Détecter un rug pull DeFi : forensics on-chain et angles morts

Chaque jour de 2026, des dizaines de milliers de tokens naissent sur Ethereum, Solana, Base et BNB Chain. Une fraction d’entre eux aura disparu avant le soir, emportant la liquidité de ceux qui ont acheté trop tard. La vérité inconfortable du rug pull, c’est qu’une fois les fonds partis, ils sont partis : pas d’assurance, pas de rétrofacturation, pas de bouton d’annulation. Les tribunaux, eux, avancent sur des mois quand ils avancent. La seule défense qui fonctionne vraiment n’est donc pas le recours, c’est la prévention : lire la blockchain avant de cliquer sur « acheter ».

Cet article n’est ni une nouvelle anatomie de l’arnaque ni un énième récapitulatif de procès. C’est un guide de terrain sur le forensics on-chain : quels signaux la chaîne révèle avant qu’un projet ne tire le tapis, quels outils savent les repérer, et surtout où ces outils restent aveugles. Parce que la détection a ses angles morts, et que les connaître vaut mieux qu’un faux sentiment de sécurité.

Pourquoi la détection est devenue la seule vraie défense

Commençons par l’ampleur du problème. Aux États-Unis, le rapport annuel 2025 de l’IC3 du FBI recense plus de 11,3 milliards de dollars de pertes liées aux crypto-actifs (près de 10 milliards d’euros) pour 181 565 plaintes, en hausse de 21 % sur un an, avec une perte moyenne déclarée d’environ 62 600 dollars par victime, selon The Block. Ces chiffres mêlent plusieurs fraudes, mais le rug pull en est un moteur structurel.

Le rug pull occupe une place à part parce que le recours y est presque toujours illusoire. Une arnaque memecoin sans émetteur identifiable tombe dans un angle mort réglementaire (nous y revenons plus bas), et même les affaires portées en justice se règlent en années, pas en heures. À la différence d’un vol par compromission de clés privées, où l’exploit est sans ambiguïté, un rug pull se déguise souvent en simple échec de marché, ce qui complique autant l’enquête que l’indemnisation.

S’ajoute la vitesse. Un hard rug tient parfois en une seule transaction : le temps qu’une alerte de prix se déclenche, la sortie est déjà consommée. Le forensics utile est donc essentiellement pré-trade. Comme le résume Asaf Meir, fondateur et CEO de la société de surveillance Solidus Labs, « pouvoir identifier les smart contract scams en temps réel et évaluer les comportements manipulatoires est vital pour la protection des consommateurs et la croissance du secteur » (AccessNewswire). Autrement dit, la détection n’est plus un confort, c’est le pare-feu.

Cette asymétrie est brutale : l’escroc n’a besoin de réussir qu’une fois, tandis que l’acheteur doit avoir raison à chaque transaction. Un fraudeur peut déployer cent tokens, en voir quatre-vingt-dix-neuf ignorés, et se rembourser largement avec le centième qui attire une foule. C’est pourquoi la détection ne vise pas la certitude, mais un objectif plus modeste et plus efficace : faire pencher les probabilités assez fort et assez souvent pour rendre le jeu perdant côté attaquant.

Rug pull, honeypot, exit scam : le vocabulaire minimal

Pour que ce guide se suffise à lui-même, posons le vocabulaire. Un rug pull est une arnaque de sortie où des initiés attirent des acheteurs, puis retirent la liquidité, larguent une réserve cachée ou bloquent la revente, laissant les derniers entrants avec un token qu’ils ne peuvent plus écouler à un prix correct.

• Hard rug : retrait brutal de la liquidité ou émission massive de tokens cachés, avec effondrement instantané du prix.
• Soft rug : abandon progressif, ventes discrètes de l’équipe, promesses non tenues. La mort lente.
• Honeypot : un contrat où l’on peut acheter mais pas vendre. Le graphique monte parce que personne ne peut sortir.

