Qu'est-ce qu'un rug pull exactement ?
Un rug pull (littéralement "tirer le tapis sous les pieds") est un type d'escroquerie où les personnes qui ont créé ou contrôlent un token retirent soudainement la valeur et le dévalorisent pour tous les autres.
Il ne s'agit pas d'une simple chute de prix. Les prix chutent régulièrement. Le rug pull est un mécanisme précis : la valeur du projet disparaît à cause d'une action réalisée par ses créateurs, et ils n'ont pu la réaliser que parce qu'ils disposaient d'autorisations ou d'un accès que les autres n'avaient pas.
Une remarque importante dès le départ : dans ce texte, nous décrivons des schémas de comportement. Charliedesk ne qualifiera aucun projet précis d'escroquerie tant qu'un régulateur ou un tribunal ne l'aura pas constaté. La différence entre "ça a l'air suspect" et "c'est une escroquerie prouvée" est tout le sens de cette rubrique.
Comment se déroule techniquement un rug pull ?
Il existe deux types principaux, et il vaut mieux ne pas les confondre.
1. Le retrait de liquidité (liquidity pull). Pour qu'un token puisse être échangé sur une bourse décentralisée (DEX, par exemple Uniswap), quelqu'un doit déposer dans un pool une paire : le token lui-même plus quelque chose de valeur, par exemple de l'ETH ou un stablecoin. Cette paire, c'est la liquidité. Celui qui détient les LP tokens (les preuves de liquidité déposée) peut retirer à nouveau cette liquidité. Quand les créateurs la retirent, la partie de valeur (ETH/stablecoin) disparaît du pool et il ne reste que le token lui-même, qui n'a désormais plus rien contre quoi être échangé. Le prix sur le graphique tombe pratiquement à zéro en une seule transaction.
2. La fraude au sein même du contrat (hard rug). Le contrat intelligent (smart contract) du token contient des fonctions qui confèrent aux créateurs un pouvoir exceptionnel : la possibilité d'émettre une quantité illimitée de tokens (mint), de bloquer la vente pour les autres (le honeypot, où l'on peut acheter mais pas vendre), ou de modifier les frais jusqu'à des valeurs qui rendent la vente concrètement impossible.
La différence avec ce qu'on appelle le "soft rug" ou l'abandon progressif du projet, c'est que les créateurs cessent simplement de travailler et le token s'éteint lentement. C'est mauvais, mais techniquement cela diffère d'un retrait ponctuel.
Quelles traces cela laisse-t-il dans la blockchain ?
La chose essentielle à comprendre : la blockchain est publique et n'oublie pas. L'action qui exécute le rug pull est une transaction enregistrée comme n'importe quelle autre.
Concrètement, après l'événement lui-même, on peut retrouver :
- La transaction de retrait de liquidité (suppression de la paire du pool), avec son horodatage et l'adresse qui l'a réalisée.
- L'adresse du créateur (deployer), c'est-à-dire le portefeuille depuis lequel le contrat a été déployé, et vers lequel les fonds ont éventuellement été transférés.
- La répartition de la détention du token avant l'événement : quel pourcentage détenaient les toutes premières adresses.
- Les ventes depuis ces grosses adresses juste avant la chute du prix.
Le problème n'est pas que la trace n'existerait pas. Le problème est qu'après un transfert via un mixeur ou une chaîne de portefeuilles, la trace ne s'interrompt pas, mais son attribution à une personne précise devient difficile. La blockchain vous montre que la valeur a été transférée vers l'adresse 0x... ; elle ne peut pas vous dire à elle seule qui contrôle cette adresse. C'est là la frontière entre la preuve on-chain et l'identification du coupable.
Quels signaux peut-on vérifier en deux minutes, avant même que quelque chose ne se produise ?
