Rug pull crypto et NFT : définition, mécanismes et signaux d'alerte

Qu'est-ce qu'un rug pull ?

L'expression anglaise « rug pull » signifie littéralement « tirer le tapis ». Elle désigne une escroquerie dans laquelle les créateurs d'un projet de cryptomonnaie ou de NFT attirent des acheteurs, encaissent leurs fonds, puis abandonnent le projet. Les acheteurs se retrouvent avec un actif qui ne vaut plus rien.

Le parquet fédéral du district sud de New York en donne une définition précise dans un communiqué du 24 mars 2022 : le créateur d'un projet NFT ou de jeu sollicite des investissements, puis abandonne brusquement le projet et conserve frauduleusement les fonds des investisseurs.

La société d'analyse de blockchain Chainalysis distingue le rug pull des autres arnaques par un point : les développeurs construisent ce qui ressemble à un vrai projet, avec un jeton, un site et une communauté, avant de disparaître avec l'argent. Ils ne se contentent pas d'ouvrir un portefeuille pour recevoir des dépôts, selon son analyse publiée le 16 décembre 2021.

L'ampleur du phénomène

Chainalysis chiffre à 2,8 milliards de dollars les sommes captées par les rug pulls en 2021. Ils représentaient alors 37 % des revenus des arnaques aux cryptomonnaies, contre 1 % seulement en 2020.

Ce total est dominé par un seul dossier. La plateforme d'échange turque Thodex concentre à elle seule plus de 2 milliards de dollars de pertes, soit près de 90 % des rug pulls de l'année selon la même étude. Son dirigeant a disparu après avoir bloqué les retraits des clients. Le cas montre qu'un rug pull ne touche pas seulement les petits jetons de la finance décentralisée : une plateforme centralisée peut aussi fermer ses portes avec les dépôts de ses utilisateurs.

Comment fonctionne un rug pull ?

Le retrait de la liquidité

Le schéma le plus répandu en finance décentralisée (DeFi) repose sur les pools de liquidité des plateformes d'échange décentralisées. Un pool contient deux jetons, par exemple un nouveau jeton et de l'ether, et permet d'échanger l'un contre l'autre sans intermédiaire.

La documentation d'Uniswap v2 décrit le principe : celui qui dépose de la liquidité reçoit des jetons de liquidité, puis les « brûle » pour récupérer sa part du pool. Dans un rug pull, les créateurs alimentent eux-mêmes le pool, laissent les acheteurs y verser de l'ether ou des stablecoins en échange du nouveau jeton, puis retirent toute la liquidité. Le jeton n'a alors plus de contrepartie et sa valeur tombe à zéro, le schéma que décrit Chainalysis.

Chainalysis souligne un facteur aggravant : avec un minimum de compétences techniques, créer un jeton et le lister sur une plateforme décentralisée coûte peu, et aucun audit du code n'est exigé.

Le jeton impossible à revendre

Une autre variante consiste à programmer le contrat du jeton pour que seuls ses créateurs puissent vendre. Les acheteurs voient le cours monter, mais leurs ordres de vente échouent. Les créateurs vendent ensuite leurs propres jetons au sommet.

L'abandon d'une collection NFT

Dans l'univers des NFT, le rug pull prend souvent la forme d'une collection vendue sur la promesse d'avantages futurs : jeu, récompenses, accès exclusifs, produits dérivés. Une fois la collection écoulée, l'équipe ferme le site, supprime ses comptes et transfère les fonds vers d'autres portefeuilles.

Trois affaires documentées

Le jeton Squid Game

Le jeton Squid, inspiré de la série de Netflix, se présentait comme une cryptomonnaie « play-to-earn » destinée à un futur jeu en ligne. Selon la BBC, le 2 novembre 2021, son cours est passé d'un cent à plus de 2 856 dollars en moins d'une semaine, avant de perdre 99,99 % de sa valeur, d'après les données de CoinMarketCap citées par la BBC.

Les acheteurs ne pouvaient pas revendre leurs jetons. Le site du projet et ses comptes sur les réseaux sociaux ont disparu. Les développeurs seraient partis avec environ 3,38 millions de dollars, une estimation du site Gizmodo reprise par la BBC.

Les NFT Frosties

L'affaire Frosties a donné lieu à l'une des premières poursuites pénales visant un rug pull de NFT. Selon le parquet fédéral de New York, les acheteurs se voyaient promettre des cadeaux, un accès anticipé à un jeu dans le métavers et des droits sur les saisons suivantes de la collection.

Le 9 janvier 2022, quelques heures après la vente de toute la collection, les deux créateurs, âgés de 20 ans, ont abandonné le projet, désactivé le site et transféré environ 1,1 million de dollars vers des portefeuilles sous leur contrôle, en plusieurs transactions destinées à masquer l'origine des fonds. Ils ont été arrêtés à Los Angeles alors qu'ils préparaient une seconde collection, Embers, dont le lancement était attendu vers le 26 mars 2022.

Mutant Ape Planet

Le 5 janvier 2023, le parquet fédéral du district est de New York a annoncé des poursuites contre Aurélien Michel, un Français de 24 ans résidant à Dubaï. Il a été arrêté à l'aéroport JFK de New York. La collection Mutant Ape Planet, sans lien avec Bored Ape Yacht Club, promettait des opportunités d'investissement, des cadeaux et des produits dérivés aux acheteurs.

D'après l'acte d'accusation, les acheteurs n'ont rien reçu et plus de 2,9 millions de dollars en cryptomonnaies ont été détournés vers des portefeuilles contrôlés par l'accusé. Le parquet affirme qu'il a reconnu le rug pull dans une discussion en ligne, tout en rejetant la faute sur les acheteurs :

« We never intended to rug but the community went way too toxic. »

Le parquet rappelle que ces faits restent des accusations et que l'accusé est présumé innocent tant que sa culpabilité n'est pas établie.

Les signaux d'alerte relevés dans ces affaires

Les dossiers judiciaires et les analyses publiées font apparaître des points communs :

• Des promesses d'avantages futurs : jeu à venir, récompenses, accès exclusifs. Dans les affaires Frosties et Mutant Ape Planet, aucun de ces avantages n'a été livré.
• Des créateurs anonymes : dans l'affaire Frosties, le parquet note que l'identité réelle des créateurs était cachée aux acheteurs derrière des pseudonymes.
• Une hausse de cours très rapide sur un jeton récent, comme celle du jeton Squid.
• L'impossibilité de vendre, signe que le contrat du jeton bloque les ventes.
• Un code non audité et une liquidité contrôlée par l'équipe, que les créateurs peuvent retirer à tout moment.

Aucun de ces signaux ne suffit à lui seul à prouver une fraude. Ils indiquent un niveau de risque élevé, sur des marchés où la plupart des jetons sont créés et listés sans contrôle préalable.

Que disent les régulateurs ?

En France, l'Autorité des marchés financiers rappelle que l'investissement en crypto-actifs comporte des risques de volatilité, des risques techniques et des risques d'arnaque, et que de nombreux escrocs proposent de faux services d'investissement. Elle publie une liste noire des sites non autorisés.

Aux États-Unis, les affaires Frosties et Mutant Ape Planet montrent que les rug pulls peuvent être poursuivis comme des fraudes classiques. Dans le dossier Frosties, les deux créateurs sont poursuivis pour association de malfaiteurs en vue d'une fraude électronique et d'un blanchiment d'argent. Les enquêteurs du fisc américain et de la sécurité intérieure ont remonté les transactions sur la blockchain pour identifier les auteurs.