Dans un groupe Telegram, quelqu’un jure qu’un nouveau jeton va faire x100. Le graphique est vertical, le nombre de détenteurs grimpe chaque minute, et vous vous demandez s’blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il s’agit d’un vrai projet ou d’un piège. Cette question a un nom. Qu’est-ce qu’un rug pull ? C’est un lancement dans lequel ceux qui contrôlent un jeton, sa liquidité ou son contrat intelligent retirent du marché l’argent des acheteurs, qui se retrouvent avec un actif que plus personne ne leur rachètera.
Le jeton « Squid Game » en est le cas d’école. Lancé à un centime fin octobre 2021, SQUID a atteint 2 861,80 dollars le 1er novembre avant de tomber à zéro en quelques heures, a rapporté Threatpost dès le lendemain. Les acheteurs ont compris trop tard que le contrat ne laissait vendre que les développeurs. Cinq ans plus tard, le schéma revient sous de nouveaux habits, des collections de NFT aux memecoins de Solana, et la justice américaine a engagé en octobre 2026 des poursuites au sujet d’un jeton lancé en avril 2021.
Notre panorama des arnaques crypto présente toute la famille. Cette page reste sur les rug pulls : leurs mécanismes, les affaires qui sont allées jusqu’au tribunal, les vérifications qu’un acheteur peut faire en quelques minutes, et ce que prévoient le droit français, le droit européen et, pour comparaison, les droits américain et britannique.
Rug pull : c’est quoi en crypto, et ce que ce n’est pas
L’expression vient de l’anglais « pull the rug out from under someone », tirer le tapis sous les pieds de quelqu’un. En crypto, elle désigne une sortie bien précise : des initiés disposent d’un moyen de reprendre la valeur que les acheteurs ont apportée, et s’en servent. Le moyen peut être technique (une réserve de liquidité qu’ils peuvent vider, une fonction que seuls eux peuvent appeler) ou tout simplement un tas de jetons gardés discrètement, qu’ils vendent à la demande qu’ils ont eux-mêmes créée.
La société de sécurité CertiK distingue deux familles dans son explication des rug pulls durs et mous (en anglais). Le rug pull dur est brutal : l’équipe retire les fonds d’un coup, souvent par une porte dérobée écrite dans le projet dès le premier jour. Le rug pull mou est lent : les fondateurs vendent leurs propres jetons en faisant comme si le projet vivait, puis s’en vont.
Trois situations ne sont pas des rug pulls, même si le graphique se ressemble. Un projet qui échoue honnêtement, dont l’équipe a dépensé l’argent à développer sans trouver d’utilisateurs, est un mauvais investissement, pas un vol. Un piratage, où un tiers siphonne un protocole en exploitant une faille, est un autre délit avec un autre coupable (notre leçon sur la question de savoir si une blockchain peut être piratée traite ce versant). Enfin, un pump and dump, où un groupe gonfle le cours d’un actif existant pour le revendre aux derniers arrivés, recoupe le rug pull mou mais fera l’objet d’une prochaine leçon de ce parcours.
La plupart des rug pulls concernent des tokens plutôt que des coins : n’importe qui peut créer un token sur une blockchain existante en quelques minutes, sans bâtir de réseau propre. Si cette distinction est nouvelle pour vous, lisez d’abord notre guide sur les coins et les tokens.
Comment un rug pull dur vide le pool de liquidité
Pour comprendre le rug pull le plus courant, il faut savoir d’où vient le prix d’un nouveau token. Un token qui n’est coté sur aucune plateforme s’échange sur un échange décentralisé, à travers un pool de liquidité : un contrat intelligent qui détient deux actifs et permet à chacun d’échanger l’un contre l’autre.
Le retrait de liquidité, étape par étape
La documentation d’Uniswap V2 (en anglais) décrit le fonctionnement d’un tel pool. Il démarre vide. La première personne qui dépose les deux actifs fixe le prix de départ par le rapport entre ce qu’elle a versé. En échange, elle reçoit des jetons de liquidité, souvent appelés jetons LP, qui représentent sa part du pool. Celui qui détruit ensuite ces jetons LP récupère sa part des deux actifs, plus les frais perçus.
Rien de malhonnête là-dedans. C’est ainsi que fonctionnent Uniswap, PancakeSwap et de nombreux autres échanges, et c’est ce qui permet à chacun de coter un token sans demander la permission. Le rug pull retourne ce même mécanisme contre les acheteurs.
