Chapitre 50 : Rug Pull — Quand le tapis est tiré et que les développeurs disparaissent avec l'horizon

Au sein de l'écosystème tumultueux du monde des cryptomonnaies, il existe un terme qui fait frissonner les investisseurs, novices comme chevronnés : le « Rug Pull » (tapis tiré). Ce nom imagé décrit avec précision la sensation physique presque réelle de la victime : un instant, vous vous tenez sur un sol qui semble solide, et l'instant d'après, dans un mouvement brusque et impitoyable, le sol se dérobe sous vos pieds et vous vous retrouvez en chute libre vers un abîme financier.

Si dans les chapitres précédents nous avons traité des portefeuilles volés ou des plateformes d'échange qui se sont révélées être des supercheries dès le premier instant, nous abordons ici l'art de l'escroquerie la plus sophistiquée. C'est l'histoire de projets qui semblent légitimes, avec des sites web clinquants, des « feuilles de route » (Roadmaps) prometteuses et des communautés de nombreuses personnes sur Telegram et Discord, dont l'unique objectif est de mener l'investisseur vers le point critique où les développeurs décident que « c'en est assez » et abandonnent le navire avec la caisse.

L'anatomie de la promesse : l'histoire du projet « EcoTerra »

Le scénario suivant est un exemple didactique basé sur des modèles d'escroquerie courants. Les personnages et les événements sont destinés à l'illustration uniquement.

Eran, un ingénieur logiciel de 42 ans originaire de Raanana, s'est toujours considéré comme une personne prudente. Il n'est pas tombé dans les pièges des arnaques au « prince nigérian » et ne s'est pas laissé tenter par des SMS suspects concernant des colis en attente à la douane. Mais le monde de la DeFi (finance décentralisée) l'a séduit. Il a vu des collègues de travail faire « x10 » sur leur argent en quelques semaines, et il a décidé qu'il était temps pour lui aussi de se jeter à l'eau.

Il est tombé sur « EcoTerra » (nom fictif), une nouvelle cryptomonnaie qui promettait d'utiliser la technologie blockchain pour financer la plantation d'arbres dans le monde entier. Le site était spectaculaire. Il contenait des photos de l'équipe (qui, comme il s'est avéré plus tard, étaient des images générées par intelligence artificielle) et un livre blanc (Whitepaper) de 40 pages rempli de concepts complexes qui donnaient une impression de sérieux abyssal. « Ce n'est pas juste une énième Memecoin », a dit Eran à sa femme lors du dîner, « il y a ici une valeur sociale, une idéologie ».

Eran a rejoint le groupe Telegram du projet. Il y a trouvé une communauté dynamique de nombreux clients et utilisateurs. Chaque fois que quelqu'un posait une question sceptique, les « modérateurs » répondaient patiemment et expliquaient les avantages technologiques uniques de la monnaie. Lorsque le prix a commencé à monter, l'euphorie au sein du groupe a atteint un sommet. Des messages « To the moon ! » et des émojis de fusées remplissaient l'écran à chaque fois que le graphique virait au vert.

Eran a investi initialement 5 000 dollars. En une semaine, la valeur de son investissement sur PancakeSwap (une plateforme d'échange décentralisée) a bondi à 12 000 dollars. « Ça marche », s'est-il dit. Il a décidé d'augmenter l'investissement à 30 000 dollars, une part significative de ses économies liquides. Il n'était pas seul. De nombreuses personnes à travers le monde ont injecté des liquidités dans le pool de liquidité (Liquidity Pool) d'EcoTerra.

Puis arriva le mardi noir. Eran s'est réveillé à 06h00 du matin, comme à son habitude, pour vérifier le graphique. Au lieu de la ligne ascendante et rassurante, il a vu une ligne verticale rouge qui chutait de 99,9 %. Le prix de la monnaie était tombé à zéro. Il s'est précipité sur Telegram, mais le groupe avait été supprimé. Le site web avait disparu et à sa place s'affichait un message d'erreur « 404 ». Sur Twitter, le compte officiel du projet avait été désactivé.

En quelques minutes, Eran a compris l'ampleur du désastre : les développeurs, qui détenaient un accès direct au pool de liquidité, ont simplement « retiré » tous les BNB et Ethereum que les investisseurs avaient déposés en échange des jetons EcoTerra sans valeur. Ils ont laissé aux investisseurs des « sacs » remplis de jetons qu'il est impossible de revendre à quiconque, car il n'y a plus de liquidité dans le système. Le tapis a été tiré.

Mécanisme d'action : comment fonctionne cette magie noire ?

Pour comprendre le Rug Pull au niveau juridique et technique, nous devons comprendre comment fonctionnent les plateformes d'échange décentralisées (DEX). Contrairement à la Bourse des valeurs de Tel Aviv ou même à une plateforme d'échange de cryptomonnaies centralisée comme « Binance », dans une DEX, il n'y a pas de « gardien ». Toute personne ayant des connaissances de base en rédaction de contrats intelligents (Smart Contracts) peut émettre une monnaie et l'enregistrer pour le trading.

