Arnaques crypto : 12 types courants et comment les repérer

Rug pull

Dans un rug pull, les créateurs retirent la liquidité du pool ou vendent d’un coup leur grosse part de la supply. Le prix s’effondre en quelques minutes et les holders se retrouvent avec un token que personne ne leur rachète à un prix raisonnable.

Les signaux habituels sont une mint authority encore active, une liquidité ni brûlée ni verrouillée et quelques wallets qui détiennent presque toute la supply. Le rug pull est le risque le plus fréquent parmi les nouveaux memecoins.

Honeypot

Un honeypot est un token que vous pouvez acheter mais pas revendre, ou seulement avec une taxe énorme. Le graphique ne fait que monter parce que personne ne peut vendre. Sur Solana, le piège est en général une freeze authority active ou une extension Token-2022 ; sur les chaînes EVM, il est caché dans le code du contrat.

Regardez l’historique du pool : beaucoup d’achats et presque aucune vente, ce n’est pas le signe de holders convaincus, c’est le signe que la vente ne marche pas. Une petite vente de test aide, mais certains pièges ne bloquent que les ventes plus grosses ou plus tardives.

Pump and dump

Un groupe achète discrètement un token bon marché, puis en fait une promotion massive dans les chats, les posts et les mentions payées, avec des messages « offre limitée ». Quand les nouveaux acheteurs font monter le prix, le groupe leur revend tout. Le prix retombe, souvent sous son point de départ.

Le schéma à surveiller : une promotion soudaine par de nombreux comptes en même temps, avec des holders entrés très tôt qui détiennent une grosse part. Une promotion sans aucun produit est déjà un signal d’alerte.

Faux tokens et clones

N’importe qui peut créer un token avec le même nom, le même ticker et le même logo qu’un projet connu. Les escrocs lancent ces copies quand un vrai token fait l’actualité, ou quand un projet annonce un token qui n’existe pas encore.

Noms et logos se copient, l’adresse du contrat non. Prenez l’adresse uniquement sur le site officiel ou le compte vérifié du projet, et comparez-la caractère par caractère avec celle que vous allez utiliser.

Phishing et sites drainer

Le phishing utilise de faux messages, pop-ups, publicités et sites qui imitent un wallet, une plateforme d’échange ou une application connue. Certains demandent de saisir votre seed phrase. D’autres sont des drainers : la page vous demande de connecter votre wallet et de signer une transaction d’apparence anodine qui transfère vos tokens à l’attaquant.

Ouvrez les applications depuis vos propres favoris, jamais depuis des liens reçus ou des résultats sponsorisés. Aucun vrai service n’a besoin de votre seed phrase.

Autorisations malveillantes

Quand vous utilisez une application décentralisée, vous donnez souvent à un contrat la permission de déplacer un token pour vous. Sur les chaînes EVM, c’est une approval ; sur Solana, un delegate. Un site malveillant demande une permission illimitée et l’utilise plus tard, parfois des semaines après la signature.

Les permissions n’expirent pas d’elles-mêmes. Vérifiez-les de temps en temps dans votre wallet ou un explorateur de blocs, et révoquez celles que vous n’utilisez pas.

Address poisoning

L’attaquant vous envoie un transfert minuscule depuis une adresse qui commence et finit comme une adresse que vous utilisez souvent. Elle reste dans votre historique de transactions, en attente. La prochaine fois que vous copiez une adresse depuis cet historique, vous copiez la sienne et envoyez vos fonds à l’escroc.

Copiez les adresses depuis votre carnet d’adresses ou la source d’origine, jamais depuis l’historique. Vérifiez plus que les premiers et derniers caractères et envoyez un petit montant de test avant un gros transfert.

Faux support et usurpation d’identité

Après que vous avez parlé en public d’un problème de wallet, des « agents du support » vous répondent ou vous écrivent en privé. Ils se font passer pour une plateforme d’échange, l’équipe d’un wallet, un modérateur, voire un ami dont le compte a été piraté. Tôt ou tard, ils demandent votre seed phrase, un mot de passe ou une signature pour « vérifier » le wallet.

Le vrai support ne vous contacte jamais en premier en privé et ne demande jamais vos clés. En cas de doute, ouvrez une demande uniquement depuis le site officiel.

Faux giveaways et faux airdrops

Un post ou un live, souvent avec le nom d’une célébrité ou d’une marque utilisé sans autorisation, promet de doubler les cryptos que vous envoyez. Rien ne revient jamais. La version moderne est le faux airdrop : des tokens gratuits apparaissent dans votre wallet, ou un site vous dit que vous avez droit à une récompense, et pour la réclamer il faut se connecter à un drainer ou payer d’abord des « frais ».

Arnaques sentimentales et « pig butchering »

Quelqu’un rencontré en ligne, sur une application de rencontre, un réseau social ou via un message « envoyé par erreur », construit en quelques semaines une relation amicale ou amoureuse. Puis il vous montre combien il gagne sur une plateforme crypto et vous aide à ouvrir un compte.

La plateforme est fausse. Votre solde grimpe à l’écran, de petits retraits peuvent même fonctionner au début, et on vous pousse à déposer davantage. Quand vous voulez retirer une grosse somme, on vous réclame des taxes ou des frais, puis le contact disparaît.

Ponzi et rendements garantis

Le système promet un rendement fixe et élevé, souvent quotidien ou hebdomadaire, et paie les premiers membres avec l’argent des nouveaux. Beaucoup ajoutent des primes de parrainage, si bien que les victimes recrutent amis et famille. Quand les nouveaux dépôts ralentissent, les retraits sont bloqués et tout s’effondre.

Aucun vrai investissement ne garantit un rendement élevé. Un rendement garanti sans source de revenus claire en est le signe distinctif.