Le 9 août 2022, des internautes ont ouvert le site de Curve Finance, validé ce qui ressemblait à une transaction ordinaire et perdu environ 570 000 $, selon l’enquêteur on-chain ZachXBT cité par The Block. Les contrats intelligents de Curve n’étaient pas en cause. Quelqu’un avait redirigé le nom de domaine vers une copie du site, qui demandait aux visiteurs une autorisation au profit d’un contrat contrôlé par l’attaquant. Le protocole était intact ; la page placée devant lui ne l’était pas.
C’est la leçon centrale pour utiliser un blockchain, where users swap tokens directly from their own wallets without handing custody of their funds to a company.">DEX en sécurité. Un exchange décentralisé n’a ni service client ni bouton « annuler ». Une fois qu’un swap est signé et inclus dans un bloc, smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il est définitif. La protection tient à quelques réflexes à avoir avant d’appuyer sur « Swap » : s’entraîner sur un réseau de test, vérifier l’adresse du jeton, régler le slippage en connaissance de cause, tenir son ordre à l’écart des robots « sandwich », contrôler les autorisations données et s’assurer que le site est le bon.
Aucun de ces réflexes ne rend un swap sans risque. Ils le rendent plus sûr, et la plupart ne coûtent rien. Le seul qui coûte un peu, un premier vrai swap sur un réseau de couche 2, a coûté moins d’un demi-centime de frais sur Base le matin du 29 octobre 2026, comme le montrent les relevés plus bas.
Cinq façons de perdre de l’argent sur un swap qui « a marché »
Un rappel de la leçon précédente : sur un teneur de marché automatisé (AMM) comme Uniswap, vous ne négociez pas contre une personne qui a passé un ordre. Vous échangez contre un pool de deux jetons dont le prix bouge à mesure que leur équilibre change. Notre leçon sur les exchanges décentralisés et les AMM explique les pools, les frais et les agrégateurs ; ici, nous prenons cette mécanique pour acquise et regardons ce qui peut mal tourner pour la personne qui appuie sur le bouton.
Il y a cinq pièges, pour la plupart invisibles sur l’écran de confirmation. Vous pouvez acheter le mauvais jeton, une copie qui reprend le nom et le symbole d’un vrai. Vous pouvez obtenir un prix moins bon que la cotation, parce que le marché a bougé ou parce que vous avez laissé trop de marge. Un robot peut acheter juste avant vous et vendre juste après, et garder la différence. Une autorisation accordée il y a des mois peut permettre à un contrat de prélever vos jetons plus tard. Et le site lui-même peut être faux, comme les utilisateurs de Curve l’ont découvert.
Derrière ces cinq risques, il y a le fait structurel de l’auto-conservation : vous détenez les clés, donc personne ne peut annuler une erreur à votre place. Si votre portefeuille est encore récent, la liste des prérequis pour la DeFi recense ce qu’il faut avoir en place avant de suivre les étapes ci-dessous.
S’entraîner sur un réseau de test avant le premier swap
Un réseau de test (testnet) est une copie d’une blockchain où les jetons ne valent rien. Les mêmes types de contrats y tournent, le portefeuille demande les mêmes confirmations et l’explorateur affiche les mêmes détails. C’est donc l’endroit idéal pour apprendre les écrans sans payer ses erreurs.
Vérifier quel réseau de test l’interface accepte
Les contrats d’Uniswap sont déployés sur plusieurs réseaux de test. Sa documentation pour développeurs recense des déploiements de la v4 sur Sepolia, Base Sepolia, Arbitrum Sepolia et Unichain Sepolia, au 29 octobre 2026. Un contrat déployé ne signifie pas pour autant que le site affiche ce réseau. Les interfaces ajoutent et retirent des réseaux de test au fil du temps : cherchez dans les réglages de l’application une option de réseau de test, lisez la liste qu’elle propose à ce moment-là, ou consultez son centre d’aide. Choisissez un réseau de test qui figure dans cette liste et que votre portefeuille sait ajouter.
Pas à pas sur un réseau de test
- Créez un compte de portefeuille distinct pour vos essais, avec sa propre phrase de récupération notée sur papier. Ne réutilisez jamais la phrase d’un portefeuille qui contient de l’argent réel et ne la saisissez jamais sur un site qui vous la réclame (notre guide sur la sécurité de la phrase de récupération explique pourquoi).
