Un honey pot crypto ne se repère pas à son whitepaper : il se repère dans le bytecode du smart contract. Le mécanisme est simple — une fonction transfer() ou _transfer() modifiée qui autorise l’achat à tout le monde mais bloque la vente à toutes les adresses sauf celle du déployeur. Comprendre ce qui se passe au niveau du contrat, c’est la seule défense qui tient face à un token qui affiche +400 % en 48 h.
- Un honey pot est un smart contract à sens unique : achat ouvert, vente verrouillée par une porte dérobée ou des frais de vente confiscatoires.
- Le repérage passe par le code, pas par la promesse : Token Sniffer, Etherscan et BscScan exposent les fonctions
setTaxFee,blacklistoumaxTxAmountqui trahissent le piège. - La liquidité non verrouillée transforme un honey pot en rug pull dès que le créateur retire le pool.
- Un audit signé par une entité inconnue ne vaut rien : vérifier l’auditeur et la date de l’audit fait partie de la due diligence.
Les mécanismes techniques qui bloquent la vente
Un honey pot exploite des fonctions Solidity parfaitement légales prises isolément, mais combinées pour interdire la sortie. Le tableau ci-dessous recense les portes dérobées les plus fréquentes, leur implémentation et l’effet concret sur le portefeuille de l’acheteur.
| Mécanisme | Implémentation technique | Effet sur l’investisseur |
|---|---|---|
| Frais de vente confiscatoires | Variable sellTax modifiable par le owner, jusqu’à 99 % | La vente aboutit mais ne restitue presque rien |
| Blacklist d’adresses | Mapping isBlacklisted alimenté par le déployeur | Le require() rejette la transaction, vente impossible |
| Restriction par adresse | Condition require(msg.sender == owner) dans _transfer() | Seul le créateur peut vendre, tous les autres sont bloqués |
| Plafond de transaction | maxTxAmount fixé sous le montant détenu par l’acheteur | La vente échoue au contrôle de montant |
| Pause du contrat | Fonction pause() héritée de Pausable (OpenZeppelin) | Le contrat gèle tous les transferts après l’achat |
| Frais de vente dynamiques | Modificateur qui applique un taux différent selon le sens du transfert | L’achat coûte 2 %, la vente 90 % ou plus |
Votre portefeuille contient un token dont vous ne parvenez pas à sortir ? Faites analyser le smart contract par nos experts blockchain avant d’engager davantage de capital.
Honey pot ou rug pull : deux mécanismes distincts
Les deux arnaques vident le portefeuille de l’acheteur, mais par des voies techniques opposées. Le honey pot bloque la sortie au niveau du contrat ; le rug pull vide la liquidité du pool. Confondre les deux fait passer à côté du bon signal d’alerte.
- Honey pot — le token reste en circulation, le contrat interdit la vente. La liquidité peut rester intacte : c’est le code qui piège.
- Rug pull — le contrat fonctionne normalement, mais le créateur retire la liquidité du pool LP (Uniswap, PancakeSwap). Le prix s’effondre à zéro en une transaction.
- Combinaison — liquidité non verrouillée + fonction de blocage : le créateur laisse acheter, bloque les ventes, puis retire le pool. Le scénario le plus destructeur.
- Signal commun — le déployeur détient une part majoritaire du supply et conserve les droits d’administration du contrat (
ownernon renoncé).
Le détail des variantes de retrait de liquidité est traité dans le guide comprendre et se prémunir contre les attaques de type rug pull.
Lire un smart contract avant d’acheter : la méthode
Trois outils suffisent pour auditer un token en quelques minutes : l’explorateur de blocs pour lire le code vérifié, un scanner automatique pour les détecteurs de honey pot, et l’analyse du pool de liquidité. Aucun ne remplace l’autre.
- Etherscan / BscScan — vérifier que le contrat est « verified », puis lire les fonctions
transfer,_transferet les modificateurs associés. - Token Sniffer — score automatique de risque, détection des frais de vente anormaux et des fonctions de blocage.
- Honeypot.is — simulation d’achat et de vente sur le contrat pour vérifier si la sortie passe réellement.
- Analyse du pool LP — vérifier si la liquidité est verrouillée (Unicrypt, Team Finance) et pour quelle durée.
- Droits du owner — vérifier si la fonction
renounceOwnership()a été appelée : sans elle, le créateur garde le contrôle. - Audit — identifier l’auditeur (CertiK, PeckShield, SlowMist), vérifier la date et la version du contrat auditée.
