Qu’est-ce qu’une arnaque crypto de type « pot de miel » ? Guide des contrats intelligents Ethereum

Imaginez une petite boutique. Elle prend votre argent, vous remet un reçu, vous sourit. Puis, discrètement, elle verrouille la sortie. Techniquement, tout ce qui se trouve sur les étagères vous appartient. Mais vous ne pouvez rien emporter. Voilà, en une image, une arnaque crypto de type « pot de miel ». Et en 2025, des dizaines de milliers de ces pièges étaient actifs sur la blockchain à tout moment, disséminés sur les plateformes d'échange décentralisées, dissimulés dans du code de contrats intelligents malveillants que personne ne lit.

Vous n'avez peut-être jamais entendu ce terme auparavant. Ce n'est pas grave. Une fois que vous l'aurez compris, vous le repérerez partout. Le token qui s'envole de 400 % un mercredi comme un autre, avec 2 000 acheteurs et aucun vendeur. Le portefeuille dont quelqu'un vous parle en vous demandant de l'aide pour transférer cet argent. La cryptomonnaie dont une célébrité a parlé sur Twitter 10 secondes avant que le cours ne s'envole. Certains de ces tokens sont des pièges. D'autres non. Ce guide a pour but de vous apprendre à les distinguer, même sans être développeur.

Vérifiez d'abord l'ampleur du problème. Le rapport 2026 de Chainalysis sur la criminalité liée aux cryptomonnaies indique que les adresses crypto illicites ont généré 154 milliards de dollars en 2025, soit une hausse de 162 % par rapport à l'année précédente. Le rapport 2025 du FBI sur la cybercriminalité estime la fraude liée aux cryptomonnaies à 11,366 milliards de dollars, dont 7,2 milliards proviennent d'escroqueries à l'investissement. Les leurres représentent une part importante de ces deux chiffres. Sur Ethereum, Base et BNB Chain, ils sont monnaie courante. Je vais donc vous expliquer où se situe réellement ce piège et quelles précautions élémentaires prendre pour l'éviter.

Qu'est-ce qu'un honeypot dans le monde des cryptomonnaies ? Introduction pour débutants

Un « honeypot » est un piège dans le monde des cryptomonnaies qui ressemble à une opportunité légitime, mais qui est conçu pour vous empêcher de récupérer votre argent. Le terme vient de l'image d'un appât laissé à découvert pour attirer les mouches. Dans l'univers des cryptomonnaies, cet appât est généralement un jeton très en vogue, un portefeuille qui semble contenir des fonds gratuits, ou un site web promettant des rendements exceptionnels.

Voici la distinction essentielle : un honeypot ne vole pas vos cryptomonnaies en vous piratant. Il ne vide pas votre portefeuille de l’extérieur. Il vous permet d’envoyer vous-même une certaine quantité de cryptomonnaie à un contrat sans possibilité de retour. Une fois l’argent transféré, l’escroc en a le contrôle. Vous, non.

Un honeypot on-chain typique se présente ainsi : un nouveau token apparaît sur Uniswap, PancakeSwap ou une autre plateforme de finance décentralisée promettant de décentraliser les échanges de tokens. Son cours grimpe en flèche. Les utilisateurs achètent le token. Vous aussi. Votre portefeuille affiche désormais un solde. Vous tentez de vendre. La transaction échoue, est annulée ou aboutit avec des frais de vente exorbitants de 100 %, vous laissant sans rien. Votre solde est toujours là, mais il est bloqué. Vous vous retrouvez avec des tokens sans valeur, dans l’attente d’une opportunité qui restera vaine. Difficile, dans ces conditions, de parler de piratage, puisqu’aucune faille de sécurité n’a été exploitée directement contre vous.

D'où vient le terme « pot de miel » ?

Le mot est bien plus ancien que la crypto. « Honeypot » apparaît explicitement dans le livre de Clifford Stoll, *L'Œuf du coucou* , paru en 1989. Stoll était administrateur système au laboratoire de Berkeley. Il remarqua une erreur de comptabilité de 75 centimes, la corrigea et se retrouva à traquer un pirate informatique lié au KGB à travers les réseaux militaires. Les faux fichiers qu'il créa pour occuper le pirate ? C'étaient les premiers honeypots. Une technologie au service du bien.