Voici la séquence. Une équipe crée un token et l’associe à de l’ether ou à un stablecoin dans un nouveau pool, en gardant les jetons LP. Le marketing démarre : un site, une feuille de route, des influenceurs, un compte à rebours. Les acheteurs envoient de vrais ethers dans le pool pour obtenir le nouveau token, si bien que le pool se remplit d’ether pendant que son stock de token diminue. Puis l’équipe détruit ses jetons LP et retire l’ether du pool en une seule transaction. Il reste un token face à presque rien. Son prix s’effondre vers zéro, non parce que le marché a changé d’avis, mais parce qu’il n’y a plus d’argent contre lequel vendre.
AnubisDAO a montré la vitesse du phénomène. Annoncée le 28 octobre 2021, la vente de son token ANKH a attiré environ 60 millions de dollars en ether en une nuit. À 11 h 58 UTC, environ 20 heures après le début d’une vente de 24 heures, la liquidité a été déplacée vers une autre adresse, a rapporté The Block le 29 octobre. Des enquêteurs amateurs ont relié le portefeuille destinataire à un compte Twitter dont le titulaire a dit plus tard avoir peut-être été victime d’hameçonnage. Sortie d’initiés ou vol, la question n’a jamais été tranchée publiquement : le cas se décrit donc au mieux comme un rug pull présumé.
Le code qui ne vous laisse pas vendre
La deuxième famille de rug pulls durs n’a besoin d’aucun retrait de pool. Le contrat lui-même décide qui peut vendre. Les analystes appellent un tel token un honeypot, un pot de miel : l’argent entre, il ne ressort pas.
SQUID fonctionnait ainsi. Les détenteurs se sont vu bloquer la vente par ce que le projet appelait un « mécanisme anti-dumping ». Un chercheur en sécurité a expliqué à Threatpost qu’un tel blocage ne demande qu’une ligne de plus dans la fonction de transfert du token, qui refuse l’échange dans le sens de la vente. Les acheteurs ont vu le prix grimper sans pouvoir vendre, puis tomber à zéro. Gizmodo a évalué les pertes potentielles à environ 3,4 millions de dollars, estimation reprise par Threatpost ; aucune mise en cause de qui que ce soit n’a été rapportée dans les sources consultées, en octobre 2026.
Un honeypot peut être plus subtil qu’une interdiction pure et simple. Un contrat peut permettre au propriétaire d’inscrire des adresses sur une liste noire qui ne peuvent plus transférer, ou prélever sur chaque vente une « taxe » que le propriétaire peut relever à volonté, de 5 % à 99 %. Sur le papier, vous pouvez toujours vendre. En pratique, vous ne recevez rien.
Fonctions de création de jetons cachées et autres pouvoirs du propriétaire
Un token ERC-20, le format standard sur Ethereum, peut contenir une fonction de création (« mint ») qui émet de nouvelles unités. C’est normal pour bien des projets honnêtes : les émetteurs de stablecoins en créent quand des clients déposent des dollars. Le danger, c’est une fonction de mint que seul le propriétaire peut appeler, sans limite ni contrôle. Une fois le pool rempli par les acheteurs, le propriétaire crée des millions de jetons neufs et les vend dedans, ce qui vide le pool aussi sûrement qu’un retrait de liquidité, avec seulement plus d’étapes.
La question n’est donc jamais « ce token a-t-il une fonction de mint ? » mais « qui la contrôle, et qu’est-ce qui l’en empêche ? ». Le même raisonnement vaut pour les fonctions qui permettent à un propriétaire de suspendre les transferts, de modifier des soldes ou de sortir des jetons des portefeuilles des détenteurs. Sur Solana, où les tokens suivent une autre norme, les pouvoirs équivalents sont l’autorité de mint (qui peut créer de l’offre supplémentaire) et l’autorité de gel (qui peut geler le compte de jetons d’un détenteur). Les vérificateurs conçus pour Solana regardent d’abord ces deux points.
Contrats évolutifs : le code que vous avez lu peut changer
Un dernier piège attrape les acheteurs prudents. De nombreux contrats sont évolutifs : les utilisateurs parlent à un contrat proxy qui transmet chaque appel à un contrat d’implémentation distinct contenant la logique. La documentation d’OpenZeppelin (en anglais) explique que l’adresse du proxy ne change jamais, tandis que celui qui contrôle la mise à jour (une adresse unique, un multisig ou une DAO) peut la rediriger vers une nouvelle implémentation.