- Ajoutez le réseau de test à votre portefeuille si l’application ne le fait pas pour vous, puis passez l’interface en mode réseau de test.
- Obtenez des ETH de test auprès d’un faucet. Un faucet n’a besoin que de votre adresse publique. Les conditions changent souvent : certains demandent un compte, d’autres un petit solde sur le réseau principal, et les montants varient d’un jour à l’autre. Lisez la page du faucet lui-même.
- Choisissez une paire de jetons qui existe sur ce réseau de test, par exemple des ETH de test contre une version de test d’un stablecoin, et saisissez un petit montant.
- Avant toute chose, étudiez la cotation : le montant que vous payez, le montant que vous recevez, le taux de change, l’impact sur le prix, le coût du réseau et le montant minimal que vous acceptez. Les libellés varient d’une application à l’autre, mais ces chiffres sont toujours quelque part, parfois derrière une petite flèche.
- Appuyez sur le bouton et lisez l’écran de votre portefeuille : le nom du réseau, le contrat que vous appelez et, s’il s’agit de votre premier échange de ce jeton, une demande d’approbation distincte.
- Confirmez, attendez l’inclusion, puis ouvrez la transaction sur l’explorateur du réseau de test (sepolia.etherscan.io pour Sepolia). Vérifiez qu’elle indique « succès », la quantité de gaz utilisée et les jetons déplacés.
Un réseau de test ne peut pas tout enseigner. La liquidité y est maigre et les prix n’ont aucun sens : un impact de 30 % sur une paire de test ne dit rien du réseau principal. On n’y croise pas de vrais robots sandwich et peu de faux jetons. Considérez le réseau de test comme un entraînement aux boutons, pas au marché.
Un premier petit swap réel sur une couche 2, frais mesurés
Quand les écrans vous sont familiers, l’étape suivante est un swap réel avec un montant que vous pouvez perdre entièrement : pensez à dix ou vingt euros, pas aux économies d’un mois. C’est un exercice d’apprentissage, pas une recommandation d’acheter quoi que ce soit. Un réseau de couche 2 comme Base ou Arbitrum One est l’endroit le moins cher pour le faire, car il regroupe de nombreuses transactions et les règle sur Ethereum ; notre leçon sur les couches 1 et 2 explique le principe.
- Choisissez une couche 2 prise en charge à la fois par votre portefeuille et par le DEX.
- Alimentez le portefeuille sur ce réseau précis. Le plus simple est un retrait depuis une plateforme qui propose cette couche 2 comme réseau de retrait ; le réseau choisi sur la plateforme doit correspondre à celui du portefeuille, sinon les fonds peuvent atterrir là où vous ne pouvez pas les récupérer. Un pont (bridge) est l’autre voie.
- Gardez un peu d’ETH sur ce réseau : l’ETH paie le gaz sur Base et sur Arbitrum One, même si vous échangez des stablecoins.
- Accédez au DEX par un favori enregistré à partir de la documentation du projet, jamais par une annonce de moteur de recherche (nous y revenons plus bas).
- Sélectionnez le jeton voulu par son adresse de contrat, vérifiée comme expliqué dans la section suivante, puis saisissez le petit montant.
- Vérifiez le minimum reçu et le coût du réseau dans la cotation, puis confirmez dans le portefeuille.
- Retrouvez la transaction sur l’explorateur du réseau (basescan.org pour Base, arbiscan.io pour Arbitrum) et notez son identifiant (hash) pour vos archives.
Combien cela coûte-t-il ? Nous l’avons mesuré sur des swaps réels. Nous avons pris des transactions envoyées au Universal Router d’Uniswap (le contrat auquel l’application Uniswap envoie les swaps) et incluses vers 10 h 00 UTC le 29 octobre 2026, puis lu les frais réellement payés dans le reçu de chaque transaction, sur le nœud public du réseau ce jour-là. L’ETH est valorisé à environ 2 319 $, le cours de DefiLlama à 10 h 00 UTC. Un exemple sur Base : un swap d’environ 0,0059 ETH dans le bloc 53 239 262 a payé 0,00000117 ETH au total, soit environ 0,003 $. Ce total comprend les frais de données de couche 1 que Base ajoute pour publier la transaction sur Ethereum, ici d’environ 0,000000001 ETH seulement. Un swap consomme plus ou moins de gaz selon son trajet, d’où les fourchettes ci-dessous.