Le monde des cryptomonnaies a inversé les rôles. Quarante ans plus tard, le piège s'adresse aux utilisateurs réguliers, et non aux intrus. Désormais, c'est vous la mouche. Même structure, moralité opposée. Quand on dit dans le milieu crypto « ce token est un pot de miel », cela signifie que le code est piégé contre l'acheteur, généralement par des restrictions cachées dans la logique contractuelle que personne ne lit.

Comment fonctionne une arnaque au pot de miel étape par étape

La plupart des arnaques par « pot de miel » suivent le même scénario. Une fois que vous l'avez vu une fois, vous repérez les nouvelles variantes en quelques minutes.

Tout commence par un escroc qui rédige un contrat intelligent. En apparence, il ressemble à un jeton standard. La fonction d'achat fonctionne. Déployez-le sur Ethereum, Base, BNB Chain ou Solana. Jusque-là, tout est normal.

Puis vient le piège. Une restriction se cache quelque part dans la logique de vente. Il peut s'agir d'une liste noire qui ajoute discrètement chaque nouvel acheteur, d'une taxe de 100 % sur la vente, d'une fonction réservée au propriétaire ou encore d'un contrat auxiliaire qui gère les transferts. Les acheteurs peuvent envoyer des jetons, seul l'escroc peut en envoyer. Le résultat est le même, sous différentes formes.

Vient ensuite la mise en scène. L'escroc alimente un pool de liquidités sur une plateforme d'échange décentralisée. Le token semble échangeable. Il effectue des opérations de blanchiment avec ses propres portefeuilles et un ou deux portefeuilles tiers afin de créer un graphique trompeur. Bougies vertes, volume en hausse. Telegram est inondé de questions du type « comment acheter ? ».

Puis la promotion, sur les réseaux sociaux. Parfois via des influenceurs rémunérés. Parfois en usurpant l'identité d'un projet connu. Parfois en s'appuyant sur un événement d'actualité, comme lorsque $SQUID a surfé sur la vague du jeu Squid de Netflix en 2021. Telegram, X, TikTok. Toujours avec un ton d'urgence : « seulement 1 000 portefeuilles peuvent émettre », « lancement du token dans 2 heures », « prix déjà en hausse de 300 % ».

Le dénouement est toujours le même : les victimes tentent de vendre. Ces transactions échouent, sont annulées ou redirigent l’intégralité des fonds vers le portefeuille de l’escroc. Avant même que le chat Telegram ne s’en aperçoive, l’escroc a déjà vidé la cagnotte ou transféré les fonds vers un troisième contrat. Ce contrat inactif reste indéfiniment sur la blockchain, témoin impérissable du piège.

Types de pièges à miel que vous rencontrerez réellement

Les pièges à miel se présentent sous bien des formes, contrairement à ce que la plupart des débutants imaginent. Voici les principaux types de pièges à miel rencontrés en 2025.

• Ce contrat intelligent bloque toute transaction de vente provenant d'une adresse non autorisée. Vos jetons restent dans votre portefeuille et vous ne pourrez jamais les déplacer.
• Pièges de listes noires dissimulées. Chaque nouvel acheteur est discrètement ajouté à une liste noire au moment de l'achat. L'achat fonctionne ; la vente devient impossible définitivement.
• Piège à taxe de vente à 100 %. Le contrat redirige 100 % de chaque vente vers un portefeuille « trésorier » (l'escroc). Techniquement, vous vendez, mais vous ne recevez rien.
• Pièges à liquidité. Le pool de liquidités est unilatéral ou contrôlé par le déployeur. Les ordres de vente échouent faute de liquidités en contrepartie, ou parce que l'escroc retire les liquidités à sa guise.
• Pièges réservés aux propriétaires. Des fonctions cachées, accessibles uniquement aux propriétaires, permettent à l'escroc de suspendre les échanges, de créer une quantité illimitée de jetons ou de modifier les taxes après le lancement. Même un lancement « loyal » peut se transformer en piège une heure plus tard.
• Arnaques aux portefeuilles et aux prétendus « ETH gratuits ». Il ne s'agit pas de tokens. Un escroc publie un portefeuille avec des tokens visibles sur la blockchain et partage la phrase de récupération. Lorsque vous tentez de retirer les tokens, des frais de gaz sont nécessaires. Vous en envoyez, mais un bot de nettoyage les intercepte immédiatement. Vous ne recevez rien. MetaMask met spécifiquement en garde contre cette variante.
• Pièges liés à de faux messages d'« assistance » sur Etherscan. Une personne répond à votre commentaire sur Etherscan en vous proposant son aide. Elle vous demande d'envoyer une petite quantité d'ETH à un contrat de « renversement ». Ce contrat est en réalité un piège qui conserve vos ETH.