Deux distinctions comptent pour le forensics. D’abord, un rug pull n’est pas un hack : le hack exploite une faille contre le gré de l’équipe, le rug est exécuté par l’équipe elle-même. Ensuite, ce qui définit un rug, c’est l’intention et le contrôle, précisément ce qui est le plus difficile à prouver. Le travail on-chain consiste justement à inférer cette intention à partir de traces observables : qui contrôle quoi, et qui peut faire quoi.

Le problème de mesure : d’où vient le mythe des « 2,8 milliards »

Un chiffre circule partout : « 2,8 milliards de dollars de rug pulls en 2025 », généralement attribué à Chainalysis. Il faut le manier avec prudence. Dans le rapport primaire de Chainalysis sur les arnaques 2026, nous n’avons pas retrouvé de ligne chiffrée spécifique aux rug pulls : la firme comptabilise les fonds envoyés vers des adresses illicites (ce que les opérateurs encaissent), pas la capitalisation détruite. Les chiffres réellement documentés par Chainalysis sont un total d’environ 17 milliards de dollars d’arnaques en 2025 et un paiement moyen passé de 782 à 2 764 dollars.

Le « 2,8 milliards » ressemble surtout à une confusion avec un autre chiffre : la médiane de 2 800 dollars (environ 2 450 euros) par rug pull mesurée par Solidus Labs sur Raydium, rapportée par CoinDesk. Deux ordres de grandeur d’écart, une petite lettre de différence.

Cette nuance n’est pas de la pédanterie : elle change la façon de détecter. Si vous imaginez le rug pull comme un rare évènement à un milliard, vous sous-estimez le tsunami de micro-arnaques. La réalité mesurée par Solidus Labs, c’est que 98,6 % des tokens de Pump.fun finissent en rug pull ou en pump-and-dump, que sur plus de sept millions de tokens émis seuls quelque 97 000 ont un jour dépassé 1 000 dollars de liquidité, et que le plus gros cas identifié pesait environ 1,9 million de dollars. La médiane est minuscule, la queue de distribution est rare et énorme. La détection doit donc être systématique et rapide, token par token, pas guidée par les gros titres. Pour mémoire, les rapports d’incidents comme le Hack3d H1 2026 de CertiK (1,31 milliard de dollars perdus sur 344 incidents, selon GlobeNewswire) comptent les hacks de code, pas les rug pulls : l’écart de mesure entre les deux univers est total.

L’empreinte on-chain d’un rug pull

Un rug pull laisse des traces avant de se produire, parce que la capacité de nuire est inscrite dans le contrat et dans la structure des portefeuilles. Comprendre le fonctionnement d’un pool de liquidité aide à lire ces signaux. Voici les six signatures que la chaîne expose au grand jour.

Aucun de ces signaux n’est une preuve isolée. C’est leur combinaison qui dessine une intention. Un token peut avoir un mint actif pour une raison légitime, ou des porteurs concentrés parce qu’il est jeune ; mais un mint actif, plus un LP non verrouillé, plus des wallets groupés, plus un proxy évolutif, ce n’est plus une coïncidence, c’est une architecture d’arnaque.

Vérifier le verrouillage de la liquidité sans se faire piéger

Le verrouillage de la liquidité (LP lock) est le premier réflexe, et le plus facile à truquer. Un projet sérieux immobilise ses LP tokens dans un contrat à échéance de six à douze mois au minimum, souvent davantage. Un verrouillage de moins de trente jours est un avertissement ; une absence totale de verrouillage est un panneau stop. On vérifie l’échéance et le montant directement sur Etherscan pour un token ERC-20, ou via RugCheck pour un token Solana : on ouvre le contrat de verrouillage, on lit la date de déblocage et la quantité réellement bloquée.

