Rug pull DeFi : peut-on récupérer ses cryptos en 2026 ?

Le canal Discord se fige d’un coup. En un seul bloc, la réserve de liquidité se vide. Le graphique du jeton tombe à la verticale vers zéro, le site du projet renvoie une erreur, puis le compte X s’efface comme s’il n’avait jamais existé. Pour la victime d’un rug pull, la sidération dure quelques secondes ; ensuite vient la seule question qui compte vraiment : est-il possible de récupérer son argent ?

Les précédents volets de notre série sur les rug pulls ont disséqué l’anatomie de ces arnaques, le procès qui secoue Pump.fun et les techniques de forensics on-chain permettant de les repérer avant d’y laisser des fonds. Ce quatrième volet prend le problème par l’autre bout, celui de l’après : une fois le tapis tiré, que peut-on réellement espérer récupérer, par quels leviers, et en combien de temps ? La réponse, en 2026, tient en trois constats. La récupération reste rare. Les mathématiques sont brutales. Mais elle n’est pas nulle.

Trois leviers fonctionnent parfois : le gel des stablecoins par leurs émetteurs, les points de sortie centralisés où les escrocs doivent convertir en euros, et le forensics on-chain adossé à une saisie judiciaire. Tous dépendent d’une même variable, la vitesse. Et le plus grand danger, une fois le rug pull consommé, n’est pas le rug pull lui-même : c’est la seconde arnaque, celle du faux recouvrement, qui cible méthodiquement les victimes désespérées.

Le matin d’après : ce que la victime découvre vraiment

Un rug pull n’est pas un piratage au sens classique. Dans un hack, un attaquant exploite une faille pour dérober des fonds qu’il ne contrôlait pas. Dans un rug pull, ce sont les créateurs eux-mêmes qui retirent la valeur qu’ils avaient attirée, en toute connaissance de cause. On distingue le rug pull « dur » (retrait brutal de la liquidité en une transaction, ou fonction cachée empêchant la revente, le fameux honeypot) du rug pull « mou » (les initiés écoulent progressivement leurs jetons jusqu’à l’effondrement), et de la variante la plus insidieuse : le déverrouillage d’initiés préannoncé, parfaitement légal, qui agit comme un rug pull au ralenti.

Quelle que soit la forme, la victime se heurte au même mur : la DeFi est non-custodiale. Il n’y a pas de banque à appeler, pas d’intermédiaire pour geler l’opération, pas de bouton « annuler ». Sur une blockchain publique, une transaction confirmée est définitive par conception. Cette irréversibilité, qui fait la résistance à la censure de Bitcoin et d’Ethereum, est exactement ce qui rend la récupération si difficile. La mécanique de la vidange, elle, tient à la structure même des pools de liquidité : quand assez de capitaux de particuliers s’y accumulent, il suffit d’une transaction pour tout retirer et effondrer le prix, un rappel utile de la manière dont le volume et la liquidité fixent la cotation d’un actif.

L’échelle du phénomène donne le vertige. Selon un rapport de Solidus Labs relayé par CoinDesk, 98,6 % des jetons lancés sur Pump.fun ont fini en rug pull ou en pump-and-dump. Le jeton natif de la plateforme, PUMP, pèse encore près de 1,38 milliard d’euros de capitalisation (environ 1,6 milliard de dollars) d’après CoinGecko, preuve que l’usine à jetons prospère pendant que l’immense majorité de sa production s’effondre.

La vraie arithmétique du remboursement

Avant d’espérer récupérer un euro, il faut regarder les ordres de grandeur en face. La comparaison la plus parlante oppose deux chiffres. D’un côté, l’ensemble des cryptos saisies ou gelées avec l’aide de la société d’analyse Chainalysis atteint environ 29 milliards d’euros (34 milliards de dollars) depuis toujours, tous types de criminalité confondus, selon Chainalysis. De l’autre, les sommes escroquées en crypto sur la seule année 2025 s’élèvent à près de 14,7 milliards d’euros (17 milliards de dollars), toujours selon Chainalysis. Autrement dit, ce qui a été récupéré en une décennie entière équivaut à peine à deux années de pertes.