Ceci est la partie préventive, pas le diagnostic après la chute. Aucun de ces points ne signifie à lui seul une escroquerie, et à l'inverse leur absence ne garantit pas la sécurité. Ce sont des indicateurs, pas des verdicts.
| Ce qu'il faut vérifier | Ce que vous cherchez | Pourquoi c'est important |
|---|---|---|
| Concentration de la détention | Quel % des tokens détiennent les 10 premières adresses | Quand quelques adresses détiennent une grande majorité, elles ont le pouvoir de faire bouger le prix ou de vider le pool |
| Verrouillage de la liquidité | Les LP tokens sont-ils verrouillés ou brûlés | Si le créateur peut retirer la liquidité à tout moment, le retrait est techniquement possible |
| Autorisations dans le contrat | Existe-t-il une fonction mint, une pause de vente, des frais modifiables | Ces fonctions confèrent à une partie un pouvoir exceptionnel |
| Propriété du contrat | Le contrat est-il "renounced" (propriété abandonnée) ou est-il contrôlé par quelqu'un | Une adresse de contrôle peut modifier les règles en cours de route |
| Vérification du code | Le code source est-il publiquement vérifié | Un code non vérifié ne peut pas être contrôlé, seulement cru sur parole |
Exemple pratique de lecture : disons que pour un token vous voyez qu'une adresse (en dehors du pool de liquidité lui-même et des bourses) détient 60 % de l'offre et que la liquidité n'est aucunement verrouillée. Cela ne vous dit pas qu'il s'agit d'une escroquerie. Cela vous dit qu'une seule partie a la possibilité technique de contrôler le prix comme le pool, et que votre éventuelle décision devrait tenir compte de cette possibilité. C'est la différence entre "c'est un scam" (un verdict que nous ne nous permettons pas) et "voici un risque concret, visible dans les données" (une description).
Les outils qui montrent ces données existent (les explorateurs de blocs comme navigateurs publics de la blockchain et divers scanners automatiques de contrats). Charliedesk n'en recommande aucun ni ne garantit leur exactitude ; un scan automatique peut se tromper dans les deux sens.
Pourquoi ne peut-on pas reconnaître un rug pull avec certitude à l'avance ?
Parce que la plupart des caractéristiques à risque ont aussi un usage légitime.
La fonction mint peut servir à une émission planifiée et transparente. Une liquidité non verrouillée peut signifier que l'équipe est encore en train de mettre en place le verrouillage. Une forte concentration peut être attendue pour un projet tout nouveau. Les données on-chain vous montrent la capacité à faire quelque chose, pas l'intention de le faire. Et l'intention est précisément ce qui distingue une escroquerie d'un projet risqué mais honnête.
C'est pourquoi l'affirmation "c'est un rug pull" avant l'événement lui-même est toujours une estimation, pas un fait. Cela devient un fait seulement au moment où le retrait est inscrit dans la blockchain, et une escroquerie au sens juridique seulement lorsque l'organe compétent le constate.
Ce que vous devriez maintenant savoir faire, et ce qui reste incertain
Après la lecture, vous devriez savoir :
- Distinguer une chute de prix d'un rug pull (le mécanisme de retrait de valeur par les créateurs).
- Distinguer le retrait de liquidité d'une fraude intégrée directement dans le contrat.
- Regarder en quelques minutes dans les données la concentration de la détention, l'état de la liquidité et les autorisations du contrat.
- Formuler ce que les données prouvent (la possibilité) et ce qu'elles ne prouvent pas (l'intention et l'identité).
Ce qui reste incertain même avec des données parfaites :
- Qui se cache derrière une adresse précise, tant qu'une enquête ne l'a pas reliée à une personne réelle.
- Si la partie qui contrôle abusera réellement de son pouvoir.
- Si un projet précis est une escroquerie au sens juridique ; cela ne relève pas du journaliste, mais du régulateur ou du tribunal.
Ceci fait partie de la série "Ne pas se faire avoir" du charliedesk Classroom. Nous décrivons les mécanismes et les données. Nous ne vous disons pas quoi acheter ni quoi vendre.