Lire un scan de sécurité de token : mint, proxy, taxes, droits du propriétaire

Ce qu'est un scan de sécurité de token

Un scan de sécurité de token lit le smart contract qui se trouve derrière un token et rapporte ce que ce contrat autorise son propriétaire à faire. De nouveaux tokens peuvent-ils être créés après le lancement ? La logique peut-elle être remplacée ? Le contrat prélève-t-il une commission sur chaque transaction ? Qui détient l'offre ? Le scan ne lit ni le whitepaper, ni la page de l'équipe, ni le groupe Telegram. Il lit du code et l'état on-chain, et c'est précisément ce qui le rend utile : le code ne se laisse pas enjoliver.

Le Token Safety Check de CoinVett récupère ces données auprès de GoPlus Security pour n'importe quel contrat ERC-20 ou BEP-20 et les classe en trois groupes : sécurité du contrat, sécurité de trading et détention. Chaque ligne reçoit l'une de trois marques, OK, Avertissement ou Info, et rien n'est additionné. Le score de confiance et le badge Sûr/Attention/Risqué/Danger sont autre chose : ils apparaissent sur les pages des coins que CoinVett suit déjà, construits à partir des mêmes signaux GoPlus mais avec des retraits de points fixes. Les deux vues ne sont pas toujours d'accord, elles sont donc traitées séparément plus bas. Une précision d'abord, parce qu'elle conditionne la lecture de tout le reste : le scan vérifie le contrat, pas le projet. Un résultat sans avertissement signifie qu'aucun des signaux vérifiés ne s'est déclenché. Il ne dit rien sur le fonctionnement du produit, ni sur ce que vaudra le token l'année prochaine.

Sécurité du contrat : ce que le propriétaire peut encore modifier

Ce groupe répond à une seule question : le contrat que vous regardez aujourd'hui est-il celui auquel vous aurez affaire demain ?

Code source vérifié

Quand un développeur déploie un contrat, seul le bytecode compilé atterrit sur la chaîne. Personne ne peut le lire. Vérifier le code source consiste à téléverser le code Solidity lisible sur un explorateur de blocs, qui le recompile et confirme que le résultat correspond au bytecode déployé. Un code non vérifié ne prouve rien de mauvais en soi, mais il signifie que personne en dehors de l'équipe ne peut contrôler ce que fait le contrat. Pour un token qui veut votre argent, cela suffit à s'arrêter là. Presque tous les projets sérieux vérifient dès le premier jour ; l'opération prend dix minutes.

Contrat proxy

Un proxy est un contrat minimal qui transmet chaque appel à un second contrat, celui qui contient la logique réelle. Le propriétaire peut à tout moment rediriger le proxy vers un nouveau contrat de logique. L'adresse du token que vous détenez reste la même ; ce qu'il fait peut changer du tout au tout. Les proxys évolutifs sont une pratique courante chez les grands protocoles qui doivent corriger des bugs (l'USDC, par exemple, est un proxy). Pour un memecoin anonyme, le même schéma signifie que le scan d'aujourd'hui décrit la logique d'aujourd'hui, rien de plus. Dans le Token Safety Check, un proxy s'affiche en Avertissement. Dans le score de confiance de la page du coin, il coûte 15 points, un retrait volontairement modéré : ce schéma est un multiplicateur de risque, pas un verdict.

Fonction mint

Une fonction mint permet à une adresse autorisée de créer de nouveaux tokens à partir de rien. Si le propriétaire peut minter, il peut diluer chaque détenteur à sa guise, ou frapper un milliard de tokens et les déverser dans le pool de liquidité. Dans le Token Safety Check, une fonction mint active est toujours un Avertissement, quel que soit le token. Le score de confiance de la page du coin la traite comme l'un des signaux les plus lourds, 30 points en moins, avec une exception délibérée. Les stablecoins adossés à des devises fiat comme l'USDT et l'USDC doivent pouvoir être mintés, puisque de nouvelles unités sont émises chaque fois que quelqu'un dépose des dollars chez l'émetteur. Pour ces coins, la page du coin marque la ligne mint comme une simple note d'information et ne retire rien. Le Token Safety Check ignore cette exception : collez-y le contrat de l'USDT et la ligne mint affiche Avertissement, ce qui est exact à son niveau, puisque le contrat peut effectivement minter. Le scan vérifie le contrat, pas les réserves qui le garantissent, et sur un stablecoin, une fonction mint n'est pas un signal d'alerte mais le modèle économique.