L’évolutivité a de bonnes raisons, comme corriger des bogues. Mais elle signifie qu’un contrat lu et jugé propre le lundi peut se comporter autrement le mardi. Quand un token repose sur un proxy, les questions utiles sont : qui détient les droits d’administration, les changements doivent-ils attendre derrière un délai (timelock) qui laisse aux détenteurs le temps de partir, et un groupe de signataires indépendants doit-il les approuver ?
Rug pulls mous : la sortie lente par les portefeuilles de l’équipe
Un schéma mou ne laisse aucune preuve flagrante. Le contrat est ordinaire, la liquidité peut même être verrouillée. L’équipe, elle, détient une grosse allocation de jetons, parfois déclarée, parfois cachée dans de nombreux portefeuilles. Tant que des acheteurs arrivent, elle vend un peu à la fois, continue de poster des annonces et des promesses, et cesse peu à peu de construire. Un jour, les comptes sociaux se taisent.
CertiK cite Polywhale Finance, dont l’équipe a retiré plus d’un million de dollars en jetons avant d’abandonner le projet. La société note aussi qu’un rug pull mou n’est pas illégal de façon aussi nette qu’un rug pull dur, puisque le projet tourne techniquement toujours et que vendre ses propres jetons n’est pas un délit en soi. Ce qui en fait une fraude, c’est en général un mensonge : dire aux acheteurs que l’équipe ne détient rien, ou que ses jetons sont verrouillés, tout en les vendant.
C’est exactement ce que les procureurs américains allèguent dans l’affaire Kishu Inu décrite plus bas. C’est aussi pourquoi les cartes de détenteurs comptent. Les outils qui regroupent les portefeuilles ayant reçu des jetons de la même source, ou ayant échangé entre eux, peuvent révéler que « des centaines de détenteurs » sont en réalité une poignée de personnes. Dans l’affaire LIBRA de février 2025, la société d’analyse Bubblemaps a employé cette méthode pour suivre environ 87 millions de dollars retirés du pool de liquidité par des portefeuilles qu’elle reliait à l’équipe, selon Decrypt.
Affaires de rug pull réelles et sort des responsables
Les issues judiciaires sont le meilleur test de ce qu’est un rug pull en droit. Certains fondateurs ont été poursuivis et ont plaidé coupable ; beaucoup n’ont jamais été identifiés. La liste ci-dessous s’en tient à ce que tribunaux et procureurs ont dit, et garde les allégations pour des allégations.
Frosties et Mutant Ape Planet : sorties de NFT devant les tribunaux américains
Les arnaques de ce type ne se limitent pas aux tokens. Vers le 9 janvier 2022, la collection de NFT Frosties s’est vendue en totalité, et en quelques heures ses créateurs l’ont abandonnée : le site est tombé et environ 1,1 million de dollars en crypto a filé vers des portefeuilles qu’ils contrôlaient, selon le communiqué de la brigade criminelle de l’IRS (en anglais) du 24 mars 2022. Le parquet fédéral de Manhattan a mis en cause Ethan Nguyen et Andre Llacuna, arrêtés à Los Angeles, pour association de malfaiteurs en vue de fraude électronique et de blanchiment d’argent, chaque chef étant passible de 20 ans de prison au maximum. Selon les procureurs, le duo préparait une seconde collection, Embers, censée rapporter environ 1,5 million de dollars. Nous n’avons trouvé aucun compte rendu de plaidoyer ni de condamnation en octobre 2026.
Mutant Ape Planet s’est achevé par un plaidoyer de culpabilité. Aurelien Michel, un Français arrêté à l’aéroport JFK de New York, a plaidé coupable devant le tribunal fédéral de Brooklyn d’association de malfaiteurs en vue de fraude électronique, a rapporté Decrypt le 14 novembre 2023. Les détenteurs ont perdu près de 3 millions de dollars après que les cadeaux et récompenses de staking promis ne sont jamais venus. Il risquait jusqu’à cinq ans de prison et a accepté de restituer 1,4 million de dollars. Nous n’avons trouvé aucun compte rendu de sa peine. Selon les procureurs, il avait dit aux acheteurs : « We never intended to rug, but the community went way too toxic » (« nous n’avons jamais eu l’intention de rug, mais la communauté est devenue bien trop toxique »).
