Pourquoi les contrats de faux jetons existent et qui tombe réellement dans le piège
L'expression « contrat de faux jeton » recouvre un large éventail de situations, du logiciel malveillant pur et dur aux contrats qui fonctionnent techniquement mais qui redirigent l'essentiel de la valeur vers le créateur. Le point commun est que le déployeur publie une adresse de contrat qui ressemble à un projet légitime, puis attend que les acheteurs collent cette adresse dans une interface d'échange. Dès que de la liquidité apparaît sur un échange décentralisé (une application d'échange pair-à-pair où les utilisateurs négocient directement contre un pool de jetons partagé), l'achat semble facile et la sortie normale, jusqu'à ce qu'elle ne le soit plus.
L'ampleur du phénomène est considérable. Chainalysis a estimé que les rug pulls et les schémas d'usurpation de jetons ont permis d'extorquer plus de 9 milliards de dollars aux utilisateurs de crypto entre 2021 et 2024, la victime type perdant quelques centaines de dollars à chaque fois. Les victimes sont rarement des débutants qui commettent des erreurs évidentes. Il s'agit plutôt de personnes qui ont cliqué sur un lien soigné, reconnu le bon nom et le bon ticker, et omis les quelques vérifications élémentaires qui les auraient averties.
La bonne nouvelle, c'est que sur une blockchain publique chaque transaction est consultable, et l'arnaque laisse donc des traces. La mauvaise, c'est que ces traces ne sont utiles que si vous savez quels boutons cliquer sur un explorateur de blocs (un moteur de recherche pour les transactions, les contrats et les soldes de portefeuilles sur une chaîne donnée comme Ethereum, Base ou BNB Smart Chain). Cet article détaille les vérifications exactes, dans l'ordre exact, pour que le réflexe sûr devienne un automatisme plutôt qu'une leçon apprise à vos dépens.
Le schéma d'arnaque auquel vous êtes le plus exposé
Le vecteur de loin le plus courant est l'annonce sponsorisée en haut des résultats de recherche. Vous tapez « PEPE coin » ou « TURBO token » ou tout autre nom tendance dans Google. Le premier résultat, marqué « Annonce », renvoie vers un site au design soigné, avec un logo léché et un bouton « Acheter maintenant ». Ce site vous fournit une adresse de contrat et vous demande de la coller dans Uniswap, PancakeSwap ou un autre échange décentralisé. Tout, de l'URL au whitepaper, n'est que décor. La seule chose réelle est l'adresse du contrat, fraîchement créée par l'escroc.
Plusieurs indices accompagnent ce schéma. Le « site officiel » a souvent été enregistré il y a quelques semaines à peine, ce que vous pouvez vérifier sur who.is. Les réseaux sociaux indiqués renvoient vers des comptes avec peu d'abonnés ou dont le nom diffère du vrai projet par un seul caractère. Parfois, les escrocs usurpent l'identité de l'administrateur du vrai projet sur Telegram ou Discord et envoient des messages privés avec le lien frauduleux. Dans tous les cas, la destination est la même : un jeton dont le déployeur garde le contrôle total sur le contrat.
Une fois que la victime a échangé contre ce contrat, le préjudice prend généralement l'une des trois formes suivantes. La première est le classique « honeypot », un jeton dont le code du contrat intelligent bloque les ventes tout en autorisant les achats : le détenteur voit le prix monter sans jamais pouvoir sortir. La deuxième est un « tax token » qui prélève une taxe de 50 % ou 90 % sur chaque transfert, la majeure partie revenant au portefeuille du déployeur. La troisième est un rug pull lent, où un jeton en apparence normal s'échange pendant plusieurs jours avant que le déployeur ne retire le pool de liquidité en une seule transaction. Un explorateur de blocs révèle chacune de ces mécaniques avant que vous n'engagiez vos fonds, à condition de savoir où regarder.
Ce dont vous avez réellement besoin : un explorateur adapté à la blockchain
Chaque blockchain majeure dispose d'au moins un explorateur de blocs grand public. Sur Ethereum mainnet, c'est Etherscan. Sur Base, le réseau de couche 2 construit par Coinbase, c'est BaseScan. Sur BNB Smart Chain, c'est BscScan. Sur Arbitrum et Optimism, ce sont respectivement Arbiscan et Optimistic Etherscan. Sur Solana, l'outil équivalent est Solscan ou l'explorateur intégré au portefeuille Phantom. Chacun affiche le même ensemble d'informations pour un contrat donné : les transactions, les détenteurs, le code du contrat et un onglet « Read Contract » pour les fonctions publiques intégrées au code.
