que vous autorisez.

Suivez les instructions officielles d'Ethereum concernant l'examen et la révocation de l'accès aux jetons . Si vous avez déjà interagi avec un projet suspect, Ethereum.org recommande également de sécuriser vos actifs restants et de révoquer les autorisations suspectes dans son guide d'assistance en cas d'escroquerie .

Étape 8 : Rassemblez les preuves et prenez une décision d’arrêt ou de poursuite.

À ce stade, ne réduisez pas le projet à un simple score automatisé. Un projet peut réussir un contrôle et échouer à un autre. Un code audité ne garantit pas l'honnêteté des opérateurs. Le blocage des liquidités n'empêche pas les fuites de jetons par des initiés. La divulgation des informations personnelles des fondateurs ne supprime pas les privilèges dangereux liés aux contrats. Une vente test réussie ne prouve pas que les règles de vente ne pourront pas être modifiées ultérieurement.

Une règle de décision pratique consiste à classer ce que vous avez trouvé en trois catégories :

Liste de vérification de 10 minutes pour le dépistage des arnaques par tirage au sort de tapis

Si vous souhaitez une version concise avant d'envisager une petite position spéculative, suivez cette liste dans l'ordre :

1. Ignorez l'urgence et les promesses ; notez précisément ce que le projet revendique.
2. Vérifiez l'adresse officielle du contrat auprès de plusieurs sources fiables.
3. Vérifiez si l'équipe, la documentation et l'historique de développement peuvent être vérifiés de manière indépendante.
4. Examinez les principaux détenteurs de jetons et identifiez les contrats, les plateformes d'échange, les portefeuilles de trésorerie et les adresses liées aux déployeurs.
5. Lisez le code du contrat vérifié et identifiez le propriétaire, l'administrateur, l'émetteur, le suspendeur, les frais, la liste noire et les pouvoirs de mise à niveau.
6. Examinez la profondeur réelle du pool de liquidités et qui peut retirer sa position de liquidité.
7. Examinez les restrictions d'achat/vente et les frais variables ; utilisez la simulation de transaction lorsqu'elle est disponible.
8. Lisez attentivement chaque signature de portefeuille et chaque approbation de jeton avant de les confirmer.
9. Recherchez de manière indépendante les plaintes, les rapports de sécurité et les informations contradictoires.
10. Si plusieurs faits essentiels demeurent invérifiables, mieux vaut s'abstenir plutôt que de combler les lacunes par des suppositions.

Comment vérifier soi-même sa conclusion

Avant d'acheter, fermez le site web et les réseaux sociaux du projet. Ensuite, essayez de reproduire votre conclusion en utilisant uniquement des données indépendantes : l'explorateur de blockchain, le code source vérifié, les positions de liquidité, les outils officiels des registres ou des organismes de réglementation (le cas échéant), et la documentation hébergée en dehors des publications promotionnelles.

Posez-vous la question :

• Puis-je expliquer qui peut émettre, suspendre, mettre sur liste noire, modifier les frais ou mettre à niveau le contrat ?
• Puis-je vous indiquer qui détient les plus importantes participations en jetons ?
• Puis-je expliquer qui contrôle la liquidité principale et dans quelles circonstances ce contrôle peut changer ?
• Les détenteurs ordinaires peuvent-ils vendre en vertu des règles contractuelles actuelles ?
• Ai-je vérifié l'adresse du contrat plutôt que de me fier à un lien trouvé sur les réseaux sociaux ?
• Ai-je évité d'accorder des autorisations illimitées inutiles ?
• Est-ce que je prendrais toujours en considération le projet si le tableau des prix et les publications des influenceurs étaient masqués ?

Si vous ne pouvez pas répondre aux six premières questions par des preuves, vous ne comprenez pas encore suffisamment le risque pour vous fier à la septième.

Que faire si vous avez déjà interagi avec un jeton suspect

Si vous pensez que votre portefeuille a pu interagir avec un contrat frauduleux, concentrez-vous d'abord sur la protection de vos actifs restants. Examinez et annulez les approbations de jetons suspectes, transférez vos actifs non affectés vers un portefeuille sécurisé si une compromission est plausible, et conservez les hachages de transactions, les adresses, les captures d'écran et les communications. Ne payez pas d'inconnus qui prétendent pouvoir récupérer des cryptomonnaies volées contre une commission initiale ; les autorités de régulation mettent en garde contre les arnaques à la récupération de cryptomonnaies qui ciblent fréquemment les personnes ayant déjà subi des pertes.

Les fraudes potentielles sur les valeurs mobilières américaines peuvent être signalées via les ressources de la SEC accessibles depuis la section « Aide aux victimes » d'Investor.gov , tandis que les escroqueries envers les consommateurs peuvent être signalées à la FTC. Récupérer les cryptomonnaies envoyées à des fraudeurs peut s'avérer difficile ; c'est pourquoi la vérification préalable à la transaction est plus importante que toute promesse de remboursement ultérieur.

En résumé

La plupart des arnaques sont plus faciles à éviter lorsqu'on cesse de se fier uniquement au prix du token. Le marketing vous indique ce que les promoteurs veulent vous faire croire ; les données sur les détenteurs vous indiquent qui possède l'offre ; le code du contrat intelligent vous indique quels comptes privilégiés peuvent être modifiés ; les données de liquidité vous indiquent comment les sorties sont financées ; et les approbations de portefeuille vous indiquent à quel niveau d'accès vous accordez des droits avant que le moindre problème ne survienne.

La meilleure protection ne consiste pas à trouver un indicateur miracle. Il s'agit de refuser d'investir lorsque plusieurs éléments critiques du système ne peuvent être vérifiés indépendamment. Dans le monde des cryptomonnaies, l'incertitude quant aux acteurs qui contrôlent le système n'est pas un fait neutre : c'est un risque qui doit être pris en compte dans le prix.