Les pièges sont nombreux. Le verrouillage partiel (bloquer 20 % de la liquidité, garder 80 % retirable) donne l’illusion de la sécurité. Le verrouillage court, calé pile sur la fenêtre de hype, expire juste après le pic. Certains prestataires de lock autorisent un retrait anticipé. Et une fonction migrator ou un proxy évolutif peut déplacer la liquidité après coup, verrou ou pas. Un badge « liquidité verrouillée » affiché sur un site de projet ne vaut rien tant que vous n’avez pas lu le contrat de lock vous-même.

Attention aussi à ne pas confondre un retrait volontaire de liquidité avec une cascade de liquidations forcées : dans le second cas, l’effondrement est réel mais l’intention frauduleuse n’est pas établie. C’est toute l’ambiguïté du dossier Mantra en 2025, où l’équipe a plaidé des liquidations subies plutôt qu’une sortie orchestrée. Le forensics tranche en suivant qui a signé la transaction et vers où sont partis les fonds.

Renoncement à la propriété, mint et rôles fantômes

« Ownership renoncé » figure en tête de toutes les checklists, et c’est aussi l’un des labels les plus trompeurs. Renoncer à l’implémentation tout en conservant l’admin d’un proxy est un faux réconfort : l’équipe peut toujours réécrire la logique. Un contrat non renoncé n’est acceptable que s’il est piloté par un multisig réputé, avec timelock et équipe publique.

Le vrai danger se cache dans les rôles annexes. Beaucoup de contrats séparent des fonctions (operator, feeSetter, controller) hors du rôle Owner. Peuvent-ils mettre les échanges en pause, blacklister des portefeuilles, changer la taxe ou mettre à jour le code sans timelock ? Ces pouvoirs discrets vident de sens l’apparence de décentralisation. GoPlus Security signale précisément ces cas : hidden owner (propriétaire caché malgré un renoncement affiché), balance-modifiable (l’équipe peut modifier votre solde) ou fonction de mint active, comme le détaille sa documentation de classification des risques. Une émission non plafonnée, c’est un rug par dilution qui attend son heure.

Les honeypots : acheter est facile, vendre impossible

Le honeypot est la variante la plus cynique. Le contrat autorise les achats mais empêche les ventes : taxe de vente à 100 %, blacklist déclenchée à la revente, délai de cooldown, ou plafond de transaction qui ne bloque que les sorties. Le graphique paraît idéal, en hausse continue, précisément parce que personne ne peut vendre. Une courbe qui grimpe avec zéro vente enregistrée est une signature en soi.

La parade est la simulation de transaction : des outils comme Honeypot.is ou les API de simulation de GoPlus exécutent un achat puis une vente dans un environnement forké pour prouver que la sortie est possible. Si l’achat passe et que la vente échoue systématiquement, le verdict est sans appel. C’est l’un des rares tests qui donne une réponse binaire et fiable avant d’engager le moindre euro, à condition de le refaire juste avant d’acheter, car une taxe modifiable peut passer de 0 à 100 % en une transaction d’administration.

La signature des portefeuilles : bundlers, sybils et réseaux d’initiés

Au-delà du contrat, ce sont les portefeuilles qui trahissent l’arnaque. Le schéma classique : le déployeur finance une nuée de wallets depuis une source commune, snipe son propre lancement dans un même bloc (le bundling), fabrique un faux volume et de faux détenteurs, puis largue sa position sur les acheteurs organiques. Repérer ces grappes de portefeuilles liés est la spécialité de RugCheck sur Solana, souvent décrit comme le « feu tricolore » de l’écosystème, grâce à sa détection des réseaux d’initiés.

Un signal encore plus prédictif est l’historique du déployeur. Un portefeuille qui a lancé cinquante tokens dont quarante-neuf ont fini en rug pull n’a plus besoin d’analyse de code : son passé parle pour lui. C’est exactement ce que les enquêteurs on-chain, à l’image du très suivi ZachXBT, reconstituent a posteriori en traçant les flux de fonds, et ce que les détecteurs modernes tentent de faire en temps réel. La différence, c’est que la même méthode appliquée avant l’achat vous protège, tandis qu’appliquée après elle ne fait que documenter la perte.