| Réseau (swaps Uniswap inclus vers 10 h 00 UTC, 29 oct. 2026 ; frais lus dans les reçus) | Swaps lus | Frais totaux par swap, en ETH | Environ, en dollars (ETH à 2 319 $) |
|---|---|---|---|
| Base (blocs de 10:00:00 à 10:00:30 UTC) | 37 | 0,0000007 à 0,0000016 | 0,002 $ à 0,004 $ |
| Arbitrum One (environ 2,5 minutes de blocs) | 2 | 0,000004 | 0,009 $ |
| Ethereum, réseau principal (10 blocs à partir de 10 h 00 UTC) | 39 réussis | 0,000004 à 0,00034 (médiane 0,000006) | 0,01 $ à 0,79 $ (médiane 0,01 $) |
| Ethereum, réseau principal, swap échoué | 1 | 0,0000029 | 0,007 $, payé pour rien |
Deux précautions. Ces frais sont ceux d’un matin calme : les prix du gaz montent quand beaucoup de monde transige en même temps, parfois d’un multiple important ; fiez-vous donc au coût du réseau affiché dans la cotation plutôt qu’à notre tableau. Et un swap qui échoue coûte quand même du gaz, comme le rappelle Uniswap dans son guide du slippage : le swap échoué de notre échantillon sur le réseau principal a payé ses frais sans rien recevoir. Ce matin-là, cela représentait moins d’un centime. Un jour de congestion, le même échec sur le réseau principal peut coûter des dollars.
Vérifier le jeton avant de l’acheter
N’importe qui peut créer un jeton et l’appeler USDC, PEPE ou du nom d’un projet qui n’a pas encore lancé le sien. Un pool de DEX l’acceptera sans broncher. Le nom et le symbole affichés ne prouvent rien : seule l’adresse du contrat identifie un jeton.
Faux jetons, copies et honeypots
Les copies reprennent le nom et le logo d’un vrai actif. Les honeypots sont des jetons que l’on peut acheter mais pas revendre, ou seulement avec des frais prohibitifs inscrits dans leur code. Les deux reposent sur un moment d’inattention : l’acheteur tape un symbole, choisit le premier résultat et confirme.
Le remède consiste à prendre l’adresse sur une source de confiance, comme le site officiel ou la documentation du projet, ou la page du jeton sur le site de CoinGecko, puis à la comparer avec l’adresse de l’écran de swap, caractère par caractère au début et à la fin. Les stablecoins demandent un soin particulier sur les couches 2, où une version native et une ancienne version « pontée » du même jeton en dollars peuvent coexister sous des noms voisins.
Les interfaces ajoutent leur propre filtre. Uniswap a introduit des alertes sur les jetons le 19 décembre 2024, avec la société de sécurité Blockaid, notamment des étiquettes pour les jetons identifiés comme des imitations possibles et pour ceux qui prélèvent 100 % de frais à la vente, selon l’annonce d’Uniswap, qui précise que ces alertes ne constituent pas un conseil en investissement. Voyez-y un signal parmi d’autres. L’absence d’alerte ne prouve pas qu’un jeton est authentique, surtout s’il a été créé il y a quelques heures.
Une liste de contrôle pour un jeton inconnu
- Le code source est vérifié sur l’explorateur du réseau, donc chacun peut lire ce que fait le contrat.
- Les avoirs ne sont pas concentrés dans un ou deux portefeuilles capables de vendre toute l’offre d’un coup.
- Le pool a une vraie profondeur et existe depuis plus de quelques heures.
- L’historique des échanges montre des ventes aussi bien que des achats ; beaucoup d’achats et aucune vente, c’est le signe classique d’un honeypot.
- Deux outils d’analyse différents sont d’accord. Des services comme GoPlus, Token Sniffer ou Honeypot.is lisent le contrat à la recherche de pièges connus, mais ils laissent passer des choses, et seule une petite vente réelle prouve parfois qu’un jeton peut être revendu.
