Anatomie d’un jeton, rug pulls et honeypots

Curiosité

1. Quelle autorité on-chain précise permet à un créateur de créer une quantité illimitée de tokens après le lancement ?
2. Comment le mécanisme de gel transforme-t-il un actif ordinaire en un honeypot sans issue ?
3. Pourquoi le nom et l’image d’un token peuvent-ils changer après que vous l’avez acheté ?

Explorer

Partie IAnatomie d’un token : offre, liquidité, mint authority et freeze authority

1. Chaque token SPL sur Solana est initialisé par une instruction `InitializeMint`, qui définit le nombre de décimales et attribue une `mint_authority`. Si les tokens pump.fun utilisent tous six décimales, d’autres émetteurs choisissent des précisions différentes. Si cette autorité reste liée à une adresse de portefeuille précise au lieu d’être mise à null, son détenteur conserve le pouvoir de créer de nouveaux tokens à tout moment. Cette caractéristique structurelle distingue un actif à offre fixe d’un actif exposé à une inflation illimitée et discrétionnaire.
2. Le paramètre `freeze_authority` introduit une capacité administrative aux conséquences graves pour la liquidité. Si elle est activée, le détenteur de l’autorité peut geler le compte de tokens de n’importe quel utilisateur, rendant son solde inutilisable et empêchant de fait toute vente. Si cette fonction répond à des exigences de conformité dans des environnements réglementés, elle représente un risque majeur pour des actifs décentralisés détenus par des équipes anonymes. Un portefeuille gelé ne peut transférer de tokens ni vers une plateforme d’échange ni vers un autre utilisateur, ce qui transforme l’actif en honeypot : on peut y entrer, mais la sortie est bloquée.
3. La liquidité détermine si les tokens peuvent tout simplement être vendus. Sur des plateformes comme pump.fun, lancée en janvier 2024 sur Solana, les tokens commencent à s’échanger sur une bonding curve avant de migrer vers un pool de teneur de marché automatisé (AMM) une fois la courbe complétée. La liquidité apportée par le créateur ou par les premiers acheteurs constitue le mécanisme qui permet aux autres participants de sortir. Si cette liquidité n’est ni brûlée ni verrouillée, l’équipe garde le contrôle des tokens de fournisseur de liquidité et peut retirer du pool tous les actifs appariés.
4. Un « rug pull » consiste généralement à vider cette liquidité ou à exploiter la mint authority. Une variante supprime entièrement toute possibilité de sortie en retirant les SOL du pool ; une autre dilue l’actif en gonflant l’offre après avoir attiré des acheteurs. Ces deux mécanismes reposent sur la conservation de clés administratives auxquelles une équipe peut renoncer. Le compromis est clair : conserver ces pouvoirs permet des ajustements futurs mais expose les détenteurs à une destruction unilatérale de la valeur, tandis que les brûler garantit des règles fixes mais supprime tout recours en cas d’erreur.
5. La répartition des détenteurs révèle un risque de concentration indépendant des autorités du contrat. Un token détenu majoritairement par les dix principaux portefeuilles présente une dynamique de sortie différente de celle d’un token réparti sur des milliers d’adresses. Les portefeuilles liés au créateur ou aux premiers initiés peuvent déplacer de grosses positions avec un impact important sur le prix, surtout dans des pools peu profonds. Les scanners analysent ces données en parallèle de l’autorité de mise à jour des métadonnées, qui détermine si le nom, le symbole et l’image peuvent être modifiés après le lancement. Des métadonnées modifiables permettent de renommer ou de rebaptiser un token après que des gens l’ont acheté.
6. La vérification est une démarche manuelle accessible à quiconque dispose d’un accès à Internet. Ouvrez un explorateur Solana tel que Solscan ou Solana Explorer et recherchez l’adresse de mint de n’importe quel token. Notez la `mint_authority` et la `freeze_authority` (vide signifie révoquée), la liquidité actuelle du pool et le pourcentage de l’offre détenu par les dix principaux portefeuilles. Des outils comme RugCheck automatisent ces vérifications, mais comprendre les champs sous-jacents permet à chacun de contrôler ce qu’indique un scanner.