Concrètement, le regroupement de portefeuilles (wallet clustering) s’appuie sur trois indices : une source de financement commune (les wallets sont alimentés par la même adresse ou le même dépôt d’exchange), une synchronisation temporelle (des achats au même bloc ou à la même seconde) et des montants trop réguliers pour être organiques. Pris isolément, chacun est faible ; superposés, ils dessinent une chorégraphie que de vrais acheteurs indépendants ne produisent jamais. C’est cette chorégraphie, plus que le code, qui distingue un lancement piégé d’un lancement simplement risqué.

Les outils de détection en 2026 : ce qu’ils voient, ce qu’ils manquent

Aucun outil ne couvre tout. Chacun excelle sur une dimension et reste aveugle sur d’autres. Le tableau ci-dessous résume le paysage 2026.

La limite est commune à tous : aucun ne prédit un déblocage d’initiés légal et pré-annoncé, aucun ne lit l’intention réelle de l’équipe. Un scan propre est nécessaire, jamais suffisant. La bonne pratique consiste à croiser plusieurs outils : quand GoPlus, RugCheck et Token Sniffer concordent, la confiance monte ; quand ils divergent, il faut creuser. Et pour un token que vous détenez déjà, la détection ne s’arrête pas à l’achat : des services comme De.Fi ou Webacy surveillent votre portefeuille et peuvent alerter sur un retrait de liquidité ou un changement de taxe dès qu’il est signé.

L’IA prédictive entre dans la course

La nouveauté de 2026, c’est l’arrivée de détecteurs prédictifs fondés sur l’apprentissage automatique. ChainAware affirme que son Rug Pull Detector V3 atteint 90,1 % de précision de prédiction, contre environ 68 % pour la version précédente, en combinant deux pipelines : l’analyse comportementale du déployeur (historique, sources de financement, associations de portefeuilles) et l’inspection directe du code du contrat, le tout en moins de deux secondes, d’après le rapport de la société. Sur PancakeSwap V2 (BNB Chain), ChainAware dit avoir mesuré 569 388 384 dollars (environ 500 millions d’euros) extraits via 103 695 évènements de rug pull sur vingt semaines.

Ces chiffres proviennent d’un fournisseur d’outil, il faut donc les lire comme tels. ChainAware reconnaît d’ailleurs que 9,9 % des rug pulls échappent encore à sa détection : ils se concentrent chez les opérateurs sophistiqués qui blanchissent l’historique de leur wallet de déploiement et obscurcissent leur code. La littérature académique sur la détection au niveau du contrat confirme qu’une analyse statique ne capte jamais tout. La prédiction améliore les probabilités, elle ne les garantit pas, et la course est asymétrique : à mesure que les détecteurs apprennent les schémas des déployeurs, les fraudeurs font tourner leurs portefeuilles et maquillent leurs traces.

L’apport clé de cette génération d’outils est de déplacer le curseur de l’analyse statique (que fait le code ?) vers l’analyse comportementale (qui a écrit ce code, et qu’a-t-il fait avant ?). Un contrat peut être propre ligne par ligne tout en étant déployé par une adresse au passé chargé ; à l’inverse, un code au schéma inhabituel peut être parfaitement honnête. En combinant les deux signaux, un détecteur réduit à la fois les faux positifs, qui feraient rater de bons projets, et les faux négatifs, qui laisseraient passer les arnaques, sans jamais atteindre le zéro absolu.