Kishu Inu : des poursuites cinq ans après le lancement
L’affaire la plus récente montre qu’un rug pull peut rattraper ses auteurs des années après. Le 6 octobre 2026, un grand jury fédéral de Chicago a rendu un acte d’accusation visant Alexander Sisemore, 28 ans, de Fayetteville (Arkansas), pour trois chefs de fraude électronique, chacun passible de 20 ans de prison au maximum. Le parquet fédéral du district nord de l’Illinois (en anglais) a annoncé l’affaire le lendemain et a lui-même qualifié le montage allégué de « rug pull ». Kishu Inu a été lancé en 2021 et a ensuite dépassé 1,6 milliard de dollars de capitalisation, selon le parquet.
D’après le communiqué, l’acte d’accusation allègue que Sisemore et d’autres se sont attribué en secret une grande quantité de jetons à la création de l’actif, puis les ont vendus en faisant de fausses déclarations aux investisseurs sur Telegram, Twitter, Facebook et Reddit, pour des profits personnels d’environ 9 millions de dollars. Les détails, tels que résumés par Bitcoin.com News (en anglais), vont plus loin : 6 % de l’offre serait allée à quatre portefeuilles contrôlés par Sisemore et encore 6 % à un cofondateur avant les ventes publiques, alors que le livre blanc de mai 2021 ne mentionnait aucun jeton d’équipe et que les développeurs disaient en détenir 1,7 %, achetés sur le marché ; les ventes auraient couru d’avril 2021 à octobre 2023 au moins, via plusieurs portefeuilles et des mixeurs. Ce sont des accusations, pas des constatations. Comme le rappelle le communiqué du parquet lui-même, un acte d’accusation n’est pas une preuve de culpabilité et Sisemore est présumé innocent. L’antenne du FBI à Chicago a demandé aux investisseurs de Kishu Inu de se faire connaître.
Lancements de memecoins depuis 2024 : HAWK et LIBRA
L’essor des memecoins sur Solana a produit des effondrements dont le statut reste contesté. HAWK, le token promu par la personnalité d’Internet Haliey Welch, s’est effondré à son lancement début décembre 2024. Le 19 décembre 2024, douze acheteurs ont assigné aux États-Unis la plateforme et les personnes derrière le projet, alléguant des violations du droit des valeurs mobilières, a rapporté Decrypt. Haliey Welch n’était pas citée comme défenderesse à ce stade, et son porte-parole a dit qu’elle avait été « totalement tenue à l’écart » du projet et touché un forfait. Aucun tribunal n’a jugé que HAWK était un rug pull.
LIBRA est allé plus loin, car un chef d’État était impliqué. Le 14 février 2025, le président argentin Javier Milei a promu le token Solana sur X. Sa valeur de marché a atteint environ 4,5 milliards de dollars avant de chuter de près de 90 % en quelques heures, selon des chiffres de Decrypt cités dans notre couverture. Milei a supprimé son message et dit avoir agi de bonne foi ; Hayden Davis, qui se présentait comme le conseiller du lancement, a reconnu détenir près de 100 millions de dollars après la chute et nie tout acte répréhensible, a rapporté Al Jazeera (en anglais).
Aucun des deux tribunaux ne s’est prononcé sur le point de savoir si les acheteurs avaient été fraudés. À New York, la juge Jennifer Rochon a rejeté l’action collective des investisseurs avec autorité de chose jugée le 29 septembre 2026, pour des motifs tenant au droit contre le racket, à l’intention et à la compétence, et non aux faits. À Buenos Aires, le juge fédéral Marcelo Martínez De Giorgi a clos le 23 octobre 2026 la procédure pénale visant Milei, sa sœur Karina et neuf autres personnes, dont Davis, à la demande du procureur, estimant que les faits ne constituaient aucune infraction. Les recours des investisseurs devant la Cámara de Casación argentine étaient encore pendants, comme le note notre article sur ce non-lieu. LIBRA est donc un lancement très favorable aux initiés, avec de gros profits pour eux, pas un rug pull établi en justice.
