Qu'est-ce qu'un rug pull en crypto ? Comment le repérer à temps

Un rug pull, c'est quand les personnes derrière un token crypto partent avec l'argent des acheteurs. Le prix du token tombe presque à zéro, souvent en quelques minutes. Sur les memecoins, le risque zéro n'existe pas, mais cinq minutes de vérification du contrat, des détenteurs et de la liquidité suffisent à repérer beaucoup de cas évidents.

Points clés

• Un rug pull est une arnaque menée par l'équipe du token elle-même, pas un piratage par un tiers.
• Les principaux types : retrait de liquidité, honeypot ou piège du mint, dump du dev et rug lent (soft rug).
• Des cas réels : SQUID (2021), HAWK de Hawk Tuah (2024) et LIBRA (2025) ont perdu l'essentiel de leur valeur en quelques heures.
• Avant d'acheter, vérifiez les autorités (Solana) ou le contrat (Base), les principaux détenteurs, la liquidité et la possibilité de vendre.
• Si vous vous êtes fait rug, signalez-le, gardez les liens des transactions et ignorez les offres de « récupération ».

Qu'est-ce qu'un rug pull ?

Un rug pull est une arnaque crypto où l'équipe derrière un projet part avec l'argent des investisseurs et disparaît. Le nom vient de l'expression anglaise « pulling the rug out », tirer le tapis sous les pieds des acheteurs.

La société d'analyse blockchain Chainalysis a recensé environ 2,8 milliards de dollars pris via des rug pulls en 2021, soit 37 % de l'ensemble des revenus des arnaques crypto cette année-là, contre environ 1 % en 2020 (The Register, d'après les données de Chainalysis). L'essentiel de cette somme venait d'un seul cas : l'exchange turc Thodex, où les utilisateurs ont perdu plus de 2 milliards de dollars. Ce chiffre ne concerne donc pas que les memecoins. Mais sur les memecoins, la méthode repose sur la même idée, à plus petite échelle et plus vite.

Sur un memecoin, l'équipe (souvent appelée « le dev ») contrôle le moment du lancement. Le dev détient donc souvent une grosse part de l'offre, les clés du contrat ou le pool de liquidité. Un seul de ces éléments suffit pour un rug.

Les types de rug pull

1. Retrait de liquidité

Un token sur un DEX s'échange contre un pool, par exemple TOKEN/SOL ou TOKEN/ETH. C'est le pool qui vous permet de vendre. Lors d'un retrait de liquidité, ceux qui ont alimenté le pool le retirent. Sans pool, il n'y a plus de contrepartie pour vendre, et le prix s'effondre. QuillAudits classe le retrait de liquidité parmi les principaux types de rug pull.

2. Honeypot et pièges du mint

Ici, le piège se trouve dans le code ou les permissions du token :

• Honeypot : vous pouvez acheter, mais pas vendre. Sur Solana, l'outil classique pour cela est la freeze authority, qui permet à son détenteur de geler des comptes de tokens et d'en bloquer les transferts sortants. La documentation de Helius prévient que cette permission peut servir à créer un honeypot, et indique que les memecoins devraient la révoquer au lancement (documentation Helius). Sur Base et les autres blockchains EVM, un honeypot se cache en général dans le code du contrat, par exemple une règle qui bloque ou taxe les ventes.
• Piège du mint : la mint authority contrôle la création de nouveaux tokens. Helius note que des launchpads comme pump.fun la mettent à null pour que les créateurs ne puissent pas émettre de nouveaux tokens à volonté (documentation Helius). Si le dev la conserve, il peut créer de nouveaux tokens et les vendre dans le pool.

3. Dump du dev

L'équipe ou un groupe d'initiés détient une grosse part de l'offre dès le départ. Quand les acheteurs font monter le prix, les initiés leur vendent. Le pool reste en place, mais le prix s'effondre quand même parce que la pression vendeuse est trop forte. Cela recoupe le pump and dump.

