Un honeypot est un jeton dont le contrat autorise l'achat et empêche la revente. Votre position monte à l'écran, parfois de plusieurs centaines de pourcents, et vous ne pouvez rien en sortir. Ce n'est pas un bug : c'est écrit dans le code dès le départ, et ça se détecte en deux minutes.
Comment fonctionne un honeypot
Le principe repose sur une propriété que peu de gens ont en tête : un jeton n'est pas une donnée passive, c'est un programme. Chaque transfert passe par une fonction du smart contract, et cette fonction peut contenir n'importe quelle règle.
L'escroc écrit donc une condition qui distingue les acheteurs des vendeurs. Acheter fonctionne normalement. Vendre échoue, avec un message d'erreur générique que l'interface attribue souvent à un problème de slippage ou de frais de réseau. La victime augmente sa tolérance, réessaie, échoue encore, et met plusieurs heures à comprendre.
Pendant ce temps, le graphique ne fait que monter. C'est mécanique : puisque aucune vente ne s'exécute, il n'y a que des achats dans la pool. La courbe spectaculaire qui attire de nouvelles victimes est le produit direct du piège, pas un signe d'engouement.
Les variantes qu'on rencontre
Le blocage pur. La fonction de transfert rejette toute vente sauf pour une liste d'adresses contrôlées par le créateur, généralement inscrite en dur dans le code.
La taxe confiscatoire. Techniquement, la vente passe. Mais une taxe de 99 % est prélevée au passage. C'est plus difficile à détecter par un test automatique, puisque la transaction réussit.
Le blocage différé. Le contrat fonctionne normalement pendant quelques jours, le temps que le volume monte et que les détecteurs le classent sans danger, puis le créateur active la restriction par une fonction d'administration prévue à cet effet. C'est la variante la plus vicieuse, parce qu'elle rend caduque toute vérification faite avant l'activation.
La liste noire dynamique. Le créateur ajoute des adresses au fur et à mesure. Les premiers acheteurs peuvent vendre, ce qui rassure et alimente les captures d'écran de gains ; les suivants sont bloqués.
Le test à trente centimes
Voici la vérification la plus efficace qui existe, et presque personne ne la fait.
Achetez une somme dérisoire, puis tentez immédiatement de la revendre. Deux ou trois euros suffisent. Si la vente échoue ou si le montant récupéré est absurdement bas, vous venez de détecter un honeypot pour le prix d'un café, avant d'y avoir mis quoi que ce soit de sérieux.
Cette méthode a un avantage décisif sur toutes les autres : elle teste le comportement réel du contrat à l'instant présent, pas ce qu'un outil déduit de son code. Elle attrape donc aussi les taxes confiscatoires et les contrats trop alambiqués pour être analysés automatiquement.
Sa limite est le blocage différé : un contrat sain aujourd'hui peut être verrouillé demain. Le test dit ce qui se passe maintenant, pas ce qui se passera. D'où l'utilité des vérifications qui suivent.
Les autres signaux
Le code n'est pas publié. Sur un explorateur de blockchain, l'onglet du contrat indique si le code source a été vérifié. S'il ne l'est pas, personne ne peut savoir ce que fait ce jeton. C'est éliminatoire, sans discussion possible.
Le contrat conserve des droits d'administration. Cherchez les fonctions permettant de modifier les taxes, d'ajouter des adresses à une liste noire ou de suspendre les transferts. Leur simple présence ne prouve rien, mais combinée à une équipe anonyme, elle rend le blocage différé possible à tout moment.
Personne n'a jamais vendu. C'est le signal le plus parlant et il ne demande aucune compétence. Ouvrez l'historique des transactions du jeton sur un explorateur : si vous voyez des dizaines d'achats et aucune vente, la question est réglée. Un jeton normal a toujours des vendeurs.
Le graphique ne descend jamais. Une courbe qui monte en ligne droite sans le moindre repli n'est pas un bon signe, c'est un symptôme. Tous les actifs réels ont des vendeurs, donc des reculs.
La détention est ultra concentrée. Quelques adresses détenant l'essentiel de l'offre peuvent écraser le cours quand elles le décident.
Les outils, et ce qu'ils ne voient pas
Plusieurs services analysent automatiquement un contrat à partir de son adresse et signalent les blocages de vente, les taxes élevées et les droits d'administration. Ils sont utiles en première passe et éliminent les cas grossiers en quelques secondes.
Trois réserves toutefois, et elles comptent.
Certains contrats sont écrits spécifiquement pour tromper ces outils, en dissimulant la condition de blocage derrière des appels indirects.
Aucun outil ne peut anticiper un blocage activé plus tard par une fonction d'administration.
Et un score favorable ne dit rien de la solvabilité du projet : un jeton peut être techniquement vendable et n'avoir aucune valeur.
La combinaison qui protège vraiment est simple : outil automatique pour éliminer le grossier, puis test de revente réel pour confirmer.