Slippage : définition, tolérance et impact sur le prix
Uniswap définit le slippage comme l’écart entre le prix qui vous a été annoncé et celui auquel l’échange s’exécute réellement. La tolérance de slippage est l’écart maximal que vous acceptez. Si le marché bouge plus que cela avant l’inclusion de votre transaction, le swap n’a pas lieu et vous payez tout de même le coût du réseau. Dans l’application web d’Uniswap, la tolérance se situe en général entre 0,1 % et 5 % environ, réglée automatiquement ou à la main, d’après le guide de la société sur le slippage publié le 11 septembre 2025.
L’impact sur le prix est autre chose. C’est le mouvement que votre propre ordre provoque dans le pool, déterminé par la taille de l’ordre rapportée à la profondeur du pool, et il est déjà inclus dans la cotation que vous voyez. C’est un coût connu avant de signer, pas un risque. Un impact important signale que le pool est trop étroit pour votre taille ; la réponse est un ordre plus petit, un pool plus profond ou un agrégateur qui fractionne l’ordre.
Un exemple chiffré rend la différence concrète. Les chiffres sont inventés à des fins pédagogiques et ne sont pas des prix de marché. Vous échangez 1 000 USDC contre de l’ETH dans un pool où, avant votre ordre, 1 ETH vaut 1 994 USDC. Votre ordre déplace lui-même le prix, si bien que la cotation annonce 0,5000 ETH reçus au lieu de 0,5015 ETH : un impact d’environ 0,3 %. La tolérance fixe ensuite le minimum que vous acceptez en dessous de cette cotation.
| Tolérance de slippage (exemple) | Minimum reçu | Perte maximale par rapport à la cotation | À un prix d’exemple de 2 000 $ l’ETH |
|---|---|---|---|
| 0,5 % | 0,4975 ETH | 0,0025 ETH | 5 $ |
| 1 % | 0,4950 ETH | 0,0050 ETH | 10 $ |
| 3 % | 0,4850 ETH | 0,0150 ETH | 30 $ |
| 5 % | 0,4750 ETH | 0,0250 ETH | 50 $ |
Réglée trop serrée, la tolérance fait échouer les swaps dès que le prix frémit, et chaque échec coûte du gaz. Réglée trop large, elle offre une marge à quiconque peut réordonner les transactions. Le guide d’Uniswap donne l’ordre de grandeur : sur un échange de 10 000 USDC, une tolérance de 6 % revient à accepter environ 600 USDC de moins que la cotation. Les réglages automatiques existent pour une raison ; une tolérance manuelle bien au-dessus de la suggestion de l’application mérite un second regard avant de signer.
Pourquoi le slippage d’un swap est élevé
Quelques causes expliquent la plupart des cas. Le pool est mince, ou votre ordre est gros par rapport à lui. Le jeton est récent ou volatil, donc son prix bouge entre la cotation et l’inclusion. Le jeton prélève des frais à chaque transfert, ce qui oblige à relever la tolérance (et les jetons-arnaques exploitent justement cela). Le marché va vite, ou le réseau est congestionné et votre transaction attend. Ou bien la tolérance a été relevée à la main et un robot en a utilisé toute la marge.
Attaques sandwich : comment les robots MEV tradent autour de vous, et comment les éviter
Sur Ethereum, une transaction attend en général dans une file publique, le mempool, avant qu’un constructeur de blocs l’inclue. Des robots lisent cette file. Quand l’un d’eux repère un swap assez gros dont la tolérance laisse de la marge, il peut placer un achat juste avant et une vente juste après, dans le même bloc. Votre ordre fait monter le prix entre les deux, et le robot empoche la différence. C’est une attaque sandwich, une forme de ce qu’on appelle la MEV (valeur maximale extractible), qu’une leçon ultérieure traitera en profondeur.
L’ampleur est mesurable. Les données de la société d’analyse EigenPhi, publiées par Cointelegraph Research le 4 décembre 2025, couvrent Ethereum de novembre 2024 à octobre 2025.
| Attaques sandwich sur Ethereum, nov. 2024 à oct. 2025 (EigenPhi) | Chiffre |
|---|---|
| Attaques sur la période | plus de 95 000 |
| Attaques par mois | 60 000 à 90 000 |
| Pertes annuelles estimées des traders | environ 60 millions de dollars |
| Valeur extraite par mois, fin 2024 | près de 10 millions de dollars |
| Valeur extraite par mois, octobre 2025 | environ 2,5 millions de dollars |
| Profit moyen par attaque | un peu plus de 3 $ |
| Robots distincts en octobre 2025 | 515 (une centaine actifs en moyenne sur un mois) |
Ces chiffres disent deux choses. Le dégât par ordre est généralement faible, quelques dollars, et l’essentiel de la valeur va aux constructeurs de blocs via les frais plutôt qu’aux robots. Mais il est systématique : tout swap envoyé par le mempool public avec une tolérance large est une cible possible.