4. Rug lent (soft rug)

Un rug lent ressemble à un déclin normal. L'équipe arrête de développer, vend ses tokens petit à petit pendant des jours ou des semaines, et la communauté s'essouffle. QuillAudits décrit le soft rug comme une équipe qui entretient « un faux sentiment de sécurité » tout en retirant des fonds au fil du temps (QuillAudits). Il est plus difficile à repérer, et à prouver, qu'un retrait soudain.

Exemples célèbres de rug pull

SQUID (2021) : impossible de vendre

Le token SQUID reprenait le nom de la série Netflix « Squid Game ». Selon Euronews, il a été lancé le 26 octobre 2021 à environ 0,01 €. Le 1er novembre, il a atteint environ 2 472 €, et cinq minutes plus tard il valait 0,00068 €. Les acheteurs ont découvert qu'ils ne pouvaient pas vendre. Un wallet lié aux créateurs a encaissé près de 3 millions d'euros, et le site et les comptes sociaux du projet ont été supprimés le jour même.

Leçon : un prix qui ne fait que monter, sans aucune vente, est un signal d'alarme, pas un bon signe. Vérifiez qu'un token peut être vendu avant d'y mettre de vraies sommes.

HAWK (décembre 2024) : l'offre aux mains des initiés et des snipers

L'influenceuse Hailey Welch a lancé le memecoin HAWK sur Solana début décembre 2024. Sa capitalisation a atteint près de 500 millions de dollars, puis a chuté d'environ 95 % à 25 millions de dollars dès l'après-midi suivant (Forbes Australia). Des articles citant des données de Bubblemaps et DEX Screener indiquaient que 80 à 90 % de l'offre était entre les mains d'initiés ou de snipers. Hailey Welch a affirmé que son équipe n'avait vendu aucun token et avait tenté d'arrêter les snipers.

Leçon : un nom célèbre ne rend pas un token sûr. Regardez qui détient l'offre dès les premières minutes.

LIBRA (février 2025) : 99 millions de dollars retirés du pool

Le vendredi 14 février 2025, le président argentin Javier Milei a fait la promotion du token LIBRA sur X, puis a supprimé son post et nié tout lien avec le token. Lancé sur Solana, le token a dépassé 4,50 $ puis a fortement chuté en quelques heures. Selon Chainalysis, huit wallets ayant reçu des tokens directement du créateur ont retiré environ 99 millions de dollars en USDC et en SOL du pool de liquidité (Reuters, via le Hawaii Tribune-Herald). La société d'analyse on-chain Bubblemaps a indiqué que 82 % de l'offre était débloquée et vendable dès le départ (Cointelegraph). Les données de Nansen montrent que seuls 14 % des acheteurs de LIBRA ont fait un bénéfice (Decrypt). Un juge fédéral argentin a ouvert une enquête.

Leçon : même un token promu par un chef d'État peut finir en retrait de liquidité. Les données sur les détenteurs et l'offre étaient publiques on-chain, consultables par tous.

Checklist des signaux d'alerte

Utilisez-la avant chaque achat. Un signal d'alerte est une raison de regarder de plus près. Deux ou plus sont une raison de passer votre chemin.

• Mint authority toujours active (Solana) : le dev peut créer de nouveaux tokens.
• Freeze authority toujours active (Solana) : le dev peut bloquer vos ventes.
• Contrat non vérifié (Base) : vous ne pouvez pas lire ce que fait le code.
• Vente bloquée ou taxe de vente élevée lors d'un test de honeypot.
• Quelques wallets détiennent l'essentiel de l'offre, ou de nombreux wallets tout neufs ont acheté dans le même bloc au lancement.
• Le wallet du dev détient une grosse part ou vend déjà.
• Liquidité faible ou non verrouillée par rapport à la capitalisation.
• Métadonnées encore modifiables : le nom, le symbole et l'image peuvent changer après le lancement.
• Équipe anonyme, site copié, aucun historique et uniquement de la hype sur les réseaux sociaux.
• Pression pour acheter tout de suite : comptes à rebours, « dernière chance », shills payés.
• Un graphique qui ne fait que monter, presque sans ventes.