Dates et chiffres en un tableau
| Affaire | Date | Chiffre | Issue en octobre 2026 |
|---|---|---|---|
| Token SQUID | 1er nov. 2021 | Pic à 2 861,80 dollars, puis zéro | Aucune mise en cause rapportée dans les sources consultées |
| AnubisDAO | 28-29 oct. 2021 | Environ 60 millions de dollars en ether | Rug pull ou hameçonnage présumé ; personne mis en cause à notre connaissance |
| NFT Frosties | Janv. 2022 | Environ 1,1 million de dollars | Deux hommes mis en cause en mars 2022 ; ni plaidoyer ni peine trouvés |
| Mutant Ape Planet | Plaidoyer en nov. 2023 | Près de 3 millions de dollars | Plaidoyer de culpabilité pour fraude électronique ; restitution de 1,4 million de dollars acceptée |
| HAWK | Déc. 2024 | Effondrement au lancement | Plainte civile de 12 acheteurs ; allégations seulement |
| LIBRA | 14 févr. 2025 | Environ 4,5 milliards de dollars au pic | Action collective américaine rejetée le 29 sept. 2026 ; affaire argentine close le 23 oct. 2026, recours pendants |
| Kishu Inu | Acte d’accusation le 6 oct. 2026 | Environ 9 millions de dollars allégués | Mis en cause pour fraude électronique ; présumé innocent |
Mango Markets : une exploitation de faille, pas un rug pull
Mango Markets est souvent rangé parmi les rug pulls, et n’y a pas sa place. En octobre 2022, Avraham Eisenberg a manipulé le prix de la garantie sur le protocole de prêt de Solana et emprunté contre elle, vidant la trésorerie. Il n’y a eu ni sortie d’équipe ni retrait caché : un trader extérieur a utilisé les règles mêmes du protocole. Un jury l’a déclaré coupable en 2024, mais le 23 mai 2025 le juge Arun Subramanian a annulé le verdict : il a acquitté Eisenberg de la fraude électronique, ne trouvant aucune preuve de fausse déclaration sur une plateforme sans règles contre ce type d’emprunt, et a annulé les deux autres chefs parce que New York n’était pas le bon lieu de jugement, a rapporté The Block. Nous n’avons trouvé aucun compte rendu d’appel du gouvernement en octobre 2026. Cette affaire relève de la manipulation de marché et des limites du droit de la fraude, pas de fondateurs qui s’enfuient.
Quelle fréquence sur les plateformes de lancement de memecoins
Personne ne compte les rug pulls selon une méthode unique, donc chaque chiffre dépend de la définition de son auteur. Solidus Labs, société de surveillance des marchés, a publié un « 2025 Rug Pull Report », résumé le 8 mai 2025 par ForkLog (en anglais). Ses chiffres sont des indicateurs de schémas frauduleux, pas des constatations judiciaires, mais ils montrent ce qu’affronte un débutant sur des plateformes de lancement comme Pump.fun.
| Indicateur (Solidus Labs, rapporté le 8 mai 2025) | Chiffre |
|---|---|
| Tokens lancés sur Pump.fun jusqu’en janvier 2025 | Plus de 7 millions |
| Dont tokens ayant gardé au moins 1 000 dollars de liquidité | Environ 97 000 |
| Memecoins de Pump.fun associés à des montages frauduleux | Environ 98 % |
| Pools de liquidité Raydium présentant des caractéristiques de rug pull | 93 % de 388 000 |
| Perte moyenne par victime sur Raydium | 2 832 dollars |
| Plus grosse perte individuelle enregistrée | 1,9 million de dollars |
Sur une plateforme où créer un token coûte quelques dollars, la proportion de tokens abandonnés ou manipulés est écrasante, et survivre à sa première semaine est l’exception. Cela ne fait pas de chaque memecoin un rug pull. Cela veut dire que la charge de la preuve pèse sur le token, pas sur votre méfiance.
Signes d’alerte d’un rug pull avant d’acheter
Aucun signe isolé ne prouve une arnaque, et plusieurs ont des explications innocentes. Bitcoin lui-même a été lancé par un créateur anonyme. Ce qui compte, c’est le nombre de signes qui s’accumulent et le fait que l’équipe vous donne ou non les moyens de vérifier ses dires. Voici ceux qui reviennent dans les affaires ci-dessus.
- L’équipe est anonyme et injoignable, et personne ayant une réputation publique ne se porte garant du projet : nul ne pourra être tenu responsable si l’argent disparaît.
- La liquidité n’est pas verrouillée, ou ne l’est que quelques jours, ou le pool est minuscule face à la valeur de marché affichée sur la page du token.