Les protections qui fonctionnent sur le réseau principal d’Ethereum
Votre portefeuille parle à la blockchain par une adresse RPC, un serveur qui relaie vos transactions. Un RPC privé envoie votre transaction aux constructeurs sans passer par le mempool public, de sorte que les robots sandwich ne la voient pas avant son inclusion. Flashbots Protect en est un : d’après sa documentation, il sert le réseau principal d’Ethereum (avec un point d’accès Sepolia distinct pour les essais) et n’inclut que des transactions qui n’échoueront pas, si bien qu’un swap raté ne coûte rien. MEV Blocker en est un autre ; sa documentation le décrit comme un ensemble de points d’accès RPC pour Ethereum qui rétrocèdent aussi aux utilisateurs une part du profit des robots qui tradent juste après eux (le back-running).
L’ajout prend une minute dans la plupart des portefeuilles : ajouter un réseau à la main, lui donner un nom, saisir l’adresse RPC donnée par la documentation du fournisseur (pour Flashbots Protect, https://rpc.flashbots.net/fast), l’identifiant de chaîne 1, la devise ETH, puis basculer dessus. Flashbots prévient qu’il ne faut pas changer de RPC tant qu’une transaction est en attente, car le portefeuille pourrait la rediffuser sur le mempool public.
Les échanges par intention sont la seconde voie. Avec UniswapX, vous signez un ordre et des exécutants concurrents le traitent par une enchère hollandaise dont le prix décroît du meilleur cas vers votre minimum ; selon la documentation d’Uniswap, l’utilisateur ne paie pas de gaz et les ordres échoués ne coûtent rien. CoW Protocol regroupe les ordres en enchères par lots réglées à un prix uniforme par paire, ce qui rend l’ordre des transactions dans le lot sans importance et ne laisse rien à exploiter à un sandwich. Les réseaux et les jetons couverts par chacun changent : vérifiez dans l’application au moment de l’échange.
Deux habitudes plus simples valent partout, y compris sur les couches 2, que la documentation de ces deux services ne couvre pas : garder la tolérance de slippage serrée et éviter les pools étroits où un petit ordre déplace beaucoup le prix. Rien de cela ne vous protège d’un mauvais jeton, d’un faux site ou d’une approbation que vous n’auriez pas dû signer.
Approbations de jetons : l’autorisation qu’on oublie
Échanger un jeton ERC-20 suppose deux types d’action. ERC-20 est la norme que suivent la plupart des jetons sur Ethereum et ses couches 2. D’abord, vous appelez sa fonction approve, qui permet à une autre adresse, le dépensier, de déplacer jusqu’à un montant fixé de vos jetons. La norme l’associe à allowance, qui indique l’autorisation restante, et à transferFrom, que le dépensier utilise pour tirer les jetons. Ensuite, le contrat du DEX se sert de cette autorisation pendant le swap.
De nombreuses applications demandent un montant illimité pour que vous ne payiez pas une nouvelle approbation à chaque échange. C’est pratique, mais l’autorisation subsiste quand vous quittez le site. Comme l’expliquent les pages pédagogiques de Revoke.cash, une fois accordée, elle peut être utilisée à tout moment, et si le contrat est piraté plus tard ou était malveillant dès le départ, les jetons qu’il est autorisé à dépenser peuvent être pris.
Permit2 déplace le risque sans le supprimer
Le contrat Permit2 d’Uniswap change le schéma. Vous approuvez Permit2 une seule fois par jeton, par une approbation ERC-20 classique. Ensuite, chaque application reçoit soit une autorisation avec un montant et une date d’expiration, soit un transfert signé unique qui ne laisse aucune autorisation derrière lui. C’est plus propre, mais l’approbation donnée à Permit2 lui-même est couramment réglée au maximum, comme le note la documentation d’Uniswap, et une signature peut désormais accorder un droit de dépense sans transaction ni gaz. Les sites de phishing exploitent précisément cela : une demande de signature d’apparence anodine à la place d’une transaction. Lisez chaque demande de signature aussi attentivement qu’un paiement.
