CryptoRanks.wiki

Comment vérifier les smart contracts avant de connecter son wallet

Apprenez à vérifier un smart contract avant de connecter votre wallet : code, approvals, proxies, honeypots, scanners, revoke et risques DeFi.

Écrit parCryptoRanks Research
|
Révisé parÉquipe éditoriale CryptoRanks
|
Mis à jour

Pourquoi analyser les smart contracts est important

Connecter un wallet à un smart contract comporte toujours un risque. Beaucoup de nouveaux tokens et de jeunes protocoles DeFi peuvent cacher des autorisations dangereuses, des honeypots, des fonctions d'upgrade ou des privilèges d'owner trop larges. Ce guide explique comment vérifier un smart contract avant de connecter son wallet.

L'objectif est de donner une méthode claire aux débutants : quoi ouvrir dans un explorateur de blocs, quels éléments du code regarder, quels signaux d'alerte reviennent le plus souvent et comment réduire le risque avant une signature ou un approve.

Vérifier le code source du smart contract

La première chose à contrôler est la vérification du code dans l'explorateur de blocs, par exemple Etherscan, BscScan ou Polygonscan. Un contrat vérifié montre que les sources publiées correspondent au bytecode déployé. Cela permet d'inspecter l'ABI, les fichiers, ainsi que les onglets Read Contract et Write Contract.

Ouvrez l'adresse du contrat, allez dans l'onglet Contract et regardez le statut Verified. Même sans être développeur, c'est un filtre majeur : un code publié peut être passé dans des scanners, tandis qu'un code non publié reste une boîte noire.

En bref : pas de vérification = pas de transparence. Pour un projet récent ou peu connu, c'est déjà une bonne raison de ne pas connecter le wallet.

Fonctions et permissions critiques : approve, transferFrom, permit

approve(spender, amount) donne à un contrat le droit de dépenser des tokens. Ensuite, il peut appeler transferFrom et déplacer le montant autorisé sans nouvelle confirmation pour chaque mouvement. Les approvals illimités et SetApprovalForAll sur les NFT sont particulièrement dangereux.

La règle pratique : accorder uniquement le montant nécessaire, éviter les autorisations infinies, vérifier à qui les droits sont donnés et révoquer les permissions inutiles après usage.

Utilisez des extensions de simulation pour voir avant la signature si l'action est un transfert, un approval global, un changement d'owner ou une autre opération sensible.

Proxies et upgrades : pourquoi c'est un risque

Un proxy permet de garder la même adresse tout en remplaçant l'implémentation du contrat. C'est pratique pour les grands protocoles, mais cela ajoute une couche de confiance envers l'admin, le multisig ou la gouvernance.

Si l'explorateur affiche Proxy ou Upgradeable, vérifiez qui peut déclencher les upgrades, s'il existe un timelock, si un multisig est utilisé et si l'historique des versions est public. Un contrat correct aujourd'hui peut changer demain.

Outils d'analyse : scanners statiques et extensions

Un seul outil ne suffit pas. Croisez plusieurs sources, car elles couvrent des risques différents :

  • Slither repère des erreurs Solidity courantes et donne des recommandations concrètes.
  • MythX combine analyse statique, exécution symbolique et heuristiques.
  • Remix IDE permet des diagnostics simples directement dans le navigateur.
  • Token Sniffer signale des patterns de scam, honeypot et risques liés au token.
  • GoPlus Security évalue les risques de tokens, les actions suspectes et certains signaux de phishing.
  • De.Fi Scanner produit des rapports lisibles même pour les non-développeurs.
  • En complément : Honeypot.is, les services de revoke, Wallet Guard ou Pocket Universe pour simuler les signatures.

Patterns de scam fréquents dans le code des tokens

Les tokens frauduleux réutilisent souvent les mêmes mécanismes :

  • Honeypot : on peut acheter, mais la vente est bloquée pour la plupart des adresses.
  • Verrou dynamique : le trading peut être activé ou désactivé, certaines adresses peuvent être blacklistées.
  • Frais modifiables : l'owner peut monter les taxes à un niveau qui bloque pratiquement les ventes.
  • Mint illimité : émission de nouveaux tokens sans limite dure.
  • Retrait de liquidité : absence de lock LP ou retrait soudain vers une adresse contrôlée par l'équipe.

Les scanners détectent une partie de ces signaux, mais la décision finale vous revient. En cas de doute sérieux, ne connectez pas le wallet.

Risques cachés : privilèges owner, pausable, backdoors

Le pattern Ownable donne des droits spéciaux à l'owner. Ce n'est pas forcément mauvais, mais il faut comprendre l'étendue de ces droits.

  • Modification des frais, limites, adresses de réception ou paramètres clés.
  • Pausable : possibilité de bloquer les transferts ou le trading.
  • mint ou burnFrom : émission ou destruction depuis des soldes d'autres utilisateurs.
  • Méthodes cachées sous des noms anodins pouvant servir de backdoor.

Regardez les events OwnershipTransferred, RoleGranted et Paused. Vérifiez aussi si l'owner est toujours actif ou si le contrôle a réellement été renoncé.

Contrats DeFi : liquidité, lending, farming

En DeFi, on interagit avec des tokens, mais aussi avec des pools, des protocoles de prêt et des farms. Les contrôles de base :

  • Pools DEX : privilégier les DEX connus ; les forks personnalisés peuvent cacher des frais ou des fonctions de retrait.
  • Lending : vérifier audits, caps, liquidation, oracles et historique d'incidents.
  • Farming/staking : inspecter l'émission, les limites de dépôt et les rôles owner.
  • Globalement : comparer bug bounty, multisig, TVL, âge du protocole et incidents passés.