Pourquoi un audit ne protège pas d’un rug pull

Beaucoup d’investisseurs confondent « audité » et « sûr ». Un audit vérifie la correction du code face à un modèle de menace, pas l’intention de l’équipe de tirer le tapis. Un contrat parfaitement audité peut parfaitement conserver une clé propriétaire capable de vider le pool de liquidité : ce n’est pas un bug, c’est une fonctionnalité, et elle sort souvent du périmètre de l’audit. Les limites d’un auditeur comme CertiK tiennent à cela. D’ailleurs, le Hack3d H1 2026 de CertiK ventile 1,31 milliard de dollars de pertes entre compromission de portefeuilles (444,5 millions), phishing (366,3 millions) et vulnérabilités de code (151,6 millions) : le rug pull ne figure même pas dans cette taxonomie de hacks, ce qui souligne à quel point le modèle de menace d’un audit diffère de celui d’une arnaque de sortie.

Ce qui aide réellement, c’est la mise à l’épreuve publique et compétitive. Les concours d’audit et bug bounties révèlent les pouvoirs exploitables qu’un audit classique pourrait valider sans broncher, et augmentent le coût de dissimulation d’une porte dérobée. La leçon pratique : traitez la mention « audité » comme une donnée d’entrée parmi d’autres, jamais comme un feu vert, et vérifiez toujours qui a audité, quand, et ce qui a réellement été couvert.

L’angle mort qu’aucun outil ne couvre : le rug « légal »

Voici la faille que ni RugCheck, ni GoPlus, ni aucun détecteur d’IA ne comblera : le rug pull légal, exécuté au grand jour via un calendrier de déblocage. Une allocation d’initiés ou de fonds de capital-risque, assortie d’un cliff de vesting, se déverse sur les acheteurs de détail le jour du déblocage. Rien n’est illégal, rien n’est caché dans le code, et pourtant l’effet économique est celui d’une sortie lente et méthodique.

L’exemple le plus discuté de 2026 est le déblocage (unlock) du token PUMP à la mi-juillet, un évènement contractuellement prévu qui a libéré une large tranche de tokens d’initiés et d’investisseurs d’un seul coup (CryptoTimes). Aucun scanner de contrat ne lève d’alerte sur un évènement annoncé à l’avance et parfaitement conforme. Ici, la détection ne relève plus de l’outil mais de la culture tokenomics : lire le calendrier de vesting, la part allouée à l’équipe et aux investisseurs, les dates de déblocage. C’est le point où le forensics rejoint l’analyse fondamentale, et où la vigilance de l’acheteur reste irremplaçable.

Quelques repères simples aident à jauger ce risque avant d’entrer. Une allocation d’équipe et d’investisseurs supérieure à la moitié de l’offre, un flottant initial minuscule qui gonfle la valorisation pleinement diluée, ou une falaise de déblocage concentrée sur une seule date sont autant de signaux que la pression vendeuse à venir dépassera la demande organique. Ces informations figurent dans la documentation du projet et sur les agrégateurs de calendriers de vesting ; les ignorer, c’est accepter d’être la sortie de liquidité de quelqu’un d’autre.

Quand la détection échoue : recours, AMF et MiCA

Supposons que tout ait échoué et que vous soyez pris. En France, le recours reste étroit. L’AMF tient une liste noire des acteurs non autorisés en crypto-actifs, à consulter avant d’investir et à alimenter en signalant les arnaques, via son portail de protection de l’épargne. Mais un rug pull memecoin sans émetteur identifiable se loge dans une faille structurelle.

Au niveau européen, le considérant 22 de MiCA exempte les crypto-actifs sans émetteur identifiable des titres les plus exigeants en matière de publication d’informations, même si les prestataires (CASP) qui les servent restent, eux, dans le champ. Depuis la fin de la période transitoire des PSAN français le 1er juillet 2026, exercer sans agrément est un délit pénal (jusqu’à deux ans d’emprisonnement et 30 000 euros d’amende), comme le rappelle l’AMF. Cela discipline les intermédiaires, pas les déployeurs anonymes de tokens.