Comment contrôler et révoquer ses approbations
- Ouvrez Revoke.cash, qui affirme prendre en charge plus de 80 réseaux, ou le vérificateur d’approbations d’Etherscan (et son équivalent sur l’explorateur de votre couche 2).
- Saisissez votre adresse publique pour voir la liste, ou connectez le portefeuille si vous voulez modifier quelque chose.
- Sélectionnez le réseau ; les approbations sont listées par chaîne.
- Triez par dépensier et repérez les montants illimités, les contrats que vous ne reconnaissez pas et les sites que vous n’utilisez plus.
- Révoquez, ou abaissez le montant. Révoquer remet l’autorisation à zéro : c’est une transaction, donc elle coûte du gaz. Notre estimation à partir des prix du gaz sur Base le 29 octobre 2026 (environ 0,006 gwei) place une révocation bien en dessous d’un centime ; vérifiez le coût du réseau affiché par votre portefeuille.
Un portefeuille séparé pour les essais sur DEX limite les dégâts d’une approbation mal jugée : il ne peut perdre que ce qu’il contient.
Faux sites et détournements de DNS
Le cas de Curve en août 2022 n’était pas isolé. Le 11 juillet 2024, plusieurs sites de DeFi enregistrés chez le fournisseur de noms de domaine Squarespace ont été visés en même temps. Le domaine de Compound redirigeait vers une page porteuse d’un « drainer » de portefeuilles, et Celer Network a dit que sa surveillance de domaine avait détecté la prise de contrôle avant qu’elle n’aboutisse, selon Cointelegraph. Un développeur de DefiLlama a publié une liste de plus de 100 protocoles de DeFi, Pendle compris, potentiellement exposés. Ces articles n’ont publié aucun chiffre de pertes totales.
Le piège le plus courant aujourd’hui est la publicité dans les moteurs de recherche. Le 26 mai 2026, Cointelegraph a rapporté une campagne de résultats Google sponsorisés menant à une copie du site d’Uniswap. Elle avait été signalée par un analyste on-chain connu sous le nom de b-block, et les escrocs détenaient au moins 400 000 $, d’après l’article de Cointelegraph, seul compte rendu de ce chiffre que nous ayons trouvé. L’article ne dit pas comment chaque portefeuille a été vidé. Un site cloné a toujours besoin de quelque chose de son visiteur, généralement une approbation ou une signature, comme dans le cas de Curve.
En France, l’Autorité des marchés financiers (AMF) tient des listes noires de sites et de sociétés non autorisés, avec une catégorie « crypto-actifs » ; sur la page consultée le 29 octobre 2026, les entrées les plus récentes datent du 8 octobre 2026. L’AMF précise que ces listes ne peuvent pas être exhaustives : l’absence d’un site sur une liste ne signifie pas qu’il est autorisé. Elle renvoie aussi vers I-SCAN, l’outil qui donne accès aux listes noires de plus de 150 régulateurs, et rappelle les signaux d’alerte habituels : contact inconnu, promesse de rendement élevé et sans risque, pression pour décider vite. Ces listes visent des intermédiaires et des sites qui démarchent le public ; elles ne remplacent pas les réflexes ci-dessous, et un DEX qui fonctionne par contrats intelligents n’y est pas, par nature, « autorisé » ou « interdit ». Pour le cadre européen applicable aux prestataires, voir notre guide sur le règlement MiCA.
Les réflexes qui découlent de ces cas sont ennuyeux et efficaces :
- Enregistrez une fois l’adresse officielle en favori, prise dans la documentation du projet ou son compte officiel, et n’ouvrez le DEX que depuis ce favori.
- Ne cliquez jamais sur un résultat sponsorisé pour une application crypto, même si l’adresse affichée paraît correcte.
- Lisez l’aperçu du portefeuille : quel contrat vous approuvez, pour quel montant, et si une demande de signature accorde un droit de dépense.