Second choc arithmétique : la plupart des rug pulls sont minuscules. Solidus Labs a mesuré une valeur médiane d’environ 2 400 euros (2 800 dollars) par arnaque. La légende urbaine des « 2,8 milliards de dollars de rug pulls » qui circule dans les fermes à contenu SEO est très probablement une déformation de cette médiane de 2 800 dollars. Cette précision change tout sur le plan de la récupération : à 2 400 euros de préjudice, aucune procédure d’avocat, aucune expertise forensic et aucune saisie internationale ne sont économiquement justifiables. Le dommage réel vient du volume (des millions de petites arnaques) et de la poignée de méga-rugs. Ce sont ces derniers, et eux seuls, qui déclenchent une véritable mécanique de récupération.

Pourquoi la DeFi est le pire terrain pour récupérer ses fonds

Dans la finance traditionnelle, plusieurs filets existent. Un paiement par carte peut faire l’objet d’une rétrofacturation (chargeback). Un virement SEPA dispose d’une courte fenêtre de rappel. Une banque peut geler un compte sur injonction. La DeFi supprime tous ces filets d’un coup, et c’est précisément son argument de vente : pas d’intermédiaire, pas de permission, pas de censure. La contrepartie est cruelle. Une fois vos jetons envoyés à un contrat malveillant ou vendus dans un pool vidé, aucune autorité n’a le pouvoir technique d’inverser l’opération. Le code a fait ce qu’on lui a demandé.

Trois propriétés aggravent encore le problème. La conservation par soi-même (self-custody) signifie que personne d’autre que vous ne détenait vos clés, donc personne ne peut agir en votre nom. Les ponts inter-chaînes permettent aux escrocs d’éclater les fonds sur plusieurs blockchains en quelques minutes, multipliant les juridictions et les analyses nécessaires. Enfin, les mixeurs comme Tornado Cash brisent le lien entre l’adresse d’entrée et l’adresse de sortie, mettant fin à la piste on-chain. Ce cocktail explique pourquoi la DeFi, y compris ses coffres de rendement et ses marchés de prêt, reste un terrain à haut risque ; nous avons détaillé ces frontières mouvantes dans notre dossier sur le crédit DeFi sans collatéral.

Premier levier : geler les stablecoins

C’est, de loin, le levier de récupération le plus efficace en 2026, et il repose sur un paradoxe. Les jetons que la culture crypto adore détester, les stablecoins centralisés, sont souvent la seule raison pour laquelle une victime récupère quoi que ce soit. Un émetteur de stablecoin peut inscrire une adresse sur liste noire et geler le solde correspondant, une opération impossible pour un jeton réellement décentralisé.

Les chiffres de Tether illustrent l’ampleur du dispositif. Le 23 avril 2026, l’émetteur de l’USDT a annoncé le gel de près de 300 millions d’euros (344 millions de dollars) sur deux adresses, en coordination avec l’OFAC et les autorités américaines. Au total, Tether revendique plus de 3,8 milliards d’euros (4,4 milliards de dollars) de fonds gelés, plus de 2 300 dossiers, et une coopération avec plus de 340 agences dans 65 pays, selon son propre communiqué. Son PDG, Paolo Ardoino, le formule sans détour : « USDT is not a safe haven for illicit activity. When credible links to sanctioned entities or criminal networks are identified, we act immediately and decisively. »

Circle, l’émetteur de l’USDC, dispose du même pouvoir de gel mais l’exerce de façon plus mesurée, en général uniquement lorsque la loi l’y contraint ou sur réquisition des forces de l’ordre, ce qui lui a valu des critiques pour sa lenteur relative face à certains exploits de 2026. La leçon pratique pour la victime est claire : si vos fonds volés se trouvent encore sous forme de stablecoin, la fenêtre de récupération existe, mais elle se referme dès que l’escroc les convertit en un actif non gelable. Là encore, tout est affaire de rapidité de signalement.

Deuxième levier : les points de sortie centralisés

Un rug pull ne rapporte rien tant que le butin reste sous forme de jetons volatils. Tôt ou tard, l’escroc veut de l’argent utilisable : euros, dollars, immobilier, voitures. Or, pour convertir de la crypto en monnaie fiduciaire à grande échelle, il faut presque toujours passer par une plateforme centralisée soumise au KYC (vérification d’identité). Ces plateformes constituent des goulots d’étranglement où les forces de l’ordre peuvent demander le gel d’un compte, à condition d’arriver avant l’encaissement.