Comment vérifier un memecoin Solana ou Base avant d'acheter

Les outils ci-dessous sont gratuits et indépendants. Aucun d'eux ne nous rémunère. Copiez toujours l'adresse du contrat (CA) du token depuis la source officielle et collez-la dans chaque outil. Ne vous fiez jamais au nom ou au ticker d'un token : les copies de tokens populaires sont courantes.

1. 1

   Récupérez la bonne adresse de contrat

   Prenez la CA sur le compte X ou le site officiel du projet, pas dans une réponse ou un message privé. Les tokens imitations portant le même nom sont un piège courant.

2. 2

   Lancez un scanner de risques

   Sur Solana, collez la CA dans RugCheck, un scanner de risques pour les tokens Solana. Sur Base, Honeypot.is simule un achat et une vente pour voir si vous pouvez sortir. Honeypot.is prévient lui-même qu'un token qui n'est pas un honeypot aujourd'hui peut le devenir plus tard : un résultat positif n'est donc pas une garantie.

3. 3

   Vérifiez les autorités ou le contrat

   Sur Solana, ouvrez le token sur Solscan et regardez la mint authority et la freeze authority. Les deux doivent être vides (révoquées). Sur Base, ouvrez le token sur Basescan et vérifiez que le code source du contrat est vérifié.

4. 4

   Regardez les détenteurs

   Dans l'onglet des détenteurs de l'explorateur, regardez les 10 premiers wallets. Ignorez l'adresse du pool de liquidité et celle de la bonding curve. Si quelques autres wallets détiennent une grosse part, un dump du dev est facile.

5. 5

   Vérifiez la liquidité et les échanges sur DEX Screener

   Ouvrez la paire sur DEX Screener, qui lit ses données directement sur les blockchains qu'il suit. Comparez la liquidité à la capitalisation, et regardez les achats et les ventes. Un graphique presque sans ventes est un signal d'alerte.

6. 6

   Testez d'abord avec un petit montant

   Achetez un petit montant et revendez-en une partie tout de suite. Si la vente échoue ou si la taxe est élevée, arrêtez. Ce n'est qu'ensuite que vous pouvez envisager un montant plus important.

Que faire si vous vous êtes fait rug

1. Arrêtez de trader ce token. N'en rachetez pas pour « moyenner à la baisse » dans un pool mort.
2. Vérifiez les autorisations de votre wallet. Si vous avez signé quoi que ce soit sur le site du projet, révoquez les approbations de tokens (sur les blockchains EVM comme Base) et transférez vos fonds restants vers un nouveau wallet si vous pensez que le vôtre n'est plus sûr.
3. Conservez les preuves. Gardez les liens des transactions, la CA, des captures d'écran de la promotion et des comptes du dev.
4. Signalez-le. Aux États-Unis, déposez un signalement sur ic3.gov. Dans les autres pays, signalez-le à la police nationale ou à l'unité de lutte contre la cybercriminalité. Le FBI recommande aux victimes de conserver tous les documents et détails des transactions (BleepingComputer, sur l'avis du FBI PSA230811).
5. Ignorez les offres de récupération. Les personnes qui vous écrivent en privé après une perte en promettant de récupérer les fonds montent le plus souvent une deuxième arnaque. Le FBI rappelle qu'« aucune entité du secteur privé ne peut émettre d'ordonnance de saisie pour récupérer des actifs numériques volés ».

Pour aller plus loin

• Meilleures plateformes de trading de memecoins : les outils que nous notons selon notre méthodologie, avec leurs notes de sécurité et de conservation.
• Guide pump.fun : comment fonctionne le launchpad où démarrent la plupart des nouveaux memecoins Solana.