Qu’est-ce qu’un honeypot crypto et comment reconnaître ce risque sur les tokens ?

Qu’est-ce qu’un honeypot en crypto ?

Un honeypot dans la crypto est généralement un token frauduleux que vous pouvez acheter sur un DEX, mais que vous ne pouvez ensuite pas, ou à peine, revendre. Vous pensez donc avoir réalisé de beaux gains, mais au moment où vous voulez vendre, vous découvrez que ce n’est pas possible. Vous envoyez par exemple de l’ETH ou un stablecoin vers un pool de liquidité et recevez le nouveau token en retour. Lors de la vente, il s’avère ensuite que la transaction est bloquée, ou que des coûts extrêmes vous empêchent pratiquement de récupérer quoi que ce soit.

Un tel token ressemble souvent à un simple token ERC-20 normal. ERC-20 est une norme technique largement utilisée sur Ethereum. Grâce à cela, un wallet crypto peut reconnaître le token et vous pouvez souvent l’acheter sans problème dans l’interface d’un DEX. Les règles problématiques sont cachées dans une logique supplémentaire du smart contract, le programme qui exécute les règles du token.

Important à savoir : un token qui chute fortement, qui dispose de peu de liquidité ou pour lequel un swap échoue n’est pas automatiquement un honeypot. Dans un vrai honeypot, il s’agit précisément de règles qui limitent l’achat, la vente ou l’envoi. C’est surtout la sortie qui devient alors impossible ou économiquement absurde.

À retenir

• Un honeypot est généralement un token que vous pouvez acheter, mais pas vendre normalement.
• Les règles bloquantes peuvent être cachées dans le smart contract du token.
• Un nom normal, un ticker ou un pool DEX visible ne signifie pas qu’un token est sûr.
• Vérifiez toujours l’adresse exacte du contrat, la bonne chain et la bonne paire de trading.
• Combinez une simulation d’achat et de vente avec une vérification des droits du contrat et de la liquidité.

Comment fonctionne un honeypot en crypto ?

Un honeypot fonctionne parce que le créateur intègre des règles qui touchent surtout les acheteurs ordinaires dès qu’ils veulent vendre. D’abord, un token est créé et un pool de liquidité est mis en place avec, par exemple, de l’ETH ou un stablecoin. Les acheteurs peuvent déposer leur crypto de valeur dans ce pool et reçoivent en échange le nouveau token.

Le piège se referme souvent seulement lorsque vous souhaitez revendre. Le token peut, par exemple, autoriser sa réception, mais bloquer un transfert vers l’adresse du pool. Techniquement, la transaction de vente est alors annulée avant d’être exécutée.

Un schéma connu consiste à placer un acheteur sur une blacklist après une approval. Une approval est une autorisation que vous donnez à un smart contract pour déplacer des tokens depuis votre wallet crypto. Si votre adresse se retrouve ensuite sur la blacklist, un transfert de retour vers le pool peut échouer.

Il existe d’autres façons pour que cela se produise :

• Whitelist : seules les adresses autorisées à l’avance peuvent trader. Le créateur peut vendre lui-même, tandis que vous êtes bloqué.
• Bouton de pause : une personne disposant de droits d’administration peut désactiver les transferts temporairement ou définitivement.
• Taxe modifiable : la taxe de vente peut être portée plus tard à un niveau extrêmement élevé. À 100%, vous ne récupérez en pratique rien lors de la vente.
• Limite maximale de vente : vous ne pouvez vendre qu’un montant très faible, ce qui rend la sortie presque impossible.
• Logique proxy : une autre logique peut être placée derrière la même adresse de token. Un proxy est, en termes simples, une couche intermédiaire qui permet de modifier plus tard le fonctionnement d’un token.

Toute blacklist, whitelist, bouton de pause ou proxy ne signifie pas automatiquement fraude. Parfois, les tokens disposent de ces fonctions pour une raison légitime. Le risque tient surtout à la question de savoir qui possède ces droits et si cette personne peut empêcher les détenteurs ordinaires de vendre.

Parfois, les fraudeurs retirent aussi la liquidité du pool après les achats. Cela s’appelle un rug pull. Un rug pull et un honeypot peuvent coexister, mais ce ne sont pas exactement les mêmes choses : dans un honeypot, vous êtes bloqué par les règles du token, tandis que dans un rug pull, c’est surtout la liquidité qui disparaît du pool.

Comment vérifier si un token est un honeypot ?

Vous pouvez réduire le risque de honeypot en contrôlant le contrat, les possibilités de trading et les droits du créateur. Faites-le de préférence juste avant d’acheter, car les paramètres et la liquidité peuvent changer.