- Le code source du contrat n’est pas vérifié sur l’explorateur de blocs : personne hors de l’équipe ne peut lire ce qu’il fait.
- Quelques portefeuilles détiennent l’essentiel de l’offre, ou de nombreux détenteurs « différents » ont été alimentés depuis la même adresse à quelques minutes d’intervalle.
- Le contrat a un propriétaire qui peut créer des jetons, bloquer des adresses, suspendre les transferts, modifier la taxe de vente ou mettre à jour le code, sans délai de sécurité ni multisig.
- Le marketing promet des gains garantis, s’appuie sur une célébrité ou un politique comme argument principal, ou vous presse d’acheter « avant la cotation ».
- Le site et le livre blanc sont copiés d’un autre projet, ou la feuille de route est une liste de mots à la mode sans dates.
- Personne hors de l’équipe n’a visiblement réussi une vente test, ou de petits détenteurs se plaignent que leurs ventes échouent.
Le tableau de répartition mérite une lecture lente : qui reçoit quelle part de l’offre, quand les jetons de l’équipe peuvent être vendus, et si une part est verrouillée dans un contrat que vous pouvez consulter. Notre guide sur le fonctionnement de la DeFi présente les échanges et les pools sur lesquels reposent ces lancements.
Rug pull checker et détecteur : ce que chaque outil ne voit pas
Une famille d’outils gratuits lit à votre place le contrat d’un token et ses données sur la chaîne. Ils repèrent en quelques secondes beaucoup de pièges grossiers. Aucun ne peut vous dire qu’un token est sûr. Honeypot.is, l’un des plus connus, le dit sur sa page d’accueil : « This is not a foolproof method. Just because it’s not a honeypot now, does not mean it won’t change! » (en anglais ; en substance : cette méthode n’est pas infaillible, et ne pas être un honeypot aujourd’hui ne garantit pas que cela ne changera pas).
Le tableau résume ce que couvre chaque type de contrôle. Les fonctionnalités changent souvent : prenez-le comme la description d’un type de vérification, non comme une promesse sur un produit précis.
| Outil ou contrôle | Ce qu’il examine | Ce qu’il ne peut pas vous dire |
|---|---|---|
| Explorateur de blocs (Etherscan, BscScan) | Si le code source publié correspond au contrat déployé ; détenteurs ; transactions | Si ce code est honnête ou sûr à utiliser |
| Honeypot.is | Simule un achat et une vente sur Ethereum, BNB Smart Chain et Base | Si le propriétaire changera les règles après le test |
| Token Sniffer, GoPlus, De.Fi Scanner | Analyses automatiques des fonctions à risque (mint, propriété, proxys, taxes) | Allocations d’équipe cachées, mensonges hors chaîne, astuces nouvelles que l’analyse ne connaît pas |
| RugCheck (Solana) | Analyse de risque des tokens Solana : autorités de mint et de gel, liquidité, principaux détenteurs | Si un initié va vendre des jetons déjà dans son portefeuille |
| Bubblemaps | Carte visuelle des plus gros détenteurs et des liens entre leurs portefeuilles | Qui sont les personnes derrière les portefeuilles, ou ce qu’elles comptent faire |
| Verrous de liquidité (UNCX, Team Finance) | Si les jetons LP sont verrouillés, et jusqu’à quand | Ce qui se passe après la date de déverrouillage, ou la sûreté du verrou lui-même |
Les verrous appellent une précaution. La documentation d’UNCX indique : « Once the LP tokens are locked, they can’t be withdrawn/moved until the unlock date passes » (documentation UNCX, en anglais : une fois verrouillés, les jetons LP ne peuvent être ni retirés ni déplacés avant la date de déverrouillage). Cela protège le pool jusqu’à une date, et pas au-delà ; il ne fait rien contre une fonction de mint ou une équipe qui vend ses propres jetons. Le verrou peut aussi défaillir : le 27 octobre 2022, un attaquant a utilisé environ 2 700 dollars d’ether pour siphonner 15,8 millions de dollars chez Team Finance par une faille de sa fonction de migration pourtant auditée, a rapporté The Block.
La vérification a aussi sa limite. La page d’Etherscan sur la vérification des contrats (en anglais) la décrit comme un moyen pour les développeurs de publier un code source identique à ce qui s’exécute sur la chaîne, afin que chacun puisse le lire. Elle ne dit rien sur le caractère équitable de ce code. Un honeypot vérifié reste un honeypot.
