Tokens honeypot : pourquoi vous pouvez acheter mais jamais vendre

Un token honeypot est un token frauduleux dont le smart contract vous permet d’acheter mais vous empêche de vendre, soit en bloquant purement et simplement les ventes, soit en les rendant si coûteuses que vous ne récupérez presque rien. Le graphique semble ne faire que monter, puisque seul le créateur peut vendre, et c’est précisément ce graphique à sens unique qui attire de nouveaux acheteurs.

Les honeypots sont fréquents sur les exchanges décentralisés (DEX), où n’importe qui peut créer un token et un pool d’échange en quelques minutes, sans aucun contrôle. Ils visent ceux qui achètent vite après avoir vu un token tendance, un post sur « le prochain x100 » ou un call sur Telegram. Comprendre leur fonctionnement vous permet de repérer la plupart d’entre eux avant de dépenser quoi que ce soit.

Comment fonctionnent les tokens honeypot

Sur des blockchains comme Ethereum et BNB Smart Chain, un token est un smart contract. Sa fonction de transfert décide si un transfert est autorisé et quel montant arrive à destination. Un honeypot dissimule des conditions supplémentaires dans cette fonction.

Les techniques courantes sont :

1. 1Le blocage des ventes. Les transferts vers le pool du DEX (ce qui constitue une vente) échouent pour toute personne absente d’une liste d’autorisation.
2. 2Les listes noires. Le propriétaire peut ajouter n’importe quel portefeuille à une liste noire, et le contrat rejette alors ses transferts. Certains contrats placent automatiquement chaque acheteur sur liste noire.
3. 3Les taxes ajustables. Le propriétaire peut faire passer les frais de vente à 99 % ou 100 % une fois que les gens ont acheté, si bien qu’une vente ne rapporte presque rien.
4. 4Les plafonds de vente cachés. Le contrat ne vous autorise à vendre qu’une quantité infime par transaction ou par jour.
5. 5Les interrupteurs de trading. Un indicateur « trading activé » que le propriétaire peut désactiver pour tout le monde sauf pour lui-même.

Comme le créateur, lui, peut toujours vendre, il peut encaisser ses gains ou tout simplement retirer la liquidité (le pool d’actifs appariés qui rend les échanges possibles). Cela se combine souvent avec un rug pull.

Signaux d’alerte avant d’acheter

Le signal le plus révélateur reste la liste des transactions. Sur un explorateur de blocs, examinez les transferts du token vers l’adresse du pool. Si des dizaines de portefeuilles ont acheté et qu’aucun (hormis une ou deux adresses précises) n’a vendu, partez du principe qu’il s’agit d’un honeypot.

Comment vérifier un token étape par étape

1. 1Confirmez l’adresse du contrat auprès de sources officielles. Notre guide pour vérifier l’adresse de contrat officielle d’un jeton explique comment faire.
2. 2Ouvrez le contrat sur un explorateur de blocs et vérifiez si le code source est vérifié. Un code non vérifié signifie que vous ne pouvez pas voir ce qu’il fait.
3. 3Cherchez les fonctions à risque comme setFee, setTax, blacklist, setMaxTx, pause ou des fonctions qui ajoutent des adresses à une liste d’exclusion. Leur présence ne prouve pas une arnaque, mais il importe de savoir qui peut les appeler. Notre article sur la vérification des taxes et des restrictions de transfert d’un token explique ce qu’il faut rechercher.
4. 4Vérifiez la propriété. Existe-t-il une adresse propriétaire, et la propriété a-t-elle été renoncée ? Notez que renoncer à la propriété ne sert à rien si le code contient déjà des pièges codés en dur. Consultez la renonciation à la propriété expliquée.
5. 5Lisez l’historique des transactions à la recherche de ventes réussies depuis des portefeuilles ordinaires.
6. 6Lancez un outil de détection de honeypot comme indice supplémentaire. Ces outils simulent un achat et une vente, puis indiquent le résultat et les taxes.
7. 7Faites un test avec un montant minime seulement si tout le reste semble propre, en acceptant que même cela puisse être truqué.

Pourquoi les outils de détection et les ventes test peuvent être trompés

Les escrocs connaissent ces outils. Certains honeypots :

• Autorisent les ventes pendant les premières minutes ou les premiers blocs, puis activent les restrictions.
• Placent sur liste blanche les adresses à partir desquelles les outils de détection simulent habituellement.
• Laissent passer les petites ventes mais bloquent les plus importantes.
• Conservent une fonction propriétaire capable d’augmenter les taxes plus tard : le token passe les contrôles aujourd’hui et piège les acheteurs demain.

C’est pourquoi les pouvoirs du propriétaire comptent davantage que n’importe quel test isolé. Si un seul portefeuille peut changer les règles après votre achat, vous lui faites entièrement confiance.

Comment les honeypots trouvent leurs victimes

Les honeypots comptent rarement sur le hasard. Les canaux de promotion courants sont :

• Les groupes de « calls » sur Telegram et Discord, qui présentent un nouveau token comme la prochaine pépite et sont souvent gérés par les créateurs eux-mêmes.
• Les classements tendance des sites de données DEX, où les créateurs achètent leur propre token à répétition pour grimper dans le classement.
• Les noms imitant de vrais projets ou des sujets à la mode, afin que ceux qui cherchent le vrai token tombent sur le faux.
• Les publications payantes et le faux engouement sur les réseaux sociaux, avec des captures d’écran du graphique en hausse.

Si vous avez découvert un token par l’un de ces canaux, ralentissez. L’urgence fait partie du piège.

Que faire si vous êtes piégé

Si vous avez acheté un token que vous ne pouvez pas vendre :

• N’envoyez plus de fonds. Ne payez personne qui prétend pouvoir « débloquer » le token ou le récupérer contre des frais : ce sont des arnaques à la récupération.
• Révoquez les autorisations que vous avez accordées au token ou aux contrats liés.
• Signalez le token à l’interface du DEX, à l’explorateur de blocs (beaucoup permettent de signaler des tokens) et à nous via notre formulaire de signalement, afin que d’autres acheteurs soient prévenus.
• Notez les détails (adresse du contrat, hachages de transaction, endroit où vous avez trouvé le token) au cas où vous porteriez plainte auprès des autorités.

En résumé

Un honeypot fonctionne parce que les acheteurs voient un graphique en hausse et supposent qu’ils pourront sortir quand ils le voudront. Avant d’acheter un nouveau token, confirmez l’adresse du contrat, cherchez de vraies ventes dans l’historique, vérifiez ce que le propriétaire peut modifier et considérez les outils de détection comme un complément, pas comme un verdict. Si le code ou le propriétaire peut vous empêcher de vendre, n’achetez pas.