Suivez ces étapes :

1. Trouvez l’adresse exacte du contrat

Vérifiez l’adresse du contrat via les canaux officiels du projet. Un nom et un ticker ne suffisent pas : il peut exister des tokens d’imitation portant exactement le même nom ou la même abréviation.

2. Choisissez la bonne chain et la bonne paire de trading

Un même nom peut exister sur plusieurs blockchains. Vérifiez donc que vous contrôlez bien la chain, le token et le pool visés. La paire de trading est également importante, car la liquidité et les règles peuvent varier d’un pool à l’autre.

3. Examinez le code dans un block explorer

Un block explorer affiche notamment l’adresse du contrat, les détenteurs de tokens et les interactions du contrat. Si le code source est vérifié avec un Exact Match, cela signifie que le code publié correspond entièrement au code déployé. Sans code vérifié, il devient beaucoup plus difficile de voir ce qu’un token peut réellement faire.

4. Repérez les droits et paramètres risqués

Examinez les taxes de vente et de transfert, les taxes modifiables, les fonctions de blacklist et de whitelist, un bouton de pause pour les transferts, les droits de mint et les limites de vente. Les droits de mint signifient qu’une personne peut créer de nouveaux tokens. Faites aussi attention aux droits de modification des soldes et au pouvoir du propriétaire ou de l’admin.

5. Vérifiez s’il s’agit d’un proxy

Dans le cas d’un proxy, vous ne devez pas seulement regarder l’adresse du token, mais aussi l’implémentation derrière. L’implémentation contient la logique réelle. Si elle peut être mise à jour, le fonctionnement du token peut changer plus tard.

6. Utilisez au moins deux types de contrôles

Combinez une token-simulation avec une vérification du code, des permissions, de la liquidité et des gros détenteurs. Un outil qui n’affiche aucun avertissement ne prouve pas que vous pourrez vendre sans problème plus tard.

Un swap qui échoue n’est pas non plus une preuve absolue. Un slippage trop faible, un gas insuffisant, une deadline expirée, des frais de token ou un router qui fonctionne mal avec le token peuvent également faire échouer une transaction.

Ne donnez pas non plus d’approvals illimités à un site inconnu pour effectuer un petit test. Avec une approval, un smart contract peut déplacer des tokens depuis votre wallet crypto. Choisissez, lorsque c’est possible, un montant limité et révoquez les approvals dont vous n’avez plus besoin.

Comment fonctionne une token-simulation ?

Une token-simulation permet de vérifier si un achat et surtout une vente semblent exécutables à ce moment précis pour une paire de trading donnée. Pour cela, l’outil examine les règles actuelles du token et du pool, sans qu’une vraie transaction on-chain depuis votre wallet crypto soit nécessaire.

Une telle vérification peut par exemple montrer si la simulation a réussi, quel message d’erreur est éventuellement apparu et s’il existe des indices d’un honeypot. Parfois, vous voyez aussi une estimation des taxes d’achat, de vente et de transfert, de l’utilisation du gas et des montants maximaux d’achat ou de vente.

La chain et le pool choisis jouent ici un rôle important. Un outil peut sélectionner le pool disposant de la plus grande liquidité, mais ce n’est pas toujours le pool que vous êtes sur le point d’utiliser. Vérifiez donc toujours que la paire de trading sélectionnée correspond bien au swap que vous prévoyez.

Exemple : supposons que vous souhaitiez échanger 100 euros d’ETH contre un token. La simulation peut montrer que l’achat fonctionne, mais qu’une vente de retour vers l’ETH est bloquée ou soumise à une taxe de vente extrêmement élevée. C’est un signal d’alerte clair.

Une simulation reste toutefois une photographie à un instant donné. Un propriétaire peut ensuite modifier une blacklist, changer les frais, effectuer une mise à jour ou modifier la liquidité. Les règles anti-bot peuvent également influencer le résultat. Considérez donc une simulation réussie comme un contrôle supplémentaire, et non comme une garantie.

Quels outils blockchain pouvez-vous utiliser ?

Vous pouvez utiliser plusieurs outils blockchain en parallèle, car chaque outil vérifie quelque chose de différent. Ensemble, ils donnent une image plus complète qu’un simple score de risque ou qu’une seule coche verte.