C’est là que le suivi de la chaîne prend tout son sens. L’opération Spincaster, coordonnée par Chainalysis et plusieurs polices, a généré plus de 7 000 pistes d’enquête liées à environ 140 millions d’euros (162 millions de dollars) de pertes dans six pays. Un gel de type pig butchering, mené avec Tether et la plateforme OKX, a permis d’immobiliser quelque 194 millions d’euros (225 millions de dollars). Ces succès partagent un point commun : ils frappent au moment où les fonds touchent un intermédiaire identifiable. Les opérateurs les plus sophistiqués le savent et privilégient les plateformes sans KYC, le pair-à-pair et les mixeurs, précisément pour éviter ces goulots. Suivre la trajectoire d’un portefeuille suspect relève de la même discipline que pister les grandes baleines et les portefeuilles dormants : la donnée est publique, mais l’interprétation demande du métier.

Troisième levier : le forensics on-chain et la saisie judiciaire

Le forensics on-chain est la brique qui rend les deux premiers leviers utilisables. En traçant les flux d’un contrat malveillant vers les portefeuilles de destination, les enquêteurs fournissent aux émetteurs de stablecoins et aux plateformes les adresses précises à geler, et au juge les éléments d’une saisie. Chainalysis évoque aussi les quelque 198 000 bitcoins aujourd’hui sous la garde du gouvernement américain, dont une partie a été récupérée avec son concours.

Il faut toutefois comprendre les limites structurelles de cette discipline. Le forensics établit remarquablement bien le « quoi » et le « comment » : quels fonds ont bougé, vers quelles adresses, à quelle heure. Il établit beaucoup plus difficilement le « qui », et il ne restitue jamais les fonds par lui-même. Il ne fait que produire la preuve ; il faut ensuite une décision de justice et un dépositaire (émetteur, plateforme, ou wallet identifié) disposé à agir. Et surtout, la piste s’arrête net dès qu’elle plonge dans un mixeur. C’est la différence entre un dossier de fraude ordinaire, où l’on suit l’argent jusqu’à la manipulation de prix (comme dans le bilan d’août dressé par CertiK), et un rug pull bien exécuté, où l’argent s’évapore dans le brouillard cryptographique.

Étude de cas : Hypervault, quand la piste s’arrête dans le mixeur

Hypervault illustre parfaitement le scénario modal d’un rug pull DeFi compétent. Ce projet de coffre de rendement bâti sur HyperEVM a vu environ 3,1 millions d’euros (3,6 millions de dollars) sortir en flux anormaux vers le 26 septembre 2025, selon The Block. Les fonds ont été pontés de HyperEVM vers Ethereum, puis environ 752 ETH ont été poussés à travers Tornado Cash. Dans la foulée, le site est passé hors ligne et le compte X a été supprimé. La société de sécurité PeckShield a signalé l’incident, mais son alerte n’a pu identifier aucun portefeuille au-delà du dépôt dans le mixeur.

La leçon pour la récupération est sans appel. Tant que les fonds circulaient sur HyperEVM puis Ethereum, une action rapide restait concevable. À l’instant où ils sont entrés dans Tornado Cash, la trace forensic s’est effectivement interrompue et les chances de récupération se sont effondrées vers zéro. Aucun émetteur ne pouvait geler des ETH natifs, aucun juge ne pouvait saisir des fonds devenus intraçables. C’est le résultat le plus fréquent pour un rug pull mené par des opérateurs qui connaissent leur affaire : la vitesse de blanchiment dépasse la vitesse de réaction des victimes et des enquêteurs.

Étude de cas : LIBRA, le rug présidentiel et les limites du droit

À l’autre extrémité du spectre, le méga-rug attire toute l’attention du monde et, pourtant, ne rembourse presque personne. Le 14 février 2025, un message du président argentin Javier Milei sur X propulse le jeton LIBRA de plus de 2 000 % en une quarantaine de minutes, jusqu’à une capitalisation de pointe d’environ 3,8 milliards d’euros (4,4 milliards de dollars). Les initiés empochent près de 75 millions d’euros (87 millions de dollars) dès le premier jour, avant l’effondrement, selon CoinDesk. Des enquêtes pénales se sont ouvertes en Argentine, aux États-Unis et en Espagne, et de nouveaux éléments issus des relevés téléphoniques du président ont relancé le dossier en 2026.