Le même vide existe outre-Atlantique. La commissaire de la SEC Hester Peirce a estimé qu’« une grande partie des memecoins qui existent n’ont probablement pas leur place à la SEC dans le cadre de nos règles actuelles » (The Block), une lecture reprise par une déclaration du personnel de la SEC en février 2025 (SEC). Sa collègue Caroline Crenshaw a exprimé son désaccord dans un avis dissident, jugeant qu’une telle approche pouvait offrir une feuille de route aux projets cherchant à échapper à la surveillance en se présentant comme des memecoins. Traduction pour l’investisseur : des deux côtés de l’Atlantique, l’angle mort réglementaire est structurel, et il confirme que la détection en amont vaut mieux que tout recours en aval.

À noter que Pump.fun conteste vigoureusement la lecture qui en fait une usine à arnaques. Son porte-parole Troy Gravitt a répliqué au rapport de Solidus Labs que « ce qui manque à Solidus Labs, c’est une compréhension élémentaire des memecoins » (CoinDesk). Le débat sur l’intention reste ouvert ; les traces on-chain, elles, sont vérifiables par tous.

Une méthode de vérification en dix minutes

Rassemblons tout dans une routine reproductible avant chaque achat. Aucune étape ne suffit seule ; c’est la convergence qui décide.

Dix minutes, appliquées avec discipline, éliminent l’écrasante majorité des micro-rugs. Elles ne vous protègeront pas d’un déblocage légal ni d’un opérateur assez sophistiqué pour blanchir son historique, mais elles déplacent radicalement les probabilités en votre faveur. Dans un marché où 98,6 % des lancements d’une plateforme finissent mal, déplacer les probabilités est exactement le but.

Foire aux questions

Comment détecter un rug pull avant d’acheter ?

Vérifiez d’abord le verrouillage de la liquidité (durée et part bloquée), le statut de la propriété du contrat (renoncée ou multisig avec timelock) et l’autorité de mint, puis lancez une simulation d’achat/vente pour écarter un honeypot. Croisez au moins deux outils comme GoPlus et RugCheck et examinez la concentration des portefeuilles ainsi que l’historique du déployeur. Aucune étape ne suffit seule, c’est leur convergence qui compte.

Un token audité peut-il quand même être un rug pull ?

Oui. Un audit vérifie la correction du code face à un modèle de menace, pas l’intention de l’équipe. Un contrat audité peut conserver une clé capable de retirer la liquidité ou de modifier les taxes, un pouvoir qui sort souvent du périmètre de l’audit. Considérez la mention « audité » comme une donnée parmi d’autres, jamais comme une garantie, et regardez qui a audité et ce qui a réellement été couvert.

Le verrouillage de la liquidité garantit-il la sécurité ?

Non. Un verrouillage peut être partiel (seule une fraction de la liquidité est bloquée), court (calé sur la fenêtre de hype) ou contourné par une fonction migrator ou un proxy évolutif. Vérifiez toujours le montant exact bloqué, la date de déblocage et la réputation du prestataire de lock, plutôt que de vous fier à un simple badge « liquidité verrouillée ».

Quelle est la différence entre un rug pull et un honeypot ?

Un rug pull est une arnaque de sortie où les initiés retirent la liquidité ou larguent une réserve cachée. Un honeypot est un cas particulier de piège où le contrat autorise l’achat mais empêche la vente (taxe de 100 %, blacklist à la revente, cooldown). Dans un honeypot, le graphique monte parce que personne ne peut sortir ; une simulation de vente le révèle immédiatement.

Que faire si j’ai été victime d’un rug pull en France ?

Rassemblez toutes les preuves on-chain (adresses, transactions, captures), signalez l’acteur à l’AMF via son portail de protection de l’épargne et déposez plainte auprès de la police ou de la gendarmerie. Le recouvrement reste incertain, surtout pour un token sans émetteur identifiable, mais le signalement alimente les listes noires et les enquêtes. C’est aussi pourquoi la vérification en amont vaut mieux que tout recours.

Par Anneke de Vries, rédactrice chez HOGE Wire, spécialisée dans la sécurité on-chain et les marchés DeFi.