Une routine de dix minutes attrape la plupart des pièges grossiers. C’est un contrôle de sécurité, pas une recommandation d’acheter quoi que ce soit.
- Copiez l’adresse du contrat depuis le canal officiel du projet, jamais depuis une réponse ou un message privé, et ouvrez-la sur l’explorateur de blocs de la chaîne.
- Vérifiez que le code source est vérifié, puis cherchez une adresse de propriétaire et des fonctions comme mint, blacklist, setFee, pause ou upgradeTo.
- Passez l’adresse dans un simulateur de honeypot et dans un outil d’analyse de contrat, et lisez chaque alerte plutôt que la note globale.
- Ouvrez le pool de liquidité : combien il contient, qui détient les jetons LP, s’ils sont verrouillés et jusqu’à quelle date.
- Consultez la liste des détenteurs et une carte de détenteurs, et notez tout groupe de portefeuilles alimentés depuis la même source.
- Cherchez les noms de l’équipe et l’historique du projet, et demandez qui promeut le token et s’il est rémunéré pour cela.
- Si vous y allez malgré tout, achetez une petite somme et essayez une petite vente avant d’en ajouter, en sachant que les règles peuvent changer ensuite.
Le côté portefeuille compte aussi. Se connecter à un faux site de token peut exposer vos fonds à une autorisation malveillante ; gardez vos mots de récupération hors ligne comme l’explique notre guide sur la sécurité de la phrase de récupération.
Le rug pull est-il illégal ? Droit français, européen, américain et britannique
Le droit français, comme le droit américain, britannique ou italien, ne connaît pas d’infraction appelée « rug pull ». Les poursuites s’appuient sur des infractions générales, surtout la fraude et le blanchiment, et la fraude repose presque toujours sur ce que les initiés ont affirmé. C’est pourquoi la frontière entre un délit et un projet raté passe en général par ce que l’équipe a dit aux acheteurs.
France : escroquerie, liste noire de l’AMF et signalement
En France, un rug pull fondé sur des mensonges relèverait de l’escroquerie, prévue à l’article 313-1 du Code pénal et suivants : Service-Public.fr indique pour l’infraction de base jusqu’à cinq ans de prison et 375 000 € d’amende, et jusqu’à sept ans et 750 000 € dans les cas aggravés (par exemple une victime vulnérable), dix ans et 1 000 000 € en bande organisée. Comme ailleurs, tout dépend de ce que l’on peut prouver : un mensonge sur les jetons de l’équipe ou sur leur verrouillage, et non la simple chute d’un cours.
L’Autorité des marchés financiers (AMF) publie des listes noires d’acteurs non autorisés, dont une consacrée aux crypto-actifs et une autre aux produits dérivés sur crypto-actifs. L’AMF précise que ces listes ne sont pas exhaustives : un rug pull lancé hier n’y figure pas, et n’y figurera peut-être jamais. Nous n’avons trouvé aucune page de l’AMF consacrée spécifiquement aux rug pulls ou aux memecoins. En cas de doute sur une proposition d’investissement, l’AMF renvoie vers son service AMF Epargne Info Service.
Pour signaler une escroquerie en ligne, Service-Public.fr renvoie vers Info Escroqueries au 0 805 805 817 (numéro vert, du lundi au vendredi de 9 h à 18 h 30), vers la page du signalement des contenus illicites sur Internet via Pharos et vers le dépôt de plainte en ligne.
Union européenne : MiCA
Le règlement européen sur les marchés de crypto-actifs (MiCA) s’applique en totalité depuis le 30 décembre 2024. Quiconque offre un nouveau crypto-actif au public dans l’Union doit rédiger un livre blanc et le notifier à l’autorité nationale (l’AMF en France), et MiCA interdit aussi les opérations d’initiés et la manipulation de marché sur les crypto-actifs. L’ESMA tient un registre des livres blancs et des entités non conformes (en anglais), et souligne que les livres blancs listés n’ont été examinés ni approuvés par aucune autorité. Un livre blanc est une obligation d’information, pas un label de qualité : un rug pull peut très bien en avoir un. Notre guide sur MiCA explique tout le cadre.