Collez toujours l'adresse du jeton dans l'explorateur qui correspond à la blockchain sur laquelle vous prévoyez d'échanger. Un véritable contrat Ethereum et une copie frauduleuse sur BNB Smart Chain peuvent partager le même ticker, et les confondre est en soi un moyen de se faire piéger. Si l'explorateur que vous ouvrez ne reconnaît pas l'adresse, c'est un avertissement en soi : le contrat n'a quasiment eu aucune activité organique, et l'adresse qu'on vous a donnée n'est peut-être pas celle que le projet utilise réellement.
Une bonne habitude consiste à mettre en favori les trois ou quatre explorateurs que vous utilisez réellement, plutôt que de cliquer au fil des résultats de recherche. Les moteurs de recherche affichent volontiers des domaines frauduleux au-dessus de la véritable URL d'Etherscan lorsque quelqu'un a acheté le mot-clé. Aller directement à l'adresse évite toute la catégorie d'erreurs liées au « mauvais site ».
Vérification n°1 : le code source est-il vérifié ?
Le bouton le plus important sur la page d'un contrat de jeton est l'onglet contrat. Au-dessus de la zone de code, Etherscan et ses explorateurs frères affichent une petite coche verte étiquetée « Contract » lorsque le bytecode déployé correspond au code source publié. Cette coche est la porte d'entrée pour lire ce que fait réellement le jeton. Sans elle, la zone de code n'affiche qu'un bytecode opaque, ce qui indique que le déployeur a choisi de ne pas publier ce que le contrat fait réellement.
Un contrat non vérifié n'est pas automatiquement une arnaque. De nombreux petits projets n'ont simplement jamais téléversé leur code source. Mais un code source non vérifié combiné à un autre signal d'alerte est décisif. Considérez « non vérifié + faible nombre de détenteurs + réseaux sociaux verrouillés » comme une arnaque, ce qu'elle est presque toujours. À l'inverse, un contrat vérifié vous permet de lire le code Solidity réel et de vérifier que les fonctions se comportent comme le projet le prétend.
Dans le code source, vous devriez rechercher quelques motifs précis. Une fonction nommée par exemple setTax, setFee ou updateTaxRate que seul le déployeur peut appeler signifie que la taxe à la vente peut être augmentée du jour au lendemain. Une fonction qui exclut des adresses des frais, avec le déployeur codé en dur comme portefeuille exclu, signifie que le contrat est conçu pour favoriser le créateur. Une fonction comportant le mot blacklist associée à un mapping nommé isBlacklisted signifie que n'importe quel portefeuille peut être empêché de vendre. Aucune de ces fonctions ne prouve à elle seule une intention malveillante ; de nombreux projets en utilisent une ou deux de manière légitime. C'est la combinaison qui compte.
Vérification n°2 : combien de détenteurs existent réellement
Faites défiler jusqu'à l'onglet « Holders ». Un jeton légitime avec un volume d'échange réel affiche généralement des centaines, souvent des milliers, de portefeuilles distincts. Un faux jeton qui vient d'être lancé en affichera un petit nombre, parfois dominé par un groupe de portefeuilles contrôlés par le déployeur, portant des noms comme « 0x000...dead » ou des adresses séquentielles qui se sont financées les unes les autres depuis la même source. Le seuil exact dépend de l'ancienneté du projet, mais en règle générale, moins de cinquante détenteurs sur un jeton qui prétend être un projet majeur établi constitue un arrêt immédiat.
C'est dans la liste « Top holders » que cela devient intéressant. Etherscan et ses équivalents affichent le pourcentage de l'offre détenu par chaque détenteur. Si les trois ou quatre premiers portefeuilles détiennent ensemble plus de la moitié des jetons, la « capitalisation boursière » affichée sur les trackers est essentiellement fictive. Pire encore, observez si ces principaux portefeuilles sont étiquetés avec un nom public tel que « Uniswap V2: ROI », ce qui indique que les jetons se trouvent dans le pool de liquidité, ou s'il s'agit d'adresses non étiquetées qui se sont financées les unes les autres quelques minutes avant le déploiement du contrat. Une offre concentrée dans des portefeuilles non nommés correspond à la configuration d'une sortie planifiée.
