Qu’est-ce qu’une arnaque crypto de type honeypot ?

Équipe de CrabChain.org | Mis à jour le 13 octobre 2026

Dans l’écosystème des cryptomonnaies, un honeypot est un type de fraude conçu pour attirer les utilisateurs vers un actif ou une transaction apparemment rentable et, une fois qu’ils ont engagé leur argent, les empêcher de récupérer normalement leurs fonds. Le terme vient de la cybersécurité, où un honeypot traditionnel est un système leurre créé pour attirer des attaquants potentiels et étudier leur comportement. Dans le monde crypto, l’expression conserve l’idée d’un piège attractif, mais elle sert principalement à décrire des contrats intelligents ou des mécanismes de portefeuille conçus pour bloquer les fonds des victimes.

Comment il fonctionne

L’exemple le plus courant concerne des tokens négociés sur des plateformes d’échange décentralisées. Un utilisateur découvre un actif nouvellement créé dont le prix semble fortement augmenter, constate une activité d’achat, vérifie que de la liquidité existe et achète des tokens avec son portefeuille. La transaction d’entrée s’exécute correctement et la position peut même afficher des gains considérables. Le problème apparaît lorsque l’utilisateur tente de vendre. Le contrat intelligent peut rejeter la transaction, la limiter à certaines adresses ou appliquer des conditions économiques tellement défavorables que la vente devient pratiquement inutile. Ainsi, le profit supposé affiché à l’écran ne représente pas nécessairement de l’argent que le propriétaire peut réellement récupérer.

La caractéristique essentielle d’un honeypot est précisément l’asymétrie entre l’achat et la vente. Un token classique devrait permettre à ses utilisateurs d’effectuer des transactions conformément aux règles établies par le protocole et le marché. Dans un honeypot, le contrat peut être programmé de façon que certains utilisateurs puissent acquérir l’actif tandis que les transactions de vente sont bloquées ou soumises à des restrictions particulières. CertiK a documenté des mécanismes dans lesquels l’achat fonctionne normalement alors qu’une condition intégrée au contrat empêche ensuite la vente.

Techniques courantes

Ce mécanisme peut prendre différentes formes techniques. L’une d’elles consiste à utiliser des listes d’adresses autorisées ou bloquées. Le contrat peut permettre à certains portefeuilles de vendre tout en restreignant les transactions d’autres utilisateurs. Dans certains cas, les responsables conservent des privilèges administratifs qui leur permettent de modifier ces conditions après le lancement. Il peut également exister des limites de vente qui autorisent de très petites transactions mais empêchent de liquider une position importante. Ainsi, un premier test superficiel peut donner une impression de normalité tandis que les transactions de sortie économiquement significatives restent bloquées.

Une autre possibilité consiste à appliquer des taxes de vente extrêmement élevées. La transaction peut techniquement être finalisée, mais l’utilisateur ne reçoit qu’un montant minimal après application de la commission. Un contrat peut fixer des frais proches de 100 %, rendant la vente économiquement équivalente à la perte de la quasi-totalité de l’investissement. Binance a identifié ce type de taxe extrême comme l’un des mécanismes associés à certains honeypots.

L’attrait du piège dépend à la fois de la programmation du contrat et de la création d’un marché ayant l’apparence d’un marché légitime. Les responsables peuvent créer un site professionnel, développer des profils sur les réseaux sociaux et présenter le token comme une opportunité émergente. Ils peuvent également générer une activité initiale afin que l’actif semble être échangé par de nombreux utilisateurs. Une hausse rapide du prix peut donner l’impression qu’une demande réelle existe et alimenter la peur de manquer une occasion qui semble se multiplier en quelques heures. CertiK a décrit comment des graphiques haussiers et la pression associée au FOMO peuvent aider à attirer des acheteurs vers ces contrats malveillants.

La liquidité joue un rôle fondamental dans ce processus. Pour qu’un token soit négocié sur une plateforme d’échange décentralisée, il est généralement nécessaire de disposer d’un pool de liquidité contenant des paires d’actifs. Cette liquidité permet aux échanges entre utilisateurs d’avoir lieu. Un honeypot peut bénéficier d’un pool qui semble fournir suffisamment d’activité pour convaincre les acheteurs, tandis que les règles du token les empêchent de reconvertir leurs actifs en un autre token ou en cryptomonnaies plus liquides. Dans certains cas, le responsable peut également tenter plus tard de retirer tout ou partie de la liquidité, combinant ainsi les caractéristiques d’un honeypot et d’un rug pull.

Honeypot et rug pull

Cette distinction est importante, car honeypot et rug pull sont des concepts liés, mais ils ne sont pas équivalents. Dans un rug pull, les responsables peuvent attirer des capitaux puis retirer la liquidité ou exploiter d’autres mécanismes de contrôle afin de provoquer l’effondrement du projet. Dans un honeypot, le piège est généralement intégré aux conditions qui déterminent la manière dont les utilisateurs peuvent interagir avec le token. L’utilisateur peut se retrouver piégé alors même que le graphique de prix continue d’afficher de l’activité. Les deux mécanismes peuvent aussi apparaître ensemble dans une même opération frauduleuse.