Le mécanisme le plus courant de Rug Pull repose sur un « pool de liquidité ». Pour que les gens puissent acheter et vendre une nouvelle monnaie, les développeurs doivent déposer dans le pool une certaine quantité de la nouvelle monnaie avec une monnaie ayant une valeur reconnue (comme l'USDT ou l'Ethereum). Les investisseurs arrivent, déposent leurs Ethereum et reçoivent en échange la nouvelle monnaie.

L'escroquerie se produit de l'une des deux manières principales :

1. Le vol de liquidité (Liquidity Stealing)

Les développeurs détiennent les « clés » qui leur permettent de retirer toutes les monnaies ayant une valeur du pool à tout moment. Dès que le pool est suffisamment grand et que la confiance du public est à son comble, ils activent cette fonction. Le résultat : les investisseurs se retrouvent avec les nouvelles monnaies, mais n'ont nulle part où les échanger pour récupérer de l'argent réel.

2. La « porte dérobée » dans le contrat intelligent (Backdoor Functions)

Les développeurs insèrent dans le code de la monnaie des fonctions malveillantes cachées aux yeux de l'investisseur moyen. Un exemple courant est la fonction « Mint », qui permet aux développeurs de générer pour eux-mêmes des billions de nouvelles monnaies en une seule fois et de les vendre sur le marché, provoquant ainsi la chute du prix à zéro. Un autre exemple, particulièrement cruel, est le « Honeypot » (pot de miel) : le contrat intelligent permet aux investisseurs d'acheter la monnaie, mais bloque la possibilité de la vendre. L'investisseur voit le prix monter et monter sur l'écran, mais il est emprisonné dans un investissement qu'il ne peut pas réaliser.

Le défi juridique : poursuivre des fantômes numériques

Sur le plan juridique, un Rug Pull est un cas manifeste d'obtention par fraude dans des circonstances aggravantes, de vol par un mandataire et de rupture de contrat. Cependant, l'application des principes du droit pénal et civil dans l'espace décentralisé est l'un des plus grands défis auxquels le système d'application de la loi est confronté au XXIe siècle.

La première difficulté est l'identification. Les développeurs agissent sous des pseudonymes et utilisent souvent des outils pour brouiller les pistes comme « Tornado Cash » afin de blanchir l'argent volé. Lors de l'examen de tels scénarios, la première question qui se pose est : « Qui peut-on poursuivre ? ». La réponse est complexe. Dans de nombreux cas, le défendeur n'est pas une personne physique que nous connaissons, mais une adresse de portefeuille numérique.

La deuxième difficulté est la compétence juridictionnelle (Jurisdiction). Les développeurs peuvent se trouver en Europe de l'Est, les serveurs peuvent être chez Amazon, et les victimes sont dispersées aux quatre coins du globe. Le tribunal israélien est-il compétent pour statuer sur une plainte contre un développeur anonyme ayant agi depuis une plateforme enregistrée aux Seychelles ?

Malgré les difficultés, il ne s'agit pas d'une impasse. Le droit israélien, et notamment l'analyse des options juridiques ces dernières années, a commencé à reconnaître la nécessité d'accorder des recours même dans l'espace numérique. Il est possible, par exemple, d'envisager le dépôt de demandes d'injonction de faire ou d'injonction de ne pas faire contre des plateformes d'échange centralisées si les fonds volés sont passés par elles (injonctions de type « Anton Piller » ou « Mareva injunctions » dans le contexte numérique). Si l'argent est arrivé sur une plateforme comme Binance, et que celle-ci exige une vérification des détails (KYC), il est possible que l'on puisse agir pour révéler l'identité du bénéficiaire.

Responsabilité des banques et des établissements financiers : y a-t-il quelqu'un vers qui se tourner ?

L'une des questions courantes que les investisseurs posent dans de tels scénarios est : « Où était ma banque ? ». Après tout, l'argent est venu du compte courant, est passé par la carte de crédit ou par un virement bancaire vers la plateforme d'échange, et de là vers le monde de la DeFi.

Il est important de clarifier : dans le cas d'un Rug Pull, la banque n'est généralement pas partie à la transaction numérique décentralisée. La loi sur les services de paiement, de 2019, définit la responsabilité du payeur et du bénéficiaire, mais elle peine à faire face à une situation où l'utilisateur a effectué un virement de sa propre volonté vers une plateforme légitime, et n'a été « arnaqué » qu'ensuite à l'intérieur d'un contrat intelligent externe.

Cependant, il existe un devoir de diligence qui incombe aux établissements financiers. Si la banque détecte une activité inhabituelle de gros volumes qui ne correspond pas au profil du client, ou si les fonds sont transférés vers des destinations reconnues comme suspectes par l'Autorité de lutte contre le blanchiment d'argent, il est possible d'examiner l'existence d'un motif de négligence. Néanmoins, la tendance juridique dans ces cas est souvent la protection des banques, tant que l'opération a été approuvée par le client par des moyens d'authentification forts.