Malgré une visibilité maximale, des suspects nommés et des procédures multi-juridictionnelles, l’essentiel de l’argent des victimes n’est pas revenu. La célébrité accélère l’enquête, elle n’inverse pas les transferts. Une partie de la difficulté est proprement juridique : de nombreux memecoins échappent aux catégories réglementaires existantes. La commissaire de la SEC Hester Peirce l’a reconnu publiquement, comme le rapporte The Block : « Many of the memecoins that are out there probably do not have a home in the SEC under our current set of regulations. » Quand un actif n’a pas de foyer réglementaire clair, le chemin pour contraindre un remboursement se complique d’autant.

Négocier avec l’attaquant : le pari de la dernière chance

Quand le code et les tribunaux échouent, il reste parfois une option contre-intuitive : parler à l’attaquant. Dans la DeFi, de plus en plus de protocoles proposent, au lendemain d’un exploit, une « prime au chapeau blanc » (white-hat bounty). Le marché est simple : l’auteur conserve une part des fonds, souvent 10 %, restitue le reste et se voit promettre l’abandon des poursuites. La négociation se déroule fréquemment sur la chaîne elle-même, via les données inscrites dans les transactions, à la vue de tous. Ce mécanisme fonctionne bien mieux pour les piratages de protocoles que pour les rug pulls purs, où l’équipe est l’escroc et n’a aucune raison de rendre ce qu’elle a organisé de longue main.

Les enquêteurs on-chain jouent ici un rôle singulier. Des pseudonymes réputés comme ZachXBT publient l’analyse des portefeuilles impliqués et remontent les liens entre adresses, augmentant le coût réputationnel et juridique de la fuite. Cette pression publique a déjà poussé certains attaquants à négocier un retour partiel plutôt qu’à risquer une identification complète. Mais l’efficacité du levier dépend entièrement de la traçabilité : un attaquant dont les fonds restent visibles et qui redoute une inculpation peut être amené à la table ; un rug pull de memecoin anonyme dont le butin a déjà traversé un mixeur n’a, lui, aucune incitation à discuter.

La négociation appartient donc à la boîte à outils, mais tout en bas. Elle sauve surtout les victimes de projets à demi légitimes, pris entre l’exploit et l’abandon, rarement celles d’une arnaque conçue dès le premier jour pour disparaître. Comme les leviers précédents, elle récompense la vitesse et la visibilité, et s’effondre dès que l’anonymat et le blanchiment prennent le dessus.

La première heure : le triage qui fait la différence

Si un seul message doit rester de cet article, c’est celui-ci : la récupération se joue dans les premières heures, pas dans les semaines qui suivent. Chaque minute laisse à l’escroc le temps de fragmenter, de ponter et de blanchir. Le triage ci-dessous ne garantit rien, mais il maximise la fenêtre où un gel ou une saisie reste possible, et il évite les erreurs qui aggravent la perte.

La première étape est la plus négligée. Après un rug pull, un contrat malveillant conserve souvent une autorisation de dépense (token approval) sur votre portefeuille, qui lui permet de vider vos autres jetons plus tard. Révoquer ces autorisations avant de faire quoi que ce soit d’autre coupe cette voie d’attaque résiduelle.

Vos recours en France : plainte, THESEE et saisie conservatoire

Le cadre français offre plusieurs portes d’entrée, complémentaires plutôt que concurrentes. La voie pénale commence par un dépôt de plainte au commissariat ou à la gendarmerie, ou en ligne via la plateforme THESEE (traitement harmonisé des enquêtes et signalements pour les e-escroqueries), pensée pour les fraudes commises sur internet. Les dossiers les plus lourds relèvent du parquet et des unités spécialisées en cybercriminalité. La rapidité prime : plus tôt une réquisition atteint une plateforme ou un émetteur de stablecoin, plus la probabilité d’un gel augmente.

La voie civile, souvent oubliée, vise non pas l’escroc (introuvable) mais les intermédiaires qui ont manqué à leur devoir de vigilance : une banque qui a laissé passer des virements manifestement suspects, ou un prestataire de services sur actifs numériques (PSAN) négligent. Une saisie conservatoire, demandée en référé, peut immobiliser rapidement des fonds identifiés avant qu’ils ne disparaissent. Côté prévention et signalement, l’Autorité des marchés financiers (AMF) tient une liste noire des acteurs crypto non autorisés, régulièrement enrichie, doublée du dispositif I-SCAN qui recense les acteurs signalés par d’autres régulateurs dans le monde. Vérifier qu’un prestataire figure sur la liste blanche des PSAN, et non sur la liste noire, reste le geste de prévention le plus rentable.

