Rug pull en DeFi : anatomie d’une arnaque à plusieurs milliards

Le 1er juillet 2026 marque la fin de la période transitoire du règlement européen MiCA. À compter de cette date, toute plateforme de crypto-actifs servant des clients dans l’Union doit détenir un agrément ou cesser son activité. Pourtant, aucune signature réglementaire n’efface la menace qui vide les portefeuilles des particuliers plus vite que n’importe quel piratage sophistiqué : le rug pull.

Derrière ce terme (littéralement « tirer le tapis ») se cache un scénario devenu banal en finance décentralisée. Une équipe lance un jeton, attire des liquidités à coups de promesses de rendement, puis disparaît avec les fonds. Les cabinets de sécurité chiffrent les pertes de ce seul type d’escroquerie à plusieurs milliards d’euros pour la seule année 2025. Décryptage d’un piège qui frappe autant les débutants que les investisseurs aguerris.

Qu’est-ce qu’un rug pull, et en quoi diffère-t-il d’un piratage ?

Un rug pull est une arnaque à la sortie (exit scam) propre à la DeFi. Les développeurs créent un jeton, l’associent à une paire de trading sur un échange décentralisé (DEX), puis encouragent l’afflux de capitaux grâce à des campagnes sur les réseaux sociaux et des taux de rendement spectaculaires. Une fois la cagnotte suffisamment garnie, ils retirent les liquidités ou vendent en masse leurs jetons, laissant les acheteurs avec des actifs invendables.

La distinction avec un piratage est essentielle. Un hack exploite une faille technique contre la volonté du projet ; un rug pull, lui, est une trahison délibérée organisée par l’équipe elle-même. Il se distingue aussi du simple pump and dump, où des acteurs gonflent artificiellement un cours avant de le lâcher. Dans un rug pull, le contrat intelligent est souvent piégé dès l’origine pour empêcher les victimes de revendre leurs jetons.

On distingue parfois le rug pull « dur » du rug pull « mou ». Le premier repose sur du code malveillant qui bloque les retraits ou détourne les fonds instantanément. Le second est plus insidieux : l’équipe se contente de vendre progressivement ses jetons et d’abandonner le projet, une pratique plus difficile à qualifier juridiquement mais tout aussi ruineuse pour les détenteurs.

Anatomie technique : comment le piège est armé

La plupart des rug pulls reposent sur quelques mécanismes récurrents, inscrits directement dans le code du smart contract. Les comprendre, c’est déjà savoir les repérer.

• Retrait de liquidité : l’équipe garde le contrôle du pool et vide la réserve d’ETH ou de stablecoins, rendant le jeton impossible à échanger.
• Fonction de frappe cachée (hidden mint) : une fonction dissimulée permet de créer des jetons à volonté, puis de les revendre contre les actifs du pool.
• Honeypot : le contrat autorise l’achat mais bloque la revente pour tout le monde, sauf pour les adresses de l’équipe.
• Privilèges de propriétaire : listes blanches, listes noires ou plafonds de vente que seul le déployeur peut activer.
• Contrat évolutif (upgradeable) : un code propre au lancement, validé par un audit, puis modifié après coup pour y glisser une porte dérobée.

Comme le rappelle le guide de sécurité de CoinGecko, un verrouillage de liquidité affiché ne suffit pas : certaines équipes fixent une durée de blocage très courte (7 à 30 jours), attendent l’expiration, puis siphonnent le pool. La plateforme précise également qu’un audit vérifie surtout les bugs, rarement l’intention malveillante dissimulée dans un code par ailleurs impeccable en apparence.

Le bilan chiffré de 2025

Les rug pulls ne sont pas un phénomène marginal. Selon le rapport Hack3d de CertiK, les pertes totales liées à la sécurité Web3 ont atteint environ 3,1 milliards d’euros en 2025, en hausse de 37 % sur un an. De son côté, la plateforme de bug bounty Immunefi a recensé près de 1,6 milliard d’euros de pertes concentrées sur la seule finance décentralisée, un montant qui dépasse déjà le total de l’année 2024.

Un chiffre résume l’ampleur du problème du côté de l’émission des jetons. D’après le rapport de Chainalysis, plus de 74 000 jetons lancés en 2024 présentaient des signes de manipulation de type pump and dump, soit 3,59 % de tous les jetons créés cette année-là. Au premier trimestre 2025, les rug pulls représentaient à eux seuls environ deux tiers des escroqueries crypto recensées, et le réseau Binance Smart Chain concentrait la majorité des cas en raison de ses frais réduits.

Ces montants ne racontent qu’une partie de l’histoire. Beaucoup de petites victimes ne portent jamais plainte, par honte ou par méconnaissance des démarches, si bien que les pertes réelles dépassent probablement les estimations publiées.

Trois affaires qui ont marqué l’année

LIBRA. En février 2025, le jeton LIBRA s’est envolé après un message du président argentin Javier Milei sur les réseaux sociaux, atteignant une capitalisation de plusieurs milliards d’euros avant de s’effondrer de plus de 90 %. Les initiés ont empoché environ 230 millions d’euros. CoinDesk a établi des liens entre l’entourage présidentiel et Hayden Davis, dirigeant de Kelsier Ventures ; l’affaire a viré au scandale d’État en Argentine et alimente toujours une enquête judiciaire.