Qu'en est-il des sociétés de cartes de crédit ? Ici, la situation est encore plus complexe. La loi sur les services de paiement permet une « annulation de transaction » en cas de non-livraison, mais dans un Rug Pull, techniquement, le client a « reçu » la monnaie qu'il a achetée. Le fait que la monnaie ait perdu sa valeur en raison d'une manipulation n'est pas toujours considéré comme une « non-livraison » classique. Par conséquent, compter sur le « Chargeback » (contestation de transaction) dans le cas d'investissements en cryptomonnaies est un outil très limité et peut parfois même comporter des risques juridiques pour le client.

Aspects juridiques et règles de prudence : le guide de l'investisseur blessé

En cas de suspicion d'arnaque de type Rug Pull, le temps est la ressource la plus précieuse. La blockchain est publique, mais les traces peuvent s'estomper à mesure que les fonds sont transférés entre portefeuilles et mélangés dans des mixeurs.

Que faire immédiatement ?

• Documentation en temps réel : Faites des captures d'écran du site web du projet, des groupes Telegram, du livre blanc et de toute correspondance avec les développeurs. Dans les scénarios d'arnaque, l'information numérique peut être supprimée rapidement.
• Suivi de l'adresse : Utilisez des explorateurs de blockchain (comme Etherscan ou BscScan) pour identifier vers quelle adresse les fonds de liquidité ont été transférés. Documentez l'adresse du « portefeuille liquidateur ».
• Plainte à la police : Déposer une plainte auprès de l'unité cyber de la police israélienne est une étape essentielle. Elle peut servir de référence pour l'examen de procédures futures ou pour un signalement aux autorités fiscales.
• Contact avec les plateformes d'échange : Si vous avez identifié que l'argent est arrivé sur une adresse appartenant à une plateforme centralisée (comme Binance, Kraken, Coinbase), vous pouvez les contacter avec une copie de la plainte de la police et demander l'examen du gel des fonds.

Signes d'avertissement (Red Flags) — comment éviter la prochaine arnaque ?

Au cours des années de travail professionnel et d'accompagnement de divers cas, il est possible d'identifier des schémas répétitifs. Avant d'investir dans un nouveau projet de cryptomonnaie, il est recommandé de vérifier les points suivants :

• Liquidité non verrouillée (Unlocked Liquidity) : C'est un signe d'avertissement significatif. Les projets sérieux « verrouillent » généralement la liquidité dans un contrat intelligent pour une longue période, de sorte que les développeurs ne puissent pas la retirer instantanément.
• Équipe anonyme : Alors que dans le monde des cryptomonnaies existe une tradition d'anonymat, les projets où il n'y a pas de figures publiques dont l'identité peut être vérifiée (Doxxed) sont considérés comme présentant un risque plus élevé.
• Forte concentration de monnaies : La vérification des détenteurs de la monnaie sur la blockchain est cruciale. Si un pourcentage significatif des monnaies est détenu par un petit nombre de portefeuilles, il existe un risque de manipulation sur le marché.
• Promesses de rendement garanti : Dans le domaine des cryptomonnaies, il n'existe pas d'investissements sans risque. Les promesses de profits fixes et élevés sont généralement un signe suspect de modèles problématiques.

Peut-on récupérer l'argent ?

Il faut dire la vérité : dans le monde décentralisé des cryptomonnaies, récupérer de l'argent en cas de Rug Pull est une tâche extrêmement complexe. Contrairement au système bancaire traditionnel, dans ce monde, le code technologique dicte les règles du jeu.

Cependant, il existe des cas où l'on peut envisager une action juridique. Si le projet a été promu par des influenceurs qui ont fait des déclarations trompeuses sans effectuer les vérifications préalables (diligence raisonnable), il est possible d'examiner la possibilité de déposer une plainte pour tromperie ou négligence. Dans différents pays, des procédures ont déjà été engagées contre des célébrités ayant fait la promotion de monnaies qui se sont révélées être des arnaques. En Israël, les chances juridiques dans de telles réclamations dépendent des circonstances de l'affaire, mais les principes de bonne foi et de diligence s'appliquent également à celui qui utilise son influence pour inciter d'autres personnes à investir.

En conclusion, le Rug Pull est un rappel qu'à l'endroit où existe une technologie innovante associée à un manque de réglementation, des tentatives d'exploiter la confiance des investisseurs peuvent survenir. Le meilleur moyen de se protéger est une étude approfondie des données sur la blockchain et une prudence accrue face aux promesses de profit rapide. En cas de préjudice, il est possible d'examiner des options juridiques pour récupérer l'argent, mais il est toujours préférable de vérifier avant d'agir.