Le soft rug pull a coûté plus de 2 milliards de dollars aux utilisateurs DeFi entre 2022 et 2024 selon Chainalysis. Différent du rug pull classique qui vide les pools de liquidité, il consiste à abandonner un projet en se servant uniquement des fonds de la trésorerie communautaire. Le résultat est aussi destructeur. La détection, beaucoup plus difficile.

Au programme

  • Mécanique du soft rug et différence avec le hard rug pull (Chainalysis, 2025)
  • Cas Mantra OM : 5,5 milliards effacés en quelques heures en avril 2025
  • Outils de détection 2026 : Bubblemaps, GoPlus, RugCheck, De.Fi Shield
Critère Hard rug pull Soft rug pull
Cible Pool de liquidité utilisateurs Trésorerie du protocole
Visibilité Brutale, fonds disparus en bloc Sortie progressive, multi-wallets
Communication Disparition totale (Telegram, X effacés) Annonce de “passage à la communauté”
Récupération Quasi nulle Théoriquement possible si gouvernance saine
Détection Audit smart contract en pré-launch Surveillance on-chain post-mortem

Comment fonctionne un soft rug pull en pratique

Un soft rug repose sur un transfert progressif des fonds de la trésorerie d’un protocole vers des wallets contrôlés par les fondateurs. Aucun smart contract malveillant. Aucune fonction cachée. Juste une utilisation discrétionnaire des actifs censés financer le développement.

L’équipe annonce souvent un “abandon élégant”, un “passage à la DAO” ou un repositionnement stratégique. Pendant ce temps, les multisigs envoient des paiements vers des prestataires fictifs ou des sous-traitants liés. Le tout dilué sur plusieurs semaines. Aucune alerte évidente.

C’est légal sur le papier. C’est dévastateur en pratique.

Pourquoi cette technique explose depuis 2024

La maturation des outils anti-fraude classiques a poussé les acteurs malveillants vers des méthodes plus subtiles. Les hard rugs sont aujourd’hui repérés en quelques heures par TokenSniffer ou GoPlus Security. Les développeurs peu scrupuleux préfèrent désormais miser sur l’ambiguïté.

Le contexte de marché joue aussi. Quand les valorisations chutent, beaucoup d’équipes argumentent qu’elles “essaient simplement de sauver ce qui peut l’être”. Les chiffres officiels publiés par CertiK dans son Web3 Security Report 2024 montrent que les “exit scams” représentent désormais près de 40 % des incidents recensés sur les protocoles DeFi.

Ce déplacement n’est pas anecdotique. Il rend les protections traditionnelles partiellement obsolètes.

Le cas Mantra OM, la déflagration d’avril 2025

Le 13 avril 2025, le token OM du protocole Mantra a perdu plus de 90 % de sa valeur en moins de deux heures. Près de 5,5 milliards de dollars de capitalisation effacés, comme l’a rapporté Coindesk. La direction a invoqué des liquidations forcées sur des plateformes asiatiques.

Plusieurs analystes on-chain, dont Lookonchain, ont identifié des transferts massifs vers des exchanges quelques heures avant le crash. Les wallets concernés étaient liés à des entités proches de la fondation. Le débat sur la qualification exacte du dossier (soft rug, mauvaise gestion, manipulation tierce) reste ouvert. Le précédent est tout de même devenu un cas d’école.

Ce cas a renforcé une demande forte : la traçabilité des trésoreries.

Quels outils utiliser pour détecter un soft rug en amont

Plusieurs solutions ont émergé depuis 2023 pour surveiller la santé d’une trésorerie. Le secteur s’est structuré autour de trois familles.

La première est l’analyse on-chain en temps réel. Bubblemaps visualise les liens entre wallets pour repérer les concentrations suspectes. Arkham Intelligence étiquette les entités connues et permet de tracer les flux entre fondations et OTC desks.

La deuxième est l’audit comportemental. GoPlus Security et De.Fi Shield scorent les contrats et les wallets associés selon leur historique. Un score qui se dégrade brusquement signale souvent un changement de stratégie de l’équipe.

La troisième repose sur les communautés. Les forums Discord spécialisés et les channels Telegram d’investigation publient des alertes en temps quasi réel. Le travail collectif reste imbattable pour les premiers signaux faibles.

Aucun de ces outils ne détecte tout. Combiner les trois reste la seule approche réaliste.

Comment se protéger en tant qu’investisseur DeFi

La règle de base reste l’allocation prudente. Aucun protocole ne mérite plus de 5 % d’un portefeuille crypto, surtout s’il a moins de 18 mois d’existence vérifiable. Le second réflexe est la lecture des conditions de gouvernance avant tout dépôt.

Vérifie si la trésorerie est sous multisig 3-of-5 minimum, avec timelock de 48 heures sur les sorties supérieures à un seuil défini. Sans ces deux mécanismes, l’équipe peut se servir librement.

Vérifie aussi si les jetons fondateurs sont vested sur 3-4 ans avec cliff. Un cliff trop court signale une volonté de sortir vite. La plateforme TokenUnlocks référence les calendriers de déblocage de la plupart des projets majeurs.

Ces vérifications prennent 15 minutes. Elles évitent souvent l’irréparable.

Quel rôle pour les régulateurs face à ce phénomène

La SEC a engagé plusieurs poursuites depuis 2024 contre des fondateurs accusés de soft rug, notamment dans le cadre de l’élargissement du Clarity Act en 2026. La qualification juridique reste cependant complexe. La frontière entre échec entrepreneurial et fraude délibérée est ténue.

L’Europe avance via le règlement MiCA, qui impose désormais aux émetteurs de jetons d’utilité de publier des white papers vérifiés et de tenir des comptes audités. La portée réelle reste à confirmer.

En attendant, la vigilance individuelle demeure la meilleure protection.

Questions fréquentes

Quelle est la différence entre un soft rug et un exit scam ?

Un exit scam désigne toute fuite organisée des fondateurs avec les fonds. Le soft rug est une variante plus douce où les fonds des utilisateurs ne sont pas directement volés. Seules les ressources de la trésorerie communautaire sont siphonnées. Le préjudice se manifeste indirectement par l’effondrement du token.

Peut-on récupérer les fonds après un soft rug ?

Très rarement. Les transferts sortent dans le cadre légal apparent du protocole. Les actions juridiques restent possibles mais coûteuses et lentes. Les rares succès concernent des cas où la fraude a pu être prouvée pénalement, comme l’affaire Mt. Gox côté hack ou Celsius côté gestion frauduleuse.

Les audits de smart contracts protègent-ils contre les soft rugs ?

Non. Les auditeurs vérifient le code, pas la gouvernance ni les pratiques de trésorerie. Un protocole peut avoir un audit CertiK parfait et finir en soft rug si les fondateurs décident de vider la trésorerie via des transactions valides. Les rapports d’audit doivent être complétés par une analyse on-chain continue.

Existe-t-il une assurance contre ce risque ?

Nexus Mutual et InsurAce proposent des couvertures pour certains incidents DeFi, mais les exclusions sont nombreuses. Les soft rugs sont rarement couverts car difficiles à qualifier juridiquement. Les protections via assurance restent partielles, voire symboliques.

À retenir

Le soft rug pull est devenu la fraude DeFi la plus courante en 2026, captant désormais 40 % des incidents recensés. Sa difficulté de détection et sa zone grise juridique en font un risque majeur pour tout investisseur en finance décentralisée. La parade tient en trois mots : multisig, vesting long, surveillance on-chain.

Sources

EN DIRECT