Solidus Labs a répertorié à lui seul 98 442 contrats honeypots on-chain, répartis entre les variantes de contrats externes, de blocs de liquidité et de listes de blocs. Token Sniffer surveille plus de 47,9 millions de tokens sur 15 chaînes et signale plus de six millions d'entre eux comme étant des arnaques. Les chiffres sont loin d'être négligeables.

Les pièges à miel des contrats intelligents et l'astuce de la taxe de vente

Parmi toutes les variantes, les pièges à contrats intelligents sur les blockchains de type Ethereum sont les plus répandus. La plupart de ces pièges sont alimentés par les contrats intelligents Ethereum et leurs clones sur la blockchain Ethereum. Ce phénomène illustre également pourquoi le fait que « le code soit public » n'offre pas la protection que beaucoup de débutants imaginent.

Un contrat intelligent de type honeypot semble anodin de prime abord. Il hérite de la bibliothèque standard OpenZeppelin ERC-20. Il possède un nom, un symbole et une réserve. Si vous examinez son code source sur un explorateur de blocs comme Etherscan ou BscScan, vous y verrez peut-être des centaines de lignes. La plupart sont inoffensives. Le piège se dissimule généralement dans la fonction `_transfer`, ou dans un module intelligent suspect distinct, appelé par le jeton principal via une adresse auxiliaire.

La version la plus élégante est l'astuce de la taxe de vente. Le contrat comporte une variable appelée `sellTax`. Au lancement, sa valeur est de 5 %, ce qui est normal. Dix minutes après le lancement, le propriétaire appelle `setSellTax(100)`. Désormais, chaque vente transfère tous les jetons à la trésorerie. Les achats fonctionnent toujours, car ils passent par une fonction différente. À moins de comprendre le code source, il est possible de lire le contrat sans voir le piège, car de l'extérieur, il ressemble à n'importe quel autre jeton Web3 ERC-20.

C'est pourquoi, pour un débutant, lire soi-même le code d'un contrat intelligent est risqué. Il est préférable d'effectuer une simulation (lancer une vente test et vérifier sa réussite) ou d'utiliser un outil connaissant déjà ces schémas. Honeypot.is, Token Sniffer, De.Fi Scanner, QuillCheck et GoPlus Security proposent tous ce type d'analyse. Aucun n'est infaillible. En 2025, les créateurs de honeypots utilisent des contrats proxy évolutifs et des déclencheurs temporisés précisément pour contrer les scanners statiques. Par conséquent, toute tentative d'exploitation d'un nouveau contrat nécessite plusieurs outils.

Pièges à portefeuilles : le piège de la phrase-clé

Cette variante de portefeuille mérite une explication distincte car elle n'implique aucun contrat de jeton. MetaMask, Trezor et Ledger publient un avertissement officiel à ce sujet.

L'arnaque semble anodine. Un inconnu sur Telegram, Discord ou Twitter prétend être novice en cryptomonnaies et ne pas savoir comment transférer des fonds depuis un portefeuille. Il partage la phrase de récupération (oui, vraiment !) et explique que le portefeuille est « bloqué » car il contient des jetons mais pas de gaz. Il vous demande de l'aide et propose de partager le contenu du portefeuille.

Vous chargez votre portefeuille dans MetaMask. Vous constatez un solde réel : des USDT, et peut-être quelques autres jetons. Vous tentez de vous envoyer les USDT. Impossible, car votre portefeuille ne dispose d'aucun ETH pour les frais de transaction. Vous envoyez donc un peu d'ETH depuis votre propre portefeuille pour couvrir ces frais.