Honeypot, rug pull, arnaque classique : ne pas confondre
| Honeypot | Rug pull | |
|---|---|---|
| Où est le piège | Dans le code du contrat | Dans le comportement de l'équipe |
| Quand ça se voit | Dès la première tentative de vente | Au moment du retrait, sans prévenir |
| Le cours | Monte sans jamais baisser | Monte puis s'effondre d'un coup |
| Détection | Test de revente, lecture du code | Liquidité verrouillée, équipe identifiée |
Un rug pull vide la réserve de liquidité : le jeton reste vendable, mais il n'y a plus rien en face. Un honeypot laisse la liquidité en place et interdit la sortie. Le résultat est identique pour vous, la méthode de détection ne l'est pas du tout. Un jeton peut d'ailleurs être les deux, avec un blocage des ventes en attendant le retrait final.
Si vous êtes déjà dedans
Autant l'écrire sans détour : les fonds sont perdus. Aucune manipulation ne contourne une restriction inscrite dans un contrat immuable, et il n'existe ni service client ni recours.
Trois choses restent utiles.
Révoquez l'autorisation de dépense que vous avez accordée au contrat. Elle ne récupère rien, mais elle empêche qu'il puisse déplacer d'autres jetons du même portefeuille plus tard.
Ne payez jamais pour « débloquer » vos jetons. Les victimes de honeypot sont immédiatement ciblées par une seconde vague d'escrocs proposant un déblocage moyennant une avance. Sans exception connue, ce sont des arnaques. Il n'existe aucune technique de déblocage, pour personne.
Conservez les preuves et signalez. Identifiant de transaction, adresse du contrat, captures des communications du projet. L'escroquerie est punie par la loi française, y compris sur des actifs numériques, et les plaintes groupées sur un même contrat ont davantage de chances de déclencher une enquête.
Notre guide sur l'achat sur un DEX reprend ces vérifications dans l'ordre, au moment de passer l'ordre.
Honeypot crypto : les questions fréquentes
C'est quoi un honeypot en crypto ?
C'est un jeton dont le smart contract autorise l'achat mais empêche la revente. La restriction est écrite dans le code dès le départ, souvent en réservant la possibilité de vendre à une liste d'adresses contrôlées par le créateur. Le cours ne fait que monter, puisque aucune vente ne s'exécute, ce qui attire de nouvelles victimes. Le nom vient de l'image du pot de miel dans lequel on entre sans pouvoir ressortir.
Comment détecter un honeypot ?
La méthode la plus fiable est empirique : acheter deux ou trois euros du jeton puis tenter immédiatement de le revendre. Si la vente échoue ou si le montant récupéré est dérisoire, le piège est confirmé pour un coût négligeable. En complément, vérifiez que le code du contrat est publié, consultez l'historique des transactions pour voir si des ventes ont eu lieu, et passez l'adresse dans un outil d'analyse automatique.
Quelle est la différence entre un honeypot et un rug pull ?
Dans un honeypot, le piège est dans le code : la liquidité reste en place mais la vente est bloquée. Dans un rug pull, l'équipe retire la réserve de liquidité, si bien que le jeton reste techniquement vendable mais qu'il n'y a plus rien en face. Le honeypot se détecte avant d'investir par un test de revente, le rug pull se prévient en vérifiant que la liquidité est verrouillée et que l'équipe est identifiable.
Peut-on récupérer ses fonds après un honeypot ?
Non. Une restriction inscrite dans un smart contract déployé ne peut pas être contournée, et il n'existe ni service client ni procédure d'annulation. Les offres payantes de déblocage sont toutes des arnaques ciblant les victimes. Il reste utile de révoquer l'autorisation de dépense accordée au contrat, de conserver les preuves et de porter plainte, l'escroquerie étant punie par la loi française y compris sur actifs numériques.
Les outils de détection de honeypot sont-ils fiables ?
Ils éliminent rapidement les cas grossiers et méritent d'être utilisés, mais ils ont trois angles morts. Certains contrats sont écrits spécifiquement pour les tromper en dissimulant la condition de blocage. Aucun ne peut anticiper une restriction activée plus tard par une fonction d'administration. Et un score favorable ne dit rien de la valeur réelle du projet. Le test de revente réel reste la confirmation la plus solide.
Pourquoi le cours d'un honeypot monte-t-il toujours ?
Parce que la hausse est le produit mécanique du piège. Le prix d'un jeton sur un échange décentralisé dépend du rapport entre les deux actifs de la pool : si tout le monde achète et que personne ne parvient à vendre, le cours ne peut que grimper. La courbe spectaculaire qui attire de nouvelles victimes n'est donc pas un signe d'engouement, c'est le symptôme du blocage.
Un jeton peut-il devenir un honeypot après coup ?
Oui, et c'est la variante la plus difficile à éviter. Si le contrat conserve des fonctions d'administration permettant de modifier les taxes ou d'ajouter des adresses à une liste noire, le créateur peut laisser le jeton fonctionner normalement quelques jours, le temps que le volume monte et que les détecteurs le classent sans danger, puis activer la restriction. C'est pourquoi la présence de ces droits est un signal à part entière.
Où trouve-t-on le plus de honeypots ?
Sur les échanges décentralisés, où n'importe qui peut créer un jeton et sa pool en quelques minutes sans la moindre vérification. Les réseaux à frais très faibles concentrent le phénomène, puisque déployer un contrat frauduleux y coûte quelques centimes. Les plateformes centralisées agréées, qui sélectionnent les jetons qu'elles listent, sont de fait beaucoup moins exposées à ce type de piège.