Deux réflexes renforcent ces démarches. D’abord, se regrouper : face à un même projet, une plainte collective portée par plusieurs victimes pèse plus lourd qu’un dossier isolé, et les associations d’aide aux victimes peuvent orienter vers un avocat spécialisé. Ensuite, conserver méticuleusement chaque preuve numérique, car un dossier pénal solide repose sur des hachages de transaction, des captures horodatées et la chronologie exacte des versements, autant d’éléments qu’un juge comme une plateforme exigeront avant d’ordonner ou d’exécuter un gel.

Il faut toutefois garder une attente réaliste : l’AMF supervise, avertit et référence, mais elle ne récupère pas les fonds. Seule une décision de justice, adossée à un dépositaire capable d’agir, peut restituer de l’argent. Ce partage des rôles est au cœur de la seconde arnaque décrite plus bas.

Le second rug : l’arnaque au faux recouvrement

Voici le piège le plus cruel de tout le cycle. Une fois inscrite sur des listes de victimes qui s’échangent dans les milieux frauduleux, la personne déjà escroquée devient une cible de choix pour une seconde attaque. Des interlocuteurs se présentent comme des avocats, des « brigades blockchain », des agents du FBI ou des représentants de l’AMF, et promettent de récupérer les fonds perdus, moyennant des frais d’avance ou une « taxe de déblocage ». C’est ce que les régulateurs appellent l’arnaque au faux recouvrement (recovery room scam).

L’AMF est catégorique. Selon son avertissement officiel, l’autorité n’a aucun pouvoir pour récupérer ou restituer les fonds perdus par les investisseurs, elle ne demande jamais d’argent aux consommateurs, et elle ne contacte jamais spontanément les investisseurs pour récupérer des fonds ou proposer une indemnisation. Elle précise que ces escrocs falsifient les numéros de téléphone (phone spoofing) pour paraître légitimes et invoquent parfois une prétendue récupération « via la Blockchain ».

Aux États-Unis, le FBI dresse le même constat avec des chiffres. Son centre de plaintes IC3 a émis en juin 2024 une alerte sur de faux cabinets d’avocats ciblant les victimes de crypto, responsables de plus de 8,5 millions d’euros (9,9 millions de dollars) de pertes secondaires entre février 2023 et février 2024, rappelant que « Law enforcement does not charge victims a fee for investigating crimes » (IC3). En juillet 2026, l’IC3 a récidivé en avertissant que des escrocs se font désormais passer pour l’IC3 lui-même, à l’aide de vidéos deepfake générées par IA, et martèle : « IC3 will never directly communicate with individuals via phone, email, social media, phone apps, online chat, or public forums » et « IC3 does not maintain a social media presence » (IC3). Les signaux d’alerte d’un faux recouvrement sont constants :

• on vous contacte spontanément après votre perte, souvent par téléphone, Telegram ou messagerie privée ;
• l’interlocuteur se présente comme mandaté par l’AMF, le FBI, une « brigade blockchain » ou un cabinet d’avocats ;
• on exige des frais d’avance, une « taxe de déblocage » ou des impôts à régler avant tout versement ;
• on affiche un numéro qui semble officiel, obtenu par usurpation (phone spoofing) ;
• on promet un remboursement rapide et quasi certain, ce qu’aucune autorité légitime ne fait jamais.

Ce qui sépare une perte partielle d’une perte totale

En croisant tous ces leviers, on peut identifier les quelques variables qui décident du sort d’une victime. La vitesse d’abord : un signalement dans l’heure ouvre une fenêtre de gel qu’un signalement après trois jours a déjà refermée. La nature des fonds ensuite : de l’USDT ou de l’USDC volé reste gelable, un actif natif passé au mixeur ne l’est plus. Le trajet du butin compte aussi : s’il touche une plateforme à KYC avant un mixeur, il existe un point de saisie ; dans l’ordre inverse, la piste meurt. Enfin, l’existence d’un émetteur identifiable pèse lourd : un jeton avec une équipe nommée offre une cible juridique qu’un contrat anonyme n’offre pas.

Ces variables ne sont pas indépendantes, elles se cumulent. Le pire scénario, celui de la perte totale, combine un jeton anonyme, un butin immédiatement converti en actif non gelable, un passage éclair par un mixeur et une victime qui ne réagit que plusieurs jours plus tard. Le meilleur scénario, une récupération partielle, suppose l’inverse : des fonds restés en stablecoin, un signalement dans l’heure et un escroc assez négligent pour toucher une plateforme à KYC avant de brouiller la piste. Entre ces deux extrêmes se joue toute la statistique du remboursement, et c’est pourquoi la préparation compte autant que la réaction.