Dès l'arrivée des ETH, un bot de surveillance, programmé pour surveiller cette adresse, transfère tous les wei entrants vers le véritable portefeuille de l'escroc. Vos frais de gaz sont épuisés. Les tokens que vous pensiez sauver n'ont jamais pu être récupérés. Ils étaient soit bloqués par des restrictions contractuelles, soit il s'agit d'USDT gelés par Tether car l'adresse était déjà signalée.

La règle pour éviter ce genre d'arnaque est très simple : ne faites jamais confiance à un portefeuille dont la phrase de récupération vous a été fournie par quelqu'un d'autre. Si cette personne en était réellement propriétaire, elle enverrait elle-même les fonds. Ce piège est l'une des méthodes les plus simples utilisées par les escrocs pour soutirer de l'argent aux débutants, et il est conçu pour piéger quiconque est assez novice pour croire que l'argent « gratuit » l'est réellement.

Arnaques célèbres au pot de miel : SQUID, HAWK, LIBRA

Des exemples concrets permettent de mieux comprendre cela.

SQUID (1er novembre 2021). Voici l'exemple type pour les débutants. Le token a profité de la popularité du jeu Squid de Netflix. L'achat a fonctionné et semblait explosif. Le prix est passé d'environ 0,01 $ à près de 2 861 $, une hausse si spectaculaire que le Washington Post et la BBC en ont parlé. Les détenteurs ont tenté de vendre. Impossible. Les développeurs ont alors siphonné environ 3,38 millions de dollars du pool de liquidités et ont disparu. Le token s'est effondré de plus de 99,99 % en moins de cinq minutes. Un pur piège à tokens, une arnaque à la sortie.

HAWK (4 décembre 2024). Il ne s'agit pas d'un honeypot à contrat intelligent classique, mais le principe reste le même. Lancé par Haliey « Hawk Tuah » Welch, le token a atteint une capitalisation boursière de 500 millions de dollars le jour de son lancement. Une analyse on-chain réalisée par Halborn a révélé que 96 % de l'offre était détenue par des initiés. Lorsque ces derniers ont vendu massivement leurs tokens, le prix a chuté de plus de 95 % le même jour. Les acheteurs se sont retrouvés avec des tokens qui, techniquement, continuent d'être négociés, mais qui, techniquement, n'ont toujours aucune valeur.

LIBRA (14 février 2025). Le président argentin Javier Milei a évoqué le token quelques minutes après son lancement. Son prix est passé de presque zéro à 5,20 $ en 40 minutes. Les initiés détenaient 70 % de l'offre et ont déversé leurs fonds sur le marché noir. Environ 251 millions de dollars ont été perdus. L'affaire fait désormais l'objet d'une enquête fédérale et constitue l'un des exemples les plus flagrants de la façon dont un soutien politique, une liquidité rapide et une offre d'initiés peuvent créer un piège, même sans contrats spécifiques.

Dechat (26 février 2024). Un enquêteur a retracé le vol d'environ 3,2 millions de dollars via neuf contrats de leurres liés entre eux. L'auteur de ce vol a utilisé les réseaux sociaux compromis de Dechat pour diffuser le lien malveillant. Ceci nous rappelle que même des projets légitimes peuvent promouvoir involontairement un leurre si leurs comptes sont piratés.

Arnaques aux cryptomonnaies : arnaques « pot de miel », arnaques « troll » et autres escroqueries liées aux cryptomonnaies

Les débutants utilisent souvent ces termes indifféremment. Il s'agit pourtant de pièges différents. Les arnaques de type « pot de miel » dans le domaine des cryptomonnaies visent spécifiquement à bloquer les sorties ; les autres catégories fonctionnent différemment, même si toutes exploitent le même levier émotionnel fondamental : l'urgence et la surenchère.

Le honeypot est un piège dont le code est intégré avant même votre arrivée. Les arnaques par « rug pull » nécessitent une intervention de l'équipe après coup. Les honeypots fonctionnent automatiquement, ce qui explique leur facilité de déploiement à grande échelle ; une fois en place, l'escroc n'a quasiment plus besoin de se manifester.

