Qu’est-ce qu’une traction de tapis ? Comment repérer les jetons frauduleux avant qu’il ne soit trop tard ?

Définition et mécanismes de traction du tapis

1. Un « rug pull » se produit lorsque les développeurs déploient un jeton, génèrent une liquidité initiale et attirent des acheteurs grâce à un battage médiatique coordonné, uniquement pour drainer le pool de liquidités et disparaître avec les fonds.

2. Contrairement aux jetons honeypot où la vente est bloquée dès le départ, les tirages de tapis permettent dans un premier temps aux échanges de renforcer la confiance et le volume avant la sortie.

3. La loi repose sur un contrôle centralisé sur les fonctions contractuelles critiques : privilèges du propriétaire, droits de frappe ou autorisations de retrait de LP sans restriction.

4. La plupart des contrats Rug Pull sont déployés sur Ethereum, BSC ou Solana, en utilisant souvent un code passe-partout identique avec des modifications minimes pour échapper aux heuristiques de détection de base.

5. Les victimes ne découvrent généralement la fraude qu'après des tentatives de vente infructueuses, une liquidité nulle dans la paire ou une disparition soudaine des canaux sociaux du projet.

Modèles d'inondation de jetons basés sur les télégrammes

1. Plus de 93 000 nouveaux jetons ont été diffusés via des groupes Telegram entre novembre 2023 et août 2024, dont près de la moitié ont été confirmés comme des tirages de tapis.

2. Ces groupes intègrent des robots comme Banana Gun et Unibot qui publient automatiquement des alertes « New Token Tracer », créant ainsi une urgence artificielle et des achats pilotés par FOMO.

3. Les jetons promus sur ces canaux affichent une vitesse de lancement statistiquement anormale : beaucoup sont mis en ligne quelques minutes après l'annonce, ignorant l'audit, la documentation ou la vérification de l'équipe.

4. L'analyse révèle que 89,99 % de tous les nouveaux jetons du réseau principal Ethereum au cours de cette période provenaient de ces flux Telegram, et non de développement organique ou de plates-formes de lancement vérifiées.

5. Le volume quotidien moyen des jetons nouvellement lancés a dépassé 370, dépassant de loin les taux de croissance durable des écosystèmes et indiquant une émission synthétique massive.

Drapeaux rouges au niveau du contrat

1. Le code source non vérifié sur Etherscan ou BscScan reste l'indicateur le plus fort : plus de 87 % des extractions de tapis confirmées utilisaient un bytecode opaque et invérifiable.

2. La présence de fonctions contrôlées par le propriétaire telles que transferOwnership , renounceOwnership ou setFeeReceiver sans déploiement immuable signale un risque de manipulation élevé.

3. Les contrats autorisant la frappe arbitraire ou des ajustements illimités de l'approvisionnement en jetons exposent les détenteurs à une dilution immédiate suite à l'action du développeur.

4. Les durées suspectes de blocage des liquidités, telles que les blocages expirant dans les 24 heures ou liés à de faux services tiers, précèdent souvent une extraction rapide des fonds.

5. Les adresses de contrat réutilisées sur plusieurs jetons, en particulier avec des hachages de bytecode identiques, indiquent une infrastructure frauduleuse déployée par lots.

Signatures d'ingénierie sociale

1. Les comptes Twitter avec une cadence de publication identique, des réponses modélisées et un historique de profil nul sont fortement corrélés aux campagnes de promotion pilotées par des robots.

2. Les serveurs Discord dépourvus de journaux de modération, d'accès basé sur les rôles ou d'activité vérifiée des membres présentent des modèles cohérents avec les configurations de communauté jetables.

3. Les sites Web de projets construits sur des plateformes d'hébergement gratuites avec du texte fictif, des liens brisés et des livres blancs manquants servent de marqueurs structurels de tromperie.

4. Les pages de doxxing d'équipe contenant des photos d'archives, des profils LinkedIn incompatibles ou des biographies recyclées sur des projets sans rapport soulèvent des problèmes d'authenticité.

5. La suppression soudaine des publications épinglées, la suppression des liens vers le pool de liquidités ou la désactivation des boutons de connexion au portefeuille marquent souvent la phase préalable à la mise en service.

Questions courantes et réponses directes

Q : Un jeton peut-il être sûr même si son contrat n’est pas vérifié ? Non. Les contrats non vérifiés empêchent une évaluation indépendante de la logique de transfert, des mécanismes de frais et des contrôles de propriété, ce qui les rend intrinsèquement dangereux pour le déploiement de capitaux.

Q : Un pool de liquidités verrouillé garantit-il la sécurité ? Pas nécessairement. Les verrous peuvent être contournés via des mises à niveau de proxy malveillantes, des exploits front-running ou de faux certificats de vérification provenant de services de verrouillage non fiables.

Q : Pourquoi les jetons Rug Pull imitent-ils souvent les interfaces DEX populaires ? Le clonage des interfaces utilisateur Uniswap ou PancakeSwap réduit le scepticisme des utilisateurs, exploite les modèles mentaux existants et accélère le transfert de confiance sans nécessiter de conception ou d'investissement en fonctionnalités originales.

Q : Les tirages de tapis sont-ils limités aux jetons à faible capitalisation ? Non. Des cas très médiatisés se sont produits dans toutes les capitalisations boursières, y compris pour des jetons d'une TVL supérieure à 10 millions de dollars, dans lesquels des attaquants ont exploité des failles de gouvernance ou une manipulation de pool activée par les prêts flash.