Le cadre européen dessine, en creux, la même frontière. Le règlement MiCA impose des obligations de transparence aux émetteurs et encadre les prestataires (CASP), mais son considérant 22 exempte des titres les plus exigeants les crypto-actifs pleinement décentralisés, sans émetteur identifiable. C’est exactement l’angle mort dans lequel prospèrent les rugs de memecoins. En France, la période transitoire du régime PSAN vers l’agrément CASP de MiCA s’est achevée le 1er juillet 2026 ; exercer sans autorisation constitue désormais un délit, passible de deux ans d’emprisonnement et de 30 000 euros d’amende, comme le rappelle l’AMF. Ce durcissement vise les intermédiaires visibles, pas les fantômes qui tirent le tapis, ce qui explique pourquoi la récupération restera structurellement plafonnée.

Cette logique rejoint celle des attaques de gouvernance, où des fonds peuvent être drainés en détournant un vote plutôt qu’en vidant un pool : la valeur disparaît par une voie que le protocole avait lui-même autorisée, comme nous l’avons montré dans l’affaire Term Finance et son timelock déjoué. Dans tous les cas, plus le mécanisme de sortie est « légitime » sur le plan technique, plus la restitution devient improbable.

Les voies de récupération, classées du plus au moins réaliste

Pour finir, voici une hiérarchie honnête des chemins de récupération, du moins improbable au franchement dangereux. Aucun n’est un billet gagnant ; ensemble, ils dessinent la réalité de 2026, où une minorité de victimes récupèrent une fraction de leurs fonds et où la majorité doit faire le deuil de la totalité.

La conclusion n’est pas de renoncer à agir, mais d’agir vite et lucidement. Signaler dans l’heure, documenter, viser les goulots gelables, déposer plainte, et surtout ne jamais payer quiconque promet de récupérer vos fonds contre une avance. Dans un système conçu pour l’irréversibilité, la meilleure récupération reste celle que l’on n’a jamais eu à tenter : la vérification en amont, avant d’envoyer le premier euro.

Foire aux questions

Peut-on vraiment récupérer ses cryptos après un rug pull ?

Oui, mais rarement et jamais de façon garantie. La récupération dépend surtout de la vitesse de réaction et du fait que les fonds transitent encore par un point que quelqu’un peut geler, comme un émetteur de stablecoin ou une plateforme à KYC. Dès que l’argent passe par un mixeur tel que Tornado Cash, les chances s’effondrent vers zéro.

Comment faire geler des fonds volés en stablecoins ?

Vous ne pouvez pas geler vous-même. Ce sont les émetteurs, Tether pour l’USDT et Circle pour l’USDC, qui ont le pouvoir de blacklister une adresse, en général sur réquisition des forces de l’ordre ou d’une autorité. D’où l’importance de déposer plainte très vite et de fournir les adresses précises des contrats et portefeuilles concernés.

Où porter plainte en France après une arnaque crypto ?

Au commissariat ou à la gendarmerie, en ligne via la plateforme THESEE pour une e-escroquerie, ou directement auprès du parquet. Vous pouvez aussi signaler l’acteur à l’AMF, qui tient une liste noire des prestataires non autorisés, et envisager une action civile contre un intermédiaire négligent comme une banque ou un PSAN.

Les sociétés qui promettent de récupérer mes fonds sont-elles fiables ?

Presque jamais. L’AMF rappelle qu’elle n’a aucun pouvoir de récupérer des fonds et ne demande jamais d’argent. Tout interlocuteur qui vous contacte spontanément et réclame des frais d’avance pour débloquer vos cryptos est très probablement une seconde arnaque, celle du faux recouvrement, un phénomène documenté aussi bien par l’AMF que par le FBI.

Combien de temps ai-je pour agir après un rug pull ?

Les premières heures sont décisives. Révoquez les autorisations du contrat, documentez tout, signalez les adresses aux plateformes et aux émetteurs de stablecoins, puis déposez plainte sans attendre. Plus le temps passe, plus les fonds sont fragmentés, pontés entre chaînes et blanchis, et plus la récupération devient illusoire.

Par Anneke de Vries, rédactrice sécurité et exploits chez HOGE Wire.