Rug pull crypto : reconnaître et éviter l'arnaque à la liquidité (2026)

Le prix monte en flèche. Le Discord est en feu. Les influenceurs postent des captures d'écran de profits. Puis, en quelques secondes, le graphique s'effondre à zéro. Les créateurs ont disparu avec la caisse. C'est un rug pull — l'une des arnaques les plus dévastatrices de l'écosystème crypto, et l'une des plus faciles à anticiper quand tu sais quoi regarder.

Ce guide t'explique exactement comment ça fonctionne, les signaux d'alerte concrets, et les vérifications à faire avant de toucher à un token inconnu.

Ce qu'est vraiment un rug pull

Un rug pull (littéralement "tirer le tapis") désigne la manœuvre par laquelle l'équipe d'un projet retire la valeur accumulée et disparaît, laissant les acheteurs avec un token sans valeur réelle.

Le mécanisme de base : des créateurs lancent un token sur un DEX (exchange décentralisé, plateforme d'échange sans intermédiaire comme Uniswap ou PancakeSwap). Ils créent un pool de liquidité (LP — Liquidity Pool : réserve de fonds permettant aux utilisateurs d'acheter et vendre le token). Ils font monter le prix par du marketing agressif. Puis ils exécutent leur sortie.

Ce n'est pas un seul mécanisme. Il en existe trois variantes principales, et chacune fonctionne différemment.

Hard rug : la sortie brutale

Le hard rug est le type le plus violent. L'équipe agit en quelques minutes, parfois en quelques secondes. Il prend trois formes :

1. Retrait de liquidité : les créateurs retirent d'un coup la totalité des fonds du pool de liquidité. Sans liquidité, personne ne peut vendre. Le prix s'effondre à zéro. Le token existe encore techniquement, mais il ne vaut plus rien.

2. Fonction mint cachée : le smart contract (contrat auto-exécutable enregistré sur la blockchain) contient une fonction mint (création de nouveaux tokens) que seuls les créateurs peuvent activer. Ils créent des millions de tokens supplémentaires en secret, diluent le supply à l'extrême, et vendent massivement. Le prix s'effondre.

3. Honeypot : le contrat est programmé pour empêcher techniquement la revente. Tu peux acheter le token, mais jamais le revendre. L'équipe est la seule à pouvoir vendre. Tu ne t'en rends compte qu'au moment où tu essaies de sortir — et tu ne peux pas.

Soft rug : l'abandon progressif

Le soft rug est plus difficile à détecter car il ressemble à un projet qui échoue normalement. L'équipe continue d'exister, mais :

• Elle cesse de livrer les fonctionnalités promises dans la roadmap
• Elle dump (vend massivement) ses propres tokens en plusieurs fois
• Elle devient progressivement absente sur les réseaux sociaux
• Le projet meurt lentement pendant que les fondateurs encaissent

La distinction avec un simple échec de projet est parfois floue. La clé est dans l'intention et dans le profil de vente des wallets fondateurs.

Deux exemples réels qui font froid dans le dos

SQUID : le honeypot qui a fait le tour du monde

Le token SQUID, lancé en octobre 2021 sur une vague de popularité liée à la série Squid Game, est l'exemple le plus médiatisé d'un honeypot à grande échelle.

Le contrat était conçu pour bloquer toute revente par les détenteurs ordinaires. Seuls les créateurs pouvaient vendre. Pendant des jours, le prix a grimpé de façon spectaculaire — ce qui était mécaniquement possible puisque personne d'autre ne pouvait vendre pour faire baisser le cours.

Le 1er novembre 2021, les créateurs ont drainé environ 3,38 millions de dollars du pool de liquidité. Le prix s'est effondré de près de 2 861 dollars à quasi zéro en quelques minutes. Des milliers d'acheteurs n'ont jamais pu récupérer un centime. (Sources : CBS News, Washington Post, Euronews.)

AnubisDAO : 60 millions en 20 heures

AnubisDAO a été lancé le 28 octobre 2021. Le projet a levé environ 13 556 ETH — soit l'équivalent d'environ 60 millions de dollars à l'époque — en quelques heures, surfant sur la popularité du modèle OHM fork (protocoles de trésorerie décentralisée).

Vingt heures après le lancement, la totalité des fonds a été déplacée hors du contrat vers des adresses inconnues. Les fonds n'ont jamais été récupérés. (Sources : Decrypt, Cointelegraph.)

Les red flags : ce que tu dois vérifier avant d'acheter

Les rug pulls figurent chaque année parmi les fraudes les plus coûteuses pour les investisseurs particuliers en crypto. La bonne nouvelle : la majorité d'entre eux sont détectables avant d'investir. Voici la checklist à appliquer systématiquement.

Les outils concrets pour vérifier

Token Sniffer (tokensniffer.com) et Honeypot.is permettent d'analyser automatiquement un smart contract pour détecter les fonctions suspectes, notamment les honeypots. Tu colles l'adresse du contrat, le site fait le scan en quelques secondes.

DEXTools et DEXScreener affichent la profondeur de liquidité d'un pool et, surtout, indiquent si la liquidité est verrouillée (LP locked) ou non. Une liquidité verrouillée signifie que les fonds sont bloqués dans un contrat de timelock et ne peuvent pas être retirés avant une date définie.

Etherscan ou BscScan permettent de consulter les tokenomics (distribution de l'ensemble des tokens : qui détient quoi) directement sur la blockchain. Si quelques wallets concentrent la majorité du supply, c'est un signal d'alarme.

Les 5 vérifications rapides avant d'investir

Tu peux faire ces cinq vérifications en moins de 10 minutes pour n'importe quel token DeFi inconnu.

1. Scan du contrat : colle l'adresse du contrat sur Honeypot.is et Token Sniffer. Si le résultat indique "honeypot detected" ou "high risk", stop.

2. Vérification de la liquidité verrouillée : ouvre DEXTools ou DEXScreener. Cherche "LP locked" dans les informations du pool. S'il n'y a pas de verrou ou si la durée est inférieure à quelques semaines, c'est un red flag immédiat.

3. Analyse de la distribution du supply : cherche le contrat sur Etherscan ou BscScan, onglet "Holders". Si les 10 premiers wallets concentrent plus de 50 % du supply hors contrat de liquidité, le risque de dump est réel.

4. Vérification de l'audit : cherche sur le site officiel du projet un rapport d'audit signé par un cabinet reconnu (CertiK, Hacken, Trail of Bits). Un audit absent ou uniquement mentionné sans lien vers le rapport complet ne compte pas.

5. Recoupement de l'équipe : les membres de l'équipe ont-ils un profil LinkedIn vérifiable, un historique de projets connus, des contributions GitHub publiques ? Une équipe entièrement anonyme n'est pas systématiquement frauduleuse, mais le risque est structurellement plus élevé.

Ce que ça change pour ta fiscalité en France