- Tenez compte des alertes des contrôles de sécurité du portefeuille ; plusieurs portefeuilles signalent les sites malveillants connus.
- Gardez vos économies de long terme dans un autre portefeuille, de préférence sur un appareil matériel, et méfiez-vous de toute signature sur un portefeuille matériel qui ne peut pas afficher ce que vous signez.
- Quand un protocole annonce que son interface est compromise, cessez de l’utiliser et révoquez les approbations que vous lui aviez données.
Si vous avez déjà signé quelque chose de mauvais, la vitesse compte plus que le diagnostic : révoquez l’approbation, déplacez ce qu’il reste vers un nouveau portefeuille doté d’une nouvelle phrase de récupération, et considérez que quiconque propose de récupérer les fonds contre rémunération est une seconde arnaque. Nos guides sur que faire après un vol de cryptos et sur comment éviter les arnaques crypto détaillent les étapes.
Ce qu’un swap sur un DEX change pour vos impôts
Un échange entre deux jetons donne l’impression de déplacer de l’argent à l’intérieur de son portefeuille. Le fisc français le traite d’une façon qui diffère de celle des États-Unis ou du Royaume-Uni.
En France, la page des questions-réponses de l’administration fiscale sur la déclaration des plus-values d’actifs numériques, modifiée le 17 juillet 2026, indique que « les opérations d’échange sans soulte d’actifs numériques bénéficient d’un sursis d’imposition ». Autrement dit, un échange de jeton contre jeton, sans somme versée en plus, ne déclenche pas l’impôt au moment du swap : l’imposition est différée, pas supprimée. La même page fixe le prélèvement forfaitaire unique (PFU) à 31,4 %, dont 12,8 % d’impôt sur le revenu et 18,6 % de prélèvements sociaux, et prévoit une exonération quand le total des prix de cession de l’année, hors échanges en sursis, n’excède pas 305 €. Vous trouverez le détail dans notre guide sur la fiscalité des cryptos en France et, pour le calcul, dans celui sur les plus-values crypto.
Une réserve importante : cette page ne mentionne ni la DeFi ni les DEX. Le traitement fiscal des opérations de DeFi n’est pas fixé de façon claire, et nous ne prétendons pas qu’un swap sur Uniswap relève forcément de la règle ci-dessus ; en cas de doute, demandez à un conseiller fiscal. Aux États-Unis et au Royaume-Uni, la règle est plus sévère : la page de l’IRS sur les actifs numériques range l’échange d’un actif numérique contre un autre parmi les opérations à déclarer, et le manuel des cryptoactifs de HMRC (CRYPTO22100) classe l’échange de jetons parmi les cessions. Quel que soit votre pays, un DEX ne vous envoie aucun relevé : conservez l’identifiant de transaction, la date, les montants et la valeur en euros de chaque swap. Notre guide sur les bases de la fiscalité crypto explique pourquoi ces traces comptent.
Utiliser un DEX en sécurité : la routine avant chaque swap
- Entraînez-vous à tout nouveau type d’opération sur un réseau de test que votre interface prend en charge à ce moment-là.
- Accédez au DEX par votre propre favori, jamais par une annonce ou un lien reçu dans un message.
- Utilisez un portefeuille distinct, aux fonds limités, pour l’activité sur DEX.
- Collez l’adresse de contrat du jeton prise sur le site officiel du projet ou sur sa page CoinGecko et comparez-la avec l’écran de swap.
- Commencez par un petit montant et gardez un peu du jeton de gaz du réseau.
- Lisez l’impact sur le prix et le minimum reçu ; gardez la tolérance de slippage proche du réglage automatique de l’application.
- Sur le réseau principal d’Ethereum, passez par un RPC privé ou par un échange par intention.
- Lisez chaque demande d’approbation et de signature : dépensier, montant, expiration.
- Contrôlez et révoquez les approbations inutiles, toutes les quelques semaines.
- Notez l’identifiant de la transaction et la valeur en euros du swap pour votre suivi fiscal.
Les calculs derrière le prix des pools et la mécanique plus fine de la MEV auront chacun une leçon ultérieure dans le parcours DeFi. D’ici là, l’exercice le moins coûteux est celui de ce guide : un swap sur un réseau de test, un swap de quelques euros sur une couche 2, et un coup d’œil à vos approbations sur Revoke.cash.