Il y a une suite subtile qui vaut la peine d'être menée sur l'onglet des détenteurs. Cliquez sur quelques portefeuilles et examinez leur historique. Un portefeuille qui a reçu des jetons directement du contrat du déployeur en un seul lot, puis les a acheminés vers le pool de liquidité, est un portefeuille de préparation. Un portefeuille qui a acheté depuis le pool sur Uniswap après que le projet avait déjà du buzz est un acheteur réel. Lorsque presque tous les détenteurs sont du premier type, vous regardez un contrat qui s'est payé lui-même pour créer l'illusion d'une foule.
Vérification n°3 : qui détient le pool de liquidité
Sur Etherscan, vous accédez à l'adresse du contrat du pool de liquidité lui-même, et pas seulement au jeton, puis vous consultez l'onglet « Contract » à cet endroit. Les contrats de paires Uniswap V2 et V3 permettent au créateur du pool, appelé déployeur, de gérer la position de liquidité. Les projets sérieux brûlent soit la propriété du déployeur en envoyant les jetons LP (liquidity provider) à une adresse morte, soit confient les jetons LP à un contrat verrouillé dans le temps qui empêche tout retrait pendant des semaines ou des années. Dans les deux cas, le déployeur ne peut pas retirer le pool en un clic.
Recherchez un commentaire Etherscan ou une note d'audit mentionnant un verrouillage. Des plateformes comme Unicrypt, Team.Finance et PinkSale présentent des schémas reconnaissables : les jetons LP résident dans un contrat nommé d'après le service de verrouillage, et le contrat de verrouillage comporte une fonction appelée « unlock » dont la date de libération est fixée dans le futur. Cliquez sur ce contrat de verrouillage et lisez sa date de déverrouillage. Si le déverrouillage est à plusieurs semaines ou mois, le projet s'est au moins engagé sur une sortie lente. S'il n'y a aucun verrouillage et que le déployeur possède toujours les jetons LP, vous faites confiance à un inconnu pour bien se comporter, ce qui est précisément ce que les escrocs ne font pas.
Même un LP verrouillé n'est pas une garantie. Certains projets verrouillent avec une fenêtre de 24 heures ou 7 jours, puis vident tranquillement le pool dès qu'il se déverrouille, en présentant le résultat comme un « événement de marché naturel ». Examinez la durée du verrouillage et si le déverrouillage déclenche une migration automatique. « Verrouillé » n'a d'importance que si le verrouillage dure plus longtemps que la période de détention prévue, ce qui pour la plupart des utilisateurs devrait se compter en mois, pas en heures.
Vérification quatre : lire les fonctions publiques du contrat
L'onglet « Read Contract » d'Etherscan affiche toutes les fonctions publiques qui ne nécessitent pas l'envoi d'une transaction. Pour un token, les fonctions qui comptent portent généralement un nom du type name, symbol, decimals, totalSupply, balanceOf, allowance, ainsi que les différentes variables liées aux frais. Deux schémas doivent immédiatement attirer votre attention. Le premier est une fonction qui fixe des frais par transfert à une valeur supérieure à quelques pour cent. Tout ce qui dépasse 10 pour cent, surtout lorsque les frais peuvent être modifiés à volonté par le déployeur, désigne un token à taxe. Certains appliquent une taxe d'achat faible et une taxe de vente punitive, c'est pourquoi il vaut la peine de lire les deux sens si le contrat les expose séparément.
Le second schéma est une limite de « transaction maximale » ou de « portefeuille maximal » combinée à une liste blanche d'adresses exemptées. Les projets sérieux utilisent ces limites pour lutter contre les bots, mais ils laissent le portefeuille du déployeur lui-même exempté. Une règle de transaction maximale de 1 pour cent, assortie d'une règle de portefeuille maximal de 1 pour cent et d'une exemption du déployeur, signifie que seul le déployeur peut déplacer des volumes significatifs, et donc que la seule sortie se fait au prix choisi par le déployeur. Lisez le contrat, ne vous contentez pas de parcourir le site marketing.
Si vous n'êtes pas développeur Solidity, concentrez-vous moins sur la compréhension de chaque ligne de code et davantage sur la compréhension des fonctions existantes et sur la question de savoir si le déployeur est le seul à pouvoir les appeler. L'Explorer distingue les fonctions read-only des fonctions d'écriture, et les schémas « onlyOwner » apparaissent dans le code source. Lorsqu'une seule adresse contrôle la plupart des boutons réglables, le token est, dans son esprit, une base de données centralisée, peu importe ce que le marketing prétend en termes de décentralisation.