• Honeypot.is : spécialisé dans les vérifications de honeypot. Cet outil peut afficher des simulations d’achat et de vente, des taxes possibles, des données de gas, des limites, des indicateurs de proxy et une analyse des holders.
• GoPlus : affiche différents risques liés aux tokens, comme un éventuel statut de honeypot, les taxes d’achat et de vente, un bouton de pause pour les transferts, des fonctions de blacklist ou de whitelist et des frais modifiables. Vous pouvez également consulter des données sur les pools DEX et les gros détenteurs.
• Etherscan et des explorateurs similaires : utiles pour examiner vous-même l’adresse du contrat, le code vérifié, les interactions du contrat, les détenteurs de tokens et les données de proxy. Pour d’autres chains, utilisez un explorateur comparable.
• Token Sniffer : compare le code source et le bytecode à des schémas de scam connus et fournit des données sur le token, les holders et la liquidité, ainsi qu’un score de risque automatisé.

Considérez ces résultats comme des signaux, et non comme un audit complet ou un conseil d’achat. Un outil peut manquer des données, renvoyer un résultat inconnu ou rencontrer un comportement affiché seulement temporairement. Vérifiez donc toujours à nouveau que la chain, l’adresse du contrat et la paire de trading sont correctes.

Pourquoi des investisseurs achètent-ils un honeypot crypto ?

Des investisseurs peuvent acheter un honeypot parce qu’un tel token semble souvent normal et négociable en apparence. Votre wallet crypto reconnaît le token, il existe un pool DEX et l’achat peut parfaitement réussir. Vous voyez ensuite même un solde dans votre wallet. Ce n’est qu’au moment de vendre que vous remarquez qu’il y a un problème.

Les fraudeurs peuvent aussi utiliser de fausses transactions pour faire croire à un volume important et à une hausse rapide du prix. Cela peut attirer des personnes qui craignent de manquer une opportunité sur le marché des cryptomonnaies, mais ce n’est pas une caractéristique de chaque nouveau token.

Le nom et le ticker peuvent également induire en erreur. Un token peut utiliser le même nom ou la même abréviation qu’un token connu, alors qu’il s’agit d’un contrat totalement différent. C’est pourquoi l’adresse du contrat est bien plus importante qu’un logo ou qu’un nom populaire.

Une faible liquidité peut en outre rendre une vente difficile et coûteuse. Lorsqu’il y a peu de liquidité, votre vente a davantage d’impact sur le prix : votre ordre fait alors fortement baisser le prix. Ce n’est pas la même chose qu’un honeypot, mais cela peut faire en sorte qu’un token apparemment attractif soit en pratique difficile à revendre.

Un prix en hausse, beaucoup de volume, un pool visible ou de nombreux détenteurs de tokens ne prouvent donc pas que vous pourrez sortir en toute sécurité.

Des coins sur une exchange ou chez un broker peuvent-ils être un honeypot ?

Le honeypot classique apparaît surtout sur un DEX, car les règles du token peuvent y bloquer une vente vers un pool de liquidité. Si vous tradez sur une plateforme d’échange crypto centralisée, l’achat et la vente ont généralement lieu au sein du système interne de ce prestataire. Vous ne vendez alors pas directement depuis votre propre wallet crypto via la fonction de vente ERC-20 du token.

C’est pourquoi le terme honeypot s’applique moins directement au trading interne sur une plateforme d’échange crypto ou chez un broker. Mais une cotation n’est certainement pas un label de qualité. Le même token sous-jacent peut rester problématique dès lors que vous le retirez vers votre propre wallet, que vous l’envoyez on-chain ou que vous essayez de le vendre via un DEX.

Même sans honeypot classique, il existe d’autres risques. Pensez à une liquidité limitée, à une radiation de la cote, à des pauses de retrait, à une plateforme frauduleuse ou à un produit qui ne donne qu’une exposition au prix au lieu du vrai token on-chain.

Vérifiez donc toujours ce que vous achetez : le token réel, une créance que le prestataire conserve pour vous, ou l’un des instruments d’investissement qui ne suivent que le prix. Cette différence détermine précisément où se situe votre risque.

En résumé

Un honeypot crypto est, en termes simples, un token dans lequel vous pouvez entrer facilement, mais dont vous ne pouvez ensuite plus sortir normalement. L’astuce ne se trouve généralement pas dans l’achat, mais dans des règles cachées ou modifiables concernant la vente et les transferts.

Vous ne pouvez pas éliminer totalement le risque, mais vous pouvez le réduire nettement. Utilisez toujours l’adresse exacte du contrat, vérifiez la bonne chain et le bon pool, examinez les droits du contrat et combinez cela avec une simulation d’achat et de vente. Si vous recevez des avertissements peu clairs, si des données manquent ou si vous voyez qu’un admin dispose de trop de pouvoir, ne pas agir est souvent le choix le plus sûr.