NFT et mints (ERC-721/1155) : contrôles essentiels

Avant un mint ou un trade, vérifiez au minimum :

  • Adresse officielle : comparer le contrat avec les sources du projet et les marketplaces.
  • Supply cap : rechercher maxSupply et les règles de mint.
  • Permissions dangereuses : une page tierce ne doit pas imposer SetApprovalForAll sans raison claire.
  • Métadonnées : IPFS ou Arweave sont préférables à un CDN centralisé.
Exemple de risque : certaines fausses pages de mint remplacent l'action attendue par safeTransferFrom, transférant un NFT déjà détenu vers l'attaquant.

OpenZeppelin et templates reconnaissables

Les bibliothèques OpenZeppelin sont un bon signal : elles implémentent des standards largement testés. Cherchez import "@openzeppelin/...", comparez avec les templates connus et regardez les contrats similaires. Restez prudent : le piège se trouve souvent dans quelques lignes ajoutées autour d'un template propre.

Fonctions token : taxes, blacklists, anti-whale

Certaines mécaniques ne sont pas des scams par nature, mais elles changent le profil de risque :

  • Taxes/frais : les frais d'entrée et de sortie réduisent le résultat net ; les plafonds sont essentiels.
  • Blacklist : utile contre les bots, mais potentiellement utilisable contre les holders.
  • Anti-whale : limite la taille des soldes ou transactions, parfois au détriment des utilisateurs légitimes.
  • Reflections/rewards : redistribution automatique attractive, mais code plus complexe.

Que regarder dans les explorateurs : historique, appels, events

L'explorateur de blocs est l'outil principal de vérification :

  • Chronologie : date de déploiement, fréquence d'activité, schémas d'interaction.
  • Holders : concentration des principales adresses et part de l'owner.
  • Liquidité : lock LP, durée, détenteurs des LP tokens.
  • Read/Write Contract : comprendre les fonctions sans dépendre uniquement du frontend.
  • Commentaires/labels : signaux secondaires mais utiles.
  • Events : Transfer depuis 0x0, Approval, OwnershipTransferred, Paused.

Checklist avant de connecter le wallet

  1. Vérifier l'adresse dans l'explorateur : code, date, holders, labels, transactions suspectes.
  2. Passer par des scanners : Token Sniffer, De.Fi Scanner, GoPlus.
  3. Confirmer le frontend : URL, sources officielles, absence de liens cadeaux douteux.
  4. Utiliser un burner wallet : adresse séparée avec faible solde.
  5. Limiter les approvals : éviter les autorisations infinies.
  6. Simuler la transaction : comprendre ce qui change avant de signer.
  7. Savoir révoquer : contrôler régulièrement la liste des permissions.

Ce que la vérification ne garantit pas

  • Honnêteté du frontend : l'interface peut remplacer une adresse ou des données.
  • Intégrité de l'équipe : un code propre ne protège pas contre un rug pull hors chaîne.
  • Économie du token : un contrat correct peut quand même mener à un actif sans valeur.
  • Updates futurs : un contrat upgradeable change de risque avec le temps.
  • Ingénierie sociale : les checks de code ne protègent pas contre le phishing ou la fuite de seed phrase.

Conclusion

Interagir prudemment avec des smart contracts demande de la discipline, des outils et du jugement. Le minimum consiste à vérifier le code, utiliser des scanners, lire les approvals et comprendre exactement ce que le wallet affiche avant la signature.

Aucun outil ne garantit une sécurité absolue. Croisez les sources, commencez avec un burner wallet et révoquez régulièrement les permissions trop larges.

Point clé : vérifier l'adresse et le code, simuler la transaction, limiter approve, surveiller les upgrades proxy et garder un outil de revoke à portée de main.

Questions fréquentes (FAQ)

Que faire si le contrat n'est pas vérifié sur Etherscan ?
Le plus prudent est de ne pas interagir. Un contrat non vérifié est une boîte noire. Demandez une explication à l'équipe et vérifiez sa réputation.
Je ne suis pas développeur : comment vérifier quand même ?
Ouvrez l'adresse dans un explorateur, regardez la date, les holders, les events, utilisez des scanners et cherchez des analyses indépendantes.
Un contrat vérifié et audité est-il sûr ?
Non. La vérification apporte de la transparence et l'audit réduit le risque, mais ni l'un ni l'autre ne l'élimine.
Qu'est-ce qu'un honeypot ?
C'est un token que l'on peut acheter mais pas vendre. Les scanners et l'absence de ventes malgré de nombreux achats sont des signaux d'alerte.
Comment révoquer des approvals ?
Utilisez un service de revoke ou un panneau Token Approvals. Connectez le wallet, choisissez les permissions inutiles et révoquez-les.
Faut-il un wallet séparé pour les nouvelles dApps ?
Oui. Un burner wallet avec un faible solde limite l'impact d'un incident.
J'ai connecté mon wallet à un contrat scam. Que faire ?
Révoquez immédiatement toutes les permissions accordées à cette adresse, ignorez les faux remboursements et n'utilisez plus votre wallet principal avec cette dApp.

Approfondir le thème « DeFi »

Retrouvez dans cette rubrique d’autres analyses, guides pratiques et avis sur ce thème.

Ouvrir la rubrique « DeFi »