Des régulateurs nationaux ont commencé à utiliser ces pouvoirs sur les memecoins. Le 6 mars 2025, la Consob italienne a ordonné l’arrêt de l’offre du memecoin $Corona, promu par un site lié à l’entrepreneur Fabrizio Corona, faute de livre blanc notifié, a rapporté LaPresse (en italien). C’était une décision sur un document manquant, pas la constatation d’un rug pull. En droit pénal italien, un rug pull reposant sur des mensonges relèverait de la truffa (article 640 du Code pénal : de six mois à trois ans et une amende dans le cas de base, davantage avec des circonstances aggravantes).
Une limite vaut partout. Un lancement mené par des anonymes, depuis des lieux inconnus, à travers un pool sans permission, peut n’avoir aucun offrant identifiable qu’un régulateur puisse superviser. Les règles ne mordent qu’après coup, quand les enquêteurs parviennent à mettre des noms sur des portefeuilles, ce qui peut prendre des années, comme Kishu Inu le montre.
États-Unis : la fraude électronique fait le travail
Chaque affaire américaine ci-dessus a été poursuivie pour fraude électronique, parfois avec association de malfaiteurs en vue de blanchiment, quel que soit l’actif : des NFT pour Frosties et Mutant Ape Planet, un memecoin pour Kishu Inu. Le droit des valeurs mobilières n’est pas nécessaire. Le 27 février 2025, la division de la finance d’entreprise de la SEC a publié une déclaration de ses services sur les memecoins (en anglais) concluant que les memecoins typiques ne sont pas des valeurs mobilières, de sorte que leurs acheteurs n’ont pas la protection du droit boursier. La même déclaration avertit que les agissements frauduleux liés à l’offre et à la vente de memecoins peuvent donner lieu à des poursuites d’autres agences fédérales ou d’États. C’est un avis des services, pas une règle ayant force de loi.
Aux États-Unis, les victimes peuvent signaler au Internet Crime Complaint Center du FBI sur ic3.gov et à la Federal Trade Commission sur reportfraud.ftc.gov. Quand le FBI ouvre une enquête, il publie parfois un formulaire pour les victimes, comme il l’a fait pour les investisseurs de Kishu Inu.
Royaume-Uni : règles de promotion et Report Fraud
Depuis le 8 octobre 2023, toute entreprise qui commercialise des crypto-actifs auprès de consommateurs britanniques, y compris établie à l’étranger, doit passer par l’une des voies autorisées par les règles de promotion financière de la FCA ; promouvoir hors de ces voies enfreint l’article 21 du Financial Services and Markets Act, infraction pénale punie de deux ans de prison au plus. Ces règles visent les promoteurs plutôt que les rug pulls en tant que tels, mais elles atteignent les influenceurs rémunérés qui poussent un token. La fraude elle-même relève du Fraud Act 2006. Les signalements vont à Report Fraud, le service de la police de la Cité de Londres qui a remplacé Action Fraud pour l’Angleterre, le pays de Galles et l’Irlande du Nord le 4 décembre 2025 ; en Écosse, à Police Scotland au 101.
Que faire si vous vous êtes fait avoir par un rug pull
L’argent est en général parti, et la réponse honnête est que les victimes le récupèrent rarement. Quelques gestes restent utiles, pour une enquête comme pour vos impôts.
- Conservez tout dès maintenant : l’adresse du contrat, vos hachages de transaction, des captures d’écran du site, des comptes sociaux et des promesses faites, avant qu’ils ne soient supprimés.
- Signalez les faits aux autorités de votre pays : en France, Info Escroqueries, Pharos pour les contenus en ligne et plainte (au commissariat, en gendarmerie ou en ligne) ; aux États-Unis, IC3 ; au Royaume-Uni, Report Fraud. Prévenez aussi la plateforme où vous avez acheté, s’il s’agissait d’un échange centralisé.
- Révoquez toutes les autorisations de jetons que vous avez données aux contrats du projet, avec votre portefeuille ou l’outil de contrôle des autorisations de l’explorateur de blocs.
- Ignorez tout « service de récupération » qui vous contacte ou prétend pouvoir retracer et rendre vos fonds contre rémunération : c’est la seconde arnaque visant les victimes de rug pulls.
Les pertes peuvent aussi compter pour votre déclaration d’impôts, selon l’endroit où vous vivez ; notre guide sur les bases de la fiscalité crypto explique les règles générales. La prochaine leçon de ce parcours porte sur le pump and dump, la manipulation de marché qui accompagne souvent un rug pull mou.