Conséquences pratiques : la liste de contrôle de soixante secondes avant le décollage
Avant tout swap sur un token que vous n'avez jamais utilisé, exécutez la séquence suivante. Ouvrez l'explorer de la chaîne, collez l'adresse du contrat et arrêtez-vous au premier signal d'alerte. Les vérifications, dans l'ordre, sont : le contrat est vérifié, le nombre de détenteurs se compte au minimum en centaines, les principaux détenteurs ne sont pas dominés par un petit groupe de portefeuilles fraîchement financés, les tokens LP du pool de liquidité sont soit brûlés, soit verrouillés avec un déverrouillage éloigné, et l'onglet Read Contract ne montre ni taxe punitive, ni liste noire de transferts. Cinq vérifications, moins d'une minute, aucun outil particulier requis.
Ajoutez quelques habitudes par-dessus cette liste de contrôle. Récupérez toujours l'adresse du contrat via les réseaux sociaux vérifiés du projet ou via une liste reconnue comme la section « Contracts » de CoinGecko, plutôt que via des annonces sponsorisées. Vérifiez l'adresse caractère par caractère : de nombreuses arnaques misent sur le fait que les premiers et derniers caractères correspondent, avec une chaîne de lettres centrale intervertie. En cas de doute, posez votre question sur le canal Discord officiel du projet dans un message public plutôt que de répondre à un DM. Les imposteurs d'administrateurs arrivent presque toujours par message direct.
Séparez vos portefeuilles selon l'usage. Votre portefeuille « chaud », celui que vous connectez aux dApps (applications décentralisées), ne doit jamais contenir plus que ce que vous êtes prêt à perdre en une seule session. Votre portefeuille « froid », un appareil matériel dont les clés ne touchent jamais un ordinateur connecté à Internet, doit conserver les positions à long terme, et vous ne devriez pas le connecter à un nouveau DEX pour acheter un token mème. Le coût de cette discipline est faible. Le coût de l'oublier est l'intégralité du solde de ce portefeuille.
Si vous avez déjà interagi : revoke.cash et la suite à donner
Les approbations sont le risque sous-estimé. Lorsque vous effectuez un swap sur Uniswap ou toute plateforme similaire, vous accordez au contrat du token la permission de dépenser vos tokens, et cette permission (appelée « allowance ») persiste on-chain tant que vous ne la révoquez pas. Un contrat malveillant peut vider plus tard les tokens approuvés, même si vous ne comptez plus le trader. C'est pourquoi un outil appelé revoke.cash existe. Il affiche toutes les allowances actives détenues par votre portefeuille et vous permet de remettre chacune à zéro moyennant un petit gas fee, coupant ainsi la relation.
Le bon moment pour visiter revoke.cash, c'est maintenant, pas après une perte. Nettoyer les approbations une fois par mois prend une dizaine de minutes et referme la fenêtre par laquelle opèrent la plupart des exploits post-trade. C'est aussi la bonne démarche après un quasi-accident, lorsque vous avez approuvé un contrat de token, reconnu l'arnaque lors des vérifications en lecture seule décrites plus haut, et n'avez en réalité jamais swappé. L'approbation, en soi, reste ouverte, et la révoquer est la clôture responsable.
Associez la révocation à une habitude de rotation. Après tout incident ayant vidé un portefeuille, même une tentative, transférez les actifs restants vers un portefeuille neuf et cessez d'utiliser l'adresse compromise. Traitez un portefeuille comme vous traiteriez une carte de crédit suspectée d'un dispositif de récupération : elle n'est pas sûre à conserver. Les hardware wallets sont peu coûteux comparés aux soldes qu'ils protègent, et migrer tous les quelques ans est un prix modeste pour la tranquillité d'esprit.
Comment suivre les lancements de tokens de manière intelligente
Les lancements de tokens vont vite, et les arnaques qui les entourent aussi. Suivre manuellement chaque nouveau contrat, chaque nombre de détenteurs et chaque verrouillage de liquidité est un combat perdu d'avance, d'autant que le même schéma frauduleux se répète des dizaines de fois par semaine sur chaque grande chaîne. Zippfeed met en avant les titres des lancements de tokens et des airdrops avec une notation de sentiment (bullish, neutral ou bearish) et un score d'importance, pour que vous puissiez distinguer les lancements authentiques des tickers recyclés et ignorer ceux où les signaux d'alerte clignotent déjà.