Mantra (OM). Le 13 avril 2025, le jeton OM s’est écroulé de 90 % en quelques heures, passant d’environ 5,80 euros à 0,45 euro et effaçant plus de 4,6 milliards d’euros de valeur. Selon CoinDesk, dix-sept portefeuilles avaient transféré 43,6 millions d’OM vers des plateformes d’échange juste avant la chute. L’équipe a nié tout rug pull et invoqué des liquidations forcées ; l’épisode illustre la zone grise entre effondrement de marché et sortie orchestrée lorsque l’offre est très concentrée entre quelques mains.

La vague memecoin. Sur les plateformes de lancement express, des jetons éphémères naissent et meurent en quelques heures. Le schéma se répète : une poignée d’adresses détient l’essentiel de l’offre, la liquidité du pool est drainée, et le cours perd 99 % de sa valeur dans la foulée, laissant les derniers acheteurs sans le moindre recours.

Pourquoi la DeFi est un terrain si fertile

Plusieurs caractéristiques de la finance décentralisée facilitent ces arnaques. Déployer un jeton coûte quelques euros et ne demande aucune autorisation préalable. Les frais réduits de certaines chaînes en font de véritables usines à jetons, où créer puis abandonner un contrat ne pèse presque rien. L’anonymat des équipes, la composabilité des protocoles qui s’imbriquent les uns dans les autres et l’engouement pour les memecoins complètent un décor idéal pour les fraudeurs.

La psychologie fait le reste. La peur de rater le train (FOMO), l’appât de rendements à trois chiffres et la viralité des réseaux sociaux poussent à investir avant toute vérification. Le rythme s’est d’ailleurs accéléré : le délai moyen entre le lancement d’un projet frauduleux et sa disparition est tombé à une douzaine de jours, contre près de trois semaines deux ans plus tôt.

Les signaux d’alerte à repérer avant d’investir

Aucun indicateur ne prouve à lui seul une fraude, mais leur accumulation doit alerter. Voici les principaux drapeaux rouges, largement documentés par les outils d’analyse on-chain et les cabinets d’audit.

Un projet légitime peut cocher une ou deux de ces cases sans être frauduleux ; c’est la combinaison des signaux, et surtout l’opacité de l’équipe, qui doit conduire à la plus grande prudence.

Se protéger : outils et réflexes de base

Avant d’engager le moindre euro, quelques vérifications réduisent nettement le risque. Des services comme le Rug Checker de GeckoTerminal analysent automatiquement le statut de la liquidité, les autorités inscrites dans le contrat et l’historique du créateur. Un explorateur de blockchain permet de contrôler la répartition des jetons, tandis qu’un détecteur de honeypot teste si la revente est réellement possible.

• Vérifiez que la liquidité est verrouillée sur une durée crédible, idéalement plusieurs années.
• Fuyez les projets dont une poignée d’adresses détient la majorité de l’offre.
• Lisez les rapports d’audit et méfiez-vous des contrats évolutifs sans justification claire.
• N’investissez jamais sur la seule foi d’un influenceur ou d’une célébrité.
• N’engagez que des sommes que vous pouvez vous permettre de perdre en totalité.

MiCA, l’AMF et la protection des investisseurs français

Depuis ce 1er juillet 2026, le règlement MiCA s’applique pleinement dans les 27 États membres. Les prestataires doivent détenir un agrément pour opérer légalement, et selon CoinDesk, le marché européen pourrait passer de près de 3 000 acteurs enregistrés à seulement 300 ou 400 firmes agréées. Le cadre impose des obligations d’information et la séparation des avoirs des clients, ce qui améliore le recours juridique en cas de défaillance d’un acteur régulé.

La limite est connue, et l’ESMA comme l’AMF la reconnaissent : MiCA encadre les prestataires, pas les protocoles réellement décentralisés. Un rug pull orchestré par une équipe anonyme sur un DEX échappe donc largement au dispositif. En France, l’Autorité des marchés financiers maintient des listes noires de sites non autorisés ; depuis le début de 2025, elle y a ajouté plus de 70 adresses proposant des services sur crypto-actifs. La consultation de la liste blanche des prestataires enregistrés reste, elle, le seul moyen de vérifier qu’une plateforme est soumise à des règles minimales.

Que faire si vous êtes victime ?

Un rug pull laisse rarement une voie de récupération simple, mais quelques démarches restent utiles. Signalez le site à l’AMF et consultez les alertes de l’Assurance Banque Épargne Info Service, le portail public d’information sur les arnaques financières. Conservez toutes les preuves (adresses de transactions, captures d’écran, échanges de messages) et déposez plainte ; la plateforme PHAROS permet de signaler les contenus frauduleux en ligne. Un avocat spécialisé pourra ensuite évaluer les recours, en particulier lorsque des intermédiaires régulés sont impliqués dans la chaîne.

Gardez enfin à l’esprit que la traçabilité de la blockchain joue parfois en faveur des victimes. Les analystes on-chain suivent les flux de fonds, et plusieurs affaires de 2025, dont le dossier LIBRA, ont débouché sur des enquêtes judiciaires grâce à ces données publiques. Le rug pull n’a rien d’une fatalité technologique : c’est une escroquerie ancienne habillée de code, et la vigilance de l’investisseur reste la meilleure des protections.

Par la rédaction de HOGE Wire, cellule enquêtes et sécurité crypto.