Le 1er juillet 2026 marque la fin de la p\u00e9riode transitoire du r\u00e8glement europ\u00e9en MiCA. \u00c0 compter de cette date, toute plateforme de crypto-actifs servant des clients dans l’Union doit d\u00e9tenir un agr\u00e9ment ou cesser son activit\u00e9. Pourtant, aucune signature r\u00e9glementaire n’efface la menace qui vide les portefeuilles des particuliers plus vite que n’importe quel piratage sophistiqu\u00e9 : le rug pull.<\/p>\n
Derri\u00e8re ce terme (litt\u00e9ralement \u00ab tirer le tapis \u00bb) se cache un sc\u00e9nario devenu banal en finance d\u00e9centralis\u00e9e. Une \u00e9quipe lance un jeton, attire des liquidit\u00e9s \u00e0 coups de promesses de rendement, puis dispara\u00eet avec les fonds. Les cabinets de s\u00e9curit\u00e9 chiffrent les pertes de ce seul type d’escroquerie \u00e0 plusieurs milliards d’euros pour la seule ann\u00e9e 2025. D\u00e9cryptage d’un pi\u00e8ge qui frappe autant les d\u00e9butants que les investisseurs aguerris.<\/p>\n
Un rug pull est une arnaque \u00e0 la sortie (exit scam) propre \u00e0 la DeFi. Les d\u00e9veloppeurs cr\u00e9ent un jeton, l’associent \u00e0 une paire de trading sur un \u00e9change d\u00e9centralis\u00e9 (DEX), puis encouragent l’afflux de capitaux gr\u00e2ce \u00e0 des campagnes sur les r\u00e9seaux sociaux et des taux de rendement spectaculaires. Une fois la cagnotte suffisamment garnie, ils retirent les liquidit\u00e9s ou vendent en masse leurs jetons, laissant les acheteurs avec des actifs invendables.<\/p>\n
La distinction avec un piratage est essentielle. Un hack exploite une faille technique contre la volont\u00e9 du projet ; un rug pull, lui, est une trahison d\u00e9lib\u00e9r\u00e9e organis\u00e9e par l’\u00e9quipe elle-m\u00eame. Il se distingue aussi du simple pump and dump, o\u00f9 des acteurs gonflent artificiellement un cours avant de le l\u00e2cher. Dans un rug pull, le contrat intelligent est souvent pi\u00e9g\u00e9 d\u00e8s l’origine pour emp\u00eacher les victimes de revendre leurs jetons.<\/p>\n
On distingue parfois le rug pull \u00ab dur \u00bb du rug pull \u00ab mou \u00bb. Le premier repose sur du code malveillant qui bloque les retraits ou d\u00e9tourne les fonds instantan\u00e9ment. Le second est plus insidieux : l’\u00e9quipe se contente de vendre progressivement ses jetons et d’abandonner le projet, une pratique plus difficile \u00e0 qualifier juridiquement mais tout aussi ruineuse pour les d\u00e9tenteurs.<\/p>\n
La plupart des rug pulls reposent sur quelques m\u00e9canismes r\u00e9currents, inscrits directement dans le code du smart contract. Les comprendre, c’est d\u00e9j\u00e0 savoir les rep\u00e9rer.<\/p>\n
Comme le rappelle le guide de s\u00e9curit\u00e9 de CoinGecko<\/a>, un verrouillage de liquidit\u00e9 affich\u00e9 ne suffit pas : certaines \u00e9quipes fixent une dur\u00e9e de blocage tr\u00e8s courte (7 \u00e0 30 jours), attendent l’expiration, puis siphonnent le pool. La plateforme pr\u00e9cise \u00e9galement qu’un audit v\u00e9rifie surtout les bugs, rarement l’intention malveillante dissimul\u00e9e dans un code par ailleurs impeccable en apparence.<\/p>\n Les rug pulls ne sont pas un ph\u00e9nom\u00e8ne marginal. Selon le rapport Hack3d de CertiK<\/a>, les pertes totales li\u00e9es \u00e0 la s\u00e9curit\u00e9 Web3 ont atteint environ 3,1 milliards d’euros en 2025, en hausse de 37 % sur un an. De son c\u00f4t\u00e9, la plateforme de bug bounty Immunefi<\/a> a recens\u00e9 pr\u00e8s de 1,6 milliard d’euros de pertes concentr\u00e9es sur la seule finance d\u00e9centralis\u00e9e, un montant qui d\u00e9passe d\u00e9j\u00e0 le total de l’ann\u00e9e 2024.<\/p>\nLe bilan chiffr\u00e9 de 2025<\/h2>\n