Comment le repérer

Détecter un honeypot avant de l’acheter exige d’analyser davantage que l’évolution du prix. Le contrat du token constitue un élément fondamental. L’existence de fonctions administratives, de restrictions de transfert, de contrôles sur certaines adresses ou de mécanismes capables de modifier les conditions de négociation peut révéler des risques importants. Toutefois, lire correctement un contrat intelligent demande des connaissances techniques et l’absence d’un avertissement évident ne constitue pas une garantie de sécurité. Même un contrat dont le code est public peut contenir une logique complexe ou des mécanismes qui ne s’activent que dans certaines circonstances.

Les outils de simulation peuvent aider à compléter cette analyse. Certains services spécialisés permettent aux utilisateurs de simuler un achat puis une vente afin de vérifier si les transactions seraient acceptées par le contrat. Binance cite des outils tels que Honeypot.is et certaines solutions d’analyse de sécurité comme des ressources capables de détecter si une vente présente des problèmes avant de réaliser un achat réel. Ces simulations constituent un mécanisme préventif utile, même si aucun système automatisé ne peut à lui seul garantir qu’un token est légitime.

Il est également pertinent d’examiner le comportement des portefeuilles liés au projet. La blockchain permet d’étudier l’historique des adresses publiques, d’observer les fortes concentrations de tokens et d’examiner certains transferts. Une distribution extrêmement concentrée peut accroître le risque, car quelques entités ont la capacité d’influencer le marché. Les informations on-chain ont toutefois leurs limites. Une adresse blockchain n’identifie pas nécessairement une personne précise et plusieurs portefeuilles peuvent être contrôlés par la même entité. L’analyse des transactions doit donc être interprétée conjointement avec les informations disponibles sur les contrats et l’activité commerciale.

Les honeypots de portefeuille

Les honeypots de portefeuille constituent une autre variante qui fonctionne différemment. Dans ce cas, des escrocs peuvent publier une phrase de récupération ou une clé privée qui semble donner accès à un portefeuille chargé de tokens. La promesse consiste à faire croire à la victime qu’elle peut conserver ces fonds si elle fournit les cryptomonnaies nécessaires pour payer les frais du réseau. L’utilisateur envoie des actifs pour couvrir les frais de gas et découvre que les fonds sont immédiatement transférés hors du portefeuille ou que des restrictions empêchent le retrait. La recommandation de sécurité la plus importante dans cette situation est de ne jamais importer une phrase de récupération ou une clé privée fournie par un inconnu.

Pourquoi ils fonctionnent

L’attrait de ces arnaques s’explique en partie par une caractéristique fondamentale des marchés décentralisés. La possibilité de créer et d’échanger des actifs sans intermédiaire central facilite l’innovation, mais elle signifie également que n’importe quel utilisateur peut rencontrer des contrats dont il ne comprend pas pleinement la structure ni les opérateurs. Le problème n’est pas que la technologie blockchain soit incapable d’afficher des informations. Au contraire, une grande quantité de données reste enregistrée publiquement. La difficulté consiste à interpréter ces données et à distinguer une véritable activité économique d’une structure conçue pour tromper.

Pour cette raison, la hausse du prix d’un token ne doit jamais être utilisée comme preuve de légitimité. Ni une grande communauté, ni un site sophistiqué, ni un grand nombre de transactions apparentes, ni un contrat vérifié ne prouvent nécessairement qu’un actif est sûr. La vérification du code peut apporter de la transparence sur ce qui a été publié, mais elle n’élimine pas automatiquement les risques liés aux fonctions administratives, aux modifications ultérieures ou aux composants extérieurs au contrat.

Un spécialiste de la sécurité blockchain pourrait résumer le problème en indiquant que l’indicateur décisif n’est pas le potentiel de hausse d’un token, mais les conditions dans lesquelles un utilisateur peut sortir de la position qu’il a ouverte. Cette perspective modifie l’attention habituelle de nombreux investisseurs particuliers. Au lieu de se concentrer uniquement sur la possibilité de réaliser des bénéfices, elle impose d’analyser la capacité réelle à récupérer le capital et les règles qui régissent cette sortie.

Un honeypot représente finalement l’une des expressions les plus claires du risque associé à l’interaction avec des contrats intelligents sans comprendre leurs mécanismes. Le piège peut être conçu de façon que l’entrée soit facile, attrayante et même rentable sur le papier, tandis que la sortie est limitée par des règles que l’utilisateur ne perçoit qu’au moment de tenter de vendre. Comprendre cette dynamique permet de distinguer la volatilité normale d’un actif crypto d’une structure délibérément conçue pour retenir les fonds des acheteurs.

La prévention dépend fondamentalement d’une vérification préalable. Analyser le contrat, examiner ses autorisations, étudier la liquidité, vérifier l’historique des portefeuilles associés et utiliser des outils de simulation peuvent réduire certains risques avant d’effectuer une transaction. Malgré cela, aucune vérification unique ne garantit une sécurité absolue. Dans un marché où les transactions peuvent être irréversibles, la question essentielle n’est pas seulement de savoir si un token promet des profits importants, mais si ses règles permettent réellement à l’utilisateur de reconvertir ces profits supposés en actifs sous son propre contrôle.

Sources

• Ethereum security and scam prevention — ethereum.org (en anglais)
• Token standards — ethereum.org (en anglais)