Le fonctionnement des arnaques au pot de miel change avec les pièces de monnaie mèmes

Les cryptomonnaies à thème, notamment sur Solana, sont le terrain propice à l'explosion des tactiques d'arnaque véhiculées par les honeypots. Un rapport de Solidus Labs, couvrant la période de janvier 2024 à mars 2025, a identifié 98,6 % des tokens Pump.fun comme des opérations de type « pump and dump » ou « rug pull ». Pump.fun a émis à lui seul plus de 11,9 millions de tokens et représente régulièrement environ 71 % des lancements de tokens Solana quotidiens. Ces arnaques utilisent les mêmes techniques d'ingénierie sociale que les honeypots classiques, adaptées au public des cryptomonnaies à thème. La peur de rater une opportunité fait le reste.

La raison est structurelle. Pump.fun permet à n'importe qui de créer un token en quelques secondes avec un capital quasi nul. On lance un token, on investit les premiers centaines de dollars, on en fait la promotion sur X, et on attend. Si les acheteurs arrivent, on revend. Sinon, on abandonne le token et on passe à autre chose. Multipliez cela par un million de portefeuilles et vous obtenez un écosystème où acheter une nouvelle crypto-monnaie à la mode s'apparente davantage à tenter sa chance à une machine à sous qu'à investir.

Toutes les cryptomonnaies à base de mèmes ne sont pas des pièges à cryptomonnaies invendables au sens strict. Cependant, leur structure de coûts privilégie le volume à la qualité. La même étude de Solidus Labs a révélé que 93 % des 388 000 pools de liquidités Raydium analysés présentaient un comportement de type « rug-pull » (traction de liquidités). Sur environ 7 millions de jetons Solana à base de mèmes ayant un historique d'échanges, seuls 97 000 environ ont conservé une liquidité supérieure à 1 000 $. De tels chiffres devraient vous inciter à revoir votre évaluation des risques.

Audits de contrats intelligents et détection de honeypots

Les audits de contrats sont la partie la plus sérieuse et la plus exigeante de la discussion. Un audit de contrat intelligent réalisé par une entreprise compétente comme Halborn, CertiK, PeckShield, Trail of Bits ou SlowMist analyse le code ligne par ligne, simule les cas limites et certifie (ou invalide) le contrat. Les audits ne garantissent pas la sécurité, mais ils permettent de détecter rapidement les pièges les plus grossiers.

Pour un novice qui s'intéresse à un nouveau token, la question pratique n'est pas « a-t-il fait l'objet d'un audit ? » mais « a-t-il été audité par un cabinet réputé, et cet audit portait-il sur la version actuelle du contrat ? ». De nombreux tokens douteux mentionnent un « audit » dans leur marketing et renvoient vers un PDF d'un cabinet inconnu, ou vers un audit réel réalisé sur une version antérieure du code.

Pour les jetons non audités, ce qui est le cas de la plupart d'entre eux, la meilleure solution suivante est la détection automatisée par honeypot. Outils gratuits utiles :

Il est toujours conseillé de vérifier un jeton avec au moins deux outils, et non un seul. Aucun scanner n'est infaillible et les concepteurs de honeypots s'adaptent constamment pour devancer les outils de vérification populaires du mois dernier.

Signes avant-coureurs d'un piège à miel

Inutile de lire Solidity pour repérer la plupart des pièges. Voici les signaux d'alerte qui devraient vous inciter à la prudence avant d'acheter.

• Ce jeton a été créé il y a moins de 24 heures et compte moins de 500 détenteurs. Les jetons en phase de lancement sont souvent des pièges. Vérifier l'historique des transactions sur Etherscan avant d'acheter un jeton est une pratique courante qui permet d'en déjouer un grand nombre.
• La liste des détenteurs révèle qu'un seul portefeuille possède plus de 20 % de l'offre, ou que deux ou trois portefeuilles en détiennent plus de 60 % à eux deux. C'est la signature d'une manipulation de cours.
• La liquidité n'est pas bloquée, ou le blocage expire en quelques jours plutôt qu'en plusieurs mois. Vérifiez auprès d'Unicrypt ou de Team Finance.
• Des promesses de rendements mirobolants qui semblent trop belles pour être vraies : « multipliez votre mise par 100 d’ici vendredi », « multipliez votre mise par 10 garantie la semaine prochaine », « seulement 1 000 portefeuilles peuvent en bénéficier ». C’est un signal d’alarme majeur. L’urgence est le moteur de l’escroc.
• Aucune équipe vérifiable ni aucun signe de légitimité. Un modérateur Discord inconnu, un déployeur anonyme et aucun profil LinkedIn. Pas forcément une arnaque, mais de quoi s'inquiéter.
• Le contrat inclut des fonctions réservées au propriétaire (« émission », « pause », « liste noire » ou « fixation des frais ») sans limitation de durée. Même sans intention malveillante, une seule clé compromise peut tromper les acheteurs ultérieurement.
• Ce canal Telegram compte des milliers de membres, mais les conversations semblent scénarisées. Les fermes de bots répètent souvent les mêmes promesses d'un compte à l'autre. Soyez attentif aux formulations répétées.
• Le graphique du jeton affiche de nombreux achats et quasiment aucune vente. Les jetons authentiques enregistrent les deux. L'absence de ventes est souvent le signe le plus clair qu'il s'agit d'un piège, car l'arnaque empêche intentionnellement les utilisateurs de vendre.