Partie IIRug pulls et honeypots

7. Le retrait de liquidité est la forme d’extraction la plus directe. Dans un teneur de marché automatisé, les échanges s’effectuent contre un pool d’actifs appariés détenus dans un smart contract. Si le créateur conserve la propriété de ce contrat ou des tokens de fournisseur de liquidité sous-jacents, il peut retirer la paire dans son intégralité. Une fois celle-ci retirée, il n’existe plus aucune contrepartie avec laquelle les autres détenteurs peuvent échanger. Les tokens restent dans leurs portefeuilles, mais leur prix devient indéfini, car plus aucun mécanisme de marché ne relie acheteurs et vendeurs.
8. Le mint abusif exploite l’autorité permettant de créer une nouvelle offre. De nombreux standards de tokens prévoient une autorité de mint capable d’émettre des unités supplémentaires indéfiniment. Si cette autorité n’est pas révoquée après le lancement, le créateur peut imprimer des quantités massives de tokens à coût nul. Vendre ces unités fraîchement mintées dans un pool existant dilue la valeur de chaque unité détenue et draine la liquidité. Ce mécanisme permet à une seule entité de contrôler l’expansion de l’offre, ce qui revient à taxer tous les autres détenteurs par l’inflation.
9. Les honeypots piègent les capitaux en restreignant les transferts de manière asymétrique. Sur Solana, on y parvient généralement grâce à une autorité de gel active, utilisée après l’arrivée des acheteurs, ou à un transfer hook capable de rejeter les ventes. Sur les chaînes EVM, il s’agit souvent de taxes de vente fixées à 100 % pour les adresses absentes de la liste blanche, ou de code qui fait échouer les ventes. Les acheteurs peuvent ouvrir une position, mais la voie de sortie est coupée par le code. Le développeur conserve l’accès à ses propres avoirs, qui ne sont pas gelés.
10. Le token Squid Game (novembre 2021, BNB Smart Chain), nommé d’après la série à succès, illustre ce schéma : son contrat permettait à n’importe qui d’acheter, mais empêchait les détenteurs ordinaires de vendre. Alors que les acheteurs affluaient et que le prix s’envolait, les créateurs ont encaissé leurs gains, environ 3 millions de dollars selon les estimations de l’époque, et le prix s’est effondré presque à zéro en quelques minutes. Le mécanisme n’était pas une faille du consensus de la chaîne, mais une logique délibérée inscrite dans les règles de transfert du token.
11. Les slow rugs se distinguent des sorties immédiates par leur temporalité. Les développeurs peuvent détenir d’importantes allocations et les vendre progressivement sur des semaines ou des mois, évitant ainsi des chutes de prix brutales qui alerteraient les autres. Ils peuvent aussi abandonner complètement le développement du projet tout en conservant leur participation initiale. L’absence de maintenance active signale un désengagement, mais le risque principal reste la liquidation, tôt ou tard, des avoirs des initiés face à la liquidité apportée par les particuliers.
12. Les traders prudents vérifient plusieurs conditions on-chain avant d’interagir avec un nouveau token. Ils contrôlent si les autorités de mint et de gel ont été révoquées ou annulées. Ils confirment que la liquidité a été brûlée (envoyée vers une adresse sans clés privées) ou verrouillée dans un contrat de time-lock. Ils analysent la concentration des détenteurs pour s’assurer qu’aucune entité ne contrôle une part excessive de l’offre. Enfin, beaucoup effectuent une petite vente test pour vérifier que la vente fonctionne tout simplement, sachant qu’un contrat dont le propriétaire peut encore modifier les taxes ou les permissions peut bloquer les ventes plus tard.

Faits clés

Exercice neuf, six, trois, un

Vérification des faits

Les dates, les chiffres et les affirmations ont été vérifiés à l’aide des sources publiées listées ci-dessous.

• SPL Token Documentation: InitializeMint Instruction
• pump.fun Technical Documentation: Bonding Curve Mechanics
• RugCheck Documentation: Solana Token Safety Metrics
• Chainalysis, Crypto Crime Report (2024)
• Solana Program Library, SPL Token documentation
• Contemporary reporting on the Squid Game token collapse (November 2021)