La lecture du code Solidity s’appuie sur les mêmes bases que tout contrat déployé sur Ethereum ou BNB Chain : le guide comprendre les smart contracts et leurs applications concrètes détaille la structure d’un contrat et ses fonctions standard.
La prestation : audit et diagnostic de smart contract
L’analyse d’un token suspect ou d’un contrat avant investissement suit un protocole fixe. Chaque mission couvre un périmètre technique précis et livre un verdict exploitable.
| Mission | Description | Importance |
|---|---|---|
| Revue du bytecode et du code source | Lecture des fonctions transfer, approve, modificateurs et droits du owner | Détecte les portes dérobées et les restrictions de vente |
| Simulation achat/vente | Exécution d’un cycle complet sur fork de la blockchain cible | Confirme si la sortie est réellement possible |
| Analyse de la liquidité | Vérification du pool LP, du verrouillage et de la répartition du supply | Évalue le risque de rug pull associé |
| Vérification des audits existants | Contrôle de l’auditeur, de la date et du périmètre couvert | Écarte les faux audits et les rapports périmés |
| Rapport de risque | Synthèse des vulnérabilités avec niveau de criticité | Fournit une base de décision documentée |
Signaux qui doivent alerter immédiatement
Certains indicateurs suffisent à écarter un token sans analyse approfondie. Ils se vérifient en moins de cinq minutes sur l’explorateur de blocs.
- Le contrat n’est pas vérifié sur Etherscan ou BscScan : le code source est illisible.
- La fonction
renounceOwnership()n’a jamais été appelée : le créateur conserve tous les droits. - Le supply est concentré à plus de 50 % sur une ou quelques adresses.
- La liquidité du pool n’est pas verrouillée, ou verrouillée pour moins de 30 jours.
- Le token n’apparaît que sur un DEX peu connu, sans listing sur une plateforme centralisée.
- La communauté supprime les questions critiques sur Telegram ou Discord.
- Les rendements annoncés dépassent 1 % par jour sans mécanisme économique identifiable.
- L’audit est signé par un cabinet sans historique public vérifiable.
Victime d’un honey pot : les démarches
Une fois la transaction confirmée sur la blockchain, elle est irréversible : aucun support ne peut annuler un transfert. Les actions possibles portent sur la traçabilité et le signalement, pas sur la récupération directe des fonds.
- Documenter l’adresse du contrat, le hash de transaction et les montants engagés.
- Signaler le token sur les plateformes de suivi (Token Sniffer, Chainabuse) pour alerter les autres acheteurs.
- Déposer une plainte auprès des autorités compétentes avec les preuves on-chain.
- Ne jamais payer de « frais de déblocage » demandés par un tiers : c’est une seconde arnaque.
- Révoquer les approbations accordées au contrat via un outil de révocation (Revoke.cash).
Questions fréquentes
Peut-on récupérer des fonds bloqués dans un honey pot ?
Non, dans la quasi-totalité des cas. Le smart contract interdit techniquement la vente et la blockchain ne permet aucune annulation de transaction. Seule une faille dans le contrat malveillant, exploitée par un tiers, pourrait libérer les fonds — c’est exceptionnel.
Un audit de sécurité garantit-il qu’un token n’est pas un honey pot ?
Non. Un audit vérifie le code à une date donnée, mais le créateur peut modifier le contrat après l’audit si les fonctions d’administration n’ont pas été renoncées. Il faut vérifier la date de l’audit et l’absence de droits résiduels du owner.
Comment tester un token avant d’investir une somme importante ?
Acheter un montant minimal, puis tenter immédiatement de le revendre. Si la transaction échoue ou si les frais de vente dépassent 20 %, le contrat est piégé. Cette méthode coûte quelques dollars mais évite une perte totale.
Les honey pots existent-ils sur toutes les blockchains ?
Toute blockchain supportant des smart contracts est concernée : Ethereum, BNB Chain, Polygon, Avalanche, Solana via ses programmes. Les chaînes à faible coût de transaction, comme la BNB Chain, concentrent le plus grand nombre de déploiements frauduleux.
À propos de l’auteur
José PEREZ rédige les analyses techniques publiées sur Cryptolabs.fr. Les contenus portent sur les mécanismes on-chain, la lecture de smart contracts et les risques associés aux actifs numériques.
José est un passionné de technologie et un expert en cryptomonnaie avec plus de 5 ans d'expérience dans le domaine des actifs numériques. Après avoir découvert Bitcoin en 2017, il s'est plongé dans l'univers de la blockchain et des crypto-actifs, développant rapidement une expertise en trading, en analyse de marché et …
Tous les articles de José PEREZ →