Ces signaux d'alerte vous aident à identifier les jetons potentiellement piégeux et à éviter d'en être victime lorsqu'une nouvelle cryptomonnaie devient populaire.

La plupart des acheteurs perdent de l'argent dans des pièges, non pas parce que les signes avant-coureurs étaient invisibles, mais parce que la peur de rater une bonne affaire (FOMO) a pris le dessus sur leur intuition. Quand l'escroc réussit à vendre et que personne d'autre n'y parvient, les décisions rapides lui sont toujours favorables.

Si vous êtes tombé dans un piège à cryptomonnaies : que faire ?

Premier constat : vos chances de récupérer votre argent sont minimes. Dans le cas d'escroqueries purement basées sur des contrats intelligents, la récupération est quasiment nulle, car ces arnaques sont conçues pour empêcher tout remboursement. Concernant les escroqueries de plus grande ampleur, le rapport 2024 de SlowMist indique que seulement 8,25 % des 2,013 milliards de dollars perdus lors de divers incidents de sécurité ont été restitués. Le taux de récupération pour les escroqueries purement basées sur des contrats intelligents est encore plus faible.

Il existe néanmoins des mesures pratiques à prendre.

Cessez toute interaction avec le contrat. Ne signez plus aucune transaction s'y rapportant, même celles qui prétendent « débloquer » vos jetons. Il s'agit presque toujours d'escroqueries.

Révoquez toutes les autorisations de jetons que vous avez accordées. Utilisez Revoke.cash ou l'outil de vérification des autorisations de jetons d'Etherscan pour identifier les contrats qui ont encore l'autorisation de dépenser des jetons de votre portefeuille. Révoquez ces autorisations.

Documentez tout. Sauvegardez l'adresse du contrat, les hachages des transactions, le site web ou le groupe Telegram où vous avez trouvé le jeton, ainsi que tous les messages reçus. Les captures d'écran sont importantes.

Signalez les fraudes. Aux États-Unis, le FBI (IC3) reçoit les plaintes pour fraude aux cryptomonnaies. La FTC accepte les signalements d'escroqueries sur reportfraud.ftc.gov. Au Royaume-Uni, Action Fraud est là pour ça. Chaque pays dispose de son propre organisme. Signalez également le jeton sur Etherscan ou BscScan afin d'alerter les autres utilisateurs, et sur Token Sniffer s'il n'y est pas déjà répertorié. La plupart des plateformes d'échange de cryptomonnaies signaleront également l'adresse sur demande si les fonds volés ont été transférés sur leur plateforme.

Ne faites pas appel à un service de récupération de fonds qui vous contacte par Telegram, Twitter, Instagram ou e-mail. Il s'agit d'une arnaque de suivi très répandue. Les récupérations légitimes, lorsqu'elles ont lieu, sont gérées par les forces de l'ordre et des entreprises spécialisées en criminalistique blockchain (Chainalysis, TRM Labs, Elliptic), et ces entreprises ne font pas de publicité par messages privés.

Partagez publiquement l'adresse du contrat. Si un jeton est un leurre confirmé, rendre cette information visible protège les autres utilisateurs.

Marco Lucchetti

Marco Lucchetti is a senior content strategist and blockchain analyst at Plisio. With over 7 years of experience in cryptocurrency research, DeFi protocols, and payment technologies, Marco specializes in creating clear, data-driven content for a global crypto audience. His work focuses on transaction tracing, crypto compliance, and the future of blockchain infrastructure.