Droits du propriétaire : blacklist, propriétaire caché, soldes modifiables, propriété récupérable, pause des transferts, taxe modifiable, délai entre transactions

Sept autres pouvoirs peuvent être accordés au propriétaire d'un contrat, et les deux vues les lisent dans la réponse de GoPlus. Quatre d'entre eux concernent celui qui tient les clés. Une fonction de blacklist permet au propriétaire d'empêcher certaines adresses de transférer ; l'USDT en possède une et l'utilise contre des wallets sous sanctions, un memecoin l'utilise contre quiconque tente de vendre. Un propriétaire caché signifie que le contrat prétend avoir renoncé à la propriété alors qu'une autre adresse conserve les privilèges par une seconde voie, si bien que la ligne « renounced » d'un explorateur de blocs ne vaut rien. La propriété récupérable est la version discrète : la propriété a été abandonnée, mais une fonction permet au propriétaire de la reprendre. Les soldes modifiables sont le plus brutal des quatre : une fonction qui permet au propriétaire de réécrire ce que détient n'importe quel wallet. Les trois autres touchent au trading lui-même. La pause des transferts permet au propriétaire de suspendre tous les transferts du token ; pendant la pause, personne ne peut vendre, quelle que soit la raison de la pause. La taxe modifiable signifie que le propriétaire peut changer la taxe d'achat et de vente après le lancement ; la taxe que vous voyez est donc celle du moment. Le délai entre transactions impose un temps d'attente minimal entre deux trades d'un même wallet, un mécanisme anti-bot que les lancements sérieux utilisent aussi. La pause des transferts et la taxe modifiable sont les deux droits de contrôle que le score de confiance place sous son plafond de données ; le délai entre transactions est noté, mais reste hors plafond. Dans le Token Safety Check, les sept apparaissent comme des lignes distinctes du groupe détention : Avertissement quand le drapeau est levé, OK quand GoPlus le signale comme absent, Info quand GoPlus n'a pas renvoyé le champ du tout. Une huitième ligne de ce groupe, la taxe par adresse, reste hors du score. Elle indique si le propriétaire peut attribuer à un seul wallet son propre taux de taxe ; fixé assez haut, ce taux empêche cette adresse précise de vendre pendant que tous les autres continuent d'échanger. Le score de confiance ne la lit pas, le scan l'affiche quand même.

Le score de confiance de la page du coin les pèse lourdement. Les soldes modifiables coûtent 40 points, plus que tout autre signal isolé hormis le honeypot ; un propriétaire caché et une pause des transferts 30 chacun, autant qu'une fonction mint active ; la propriété récupérable, la fonction de blacklist et la taxe modifiable 25 chacune. N'importe lequel de ces six, à lui seul, fait passer un token de 100 sous la limite Sûr. Un cas chiffré : un token au code vérifié, sans mint, sans proxy, dont dix wallets détiennent 60 % de l'offre et qui n'a rien d'autre à se reprocher, obtient 85, Sûr. Levez le drapeau de pause des transferts et il tombe à 55, Attention, la pause étant nommée dans la ligne des droits du propriétaire. Le délai entre transactions fait figure d'exception avec 10 points : c'est le seul droit du propriétaire qui ne fait pas passer un token sous Sûr à lui seul, 90 sur un contrat par ailleurs propre, soit le poids d'une taxe d'achat comprise entre 5 et 10 %. Cette modération a une raison. GoPlus indique lui-même qu'un tel délai peut perturber sa simulation de trade ; un token doté d'un tel délai peut alors revenir avec une taxe de vente de 100 % qui n'existe pas. La ligne de taxe de vente coûte alors 25 points de plus, et un token sans autre défaut atterrit à 65, Attention. Si vous voyez un Avertissement sur le délai à côté d'une taxe de vente de 100 %, ce duo mérite un coup d'œil sur un explorateur de blocs avant de prendre le chiffre de la taxe pour acquis. L'exception stablecoin est la même que pour la fonction mint : sur les stablecoins adossés à une devise fiat comme l'USDT et l'USDC, geler et blacklister des adresses, suspendre les transferts et ajuster les frais est la façon dont l'émetteur remplit ses obligations de conformité, si bien que la page du coin affiche une note d'information sur les contrôles de l'émetteur et ne retire rien. Le Token Safety Check n'applique aucune exception de ce type et marque la blacklist et la pause des transferts de l'USDT en Avertissement, ce qui est exact à son niveau.

Sécurité de trading : ce qui se passe quand vous achetez et vendez

Simulation honeypot

Le scanner simule un achat et une vente sur le contrat réel. Si l'achat passe et que la vente échoue ou est taxée jusqu'à ne rien laisser, le token est signalé comme honeypot. C'est le signal le plus dur de tout le rapport : un Avertissement dans le Token Safety Check, et sur la page du coin, un honeypot détecté ramène le score de confiance à zéro, point final. La construction des honeypots, le cas SQUID et les cinq schémas de contrat à repérer sont traités dans notre article de blog (en anglais) comment vérifier si un token est un honeypot, ce guide ne les répète donc pas.

Taxe d'achat et taxe de vente

Beaucoup de tokens prélèvent des frais sur chaque transaction, codés en dur dans la fonction de transfert. Le scan affiche les deux sens séparément, et c'est l'asymétrie qui compte. Une taxe de 2 % à l'achat comme à la vente finance un wallet marketing ; agaçant, mais courant. Une taxe d'achat à 0 % avec une taxe de vente à 35 %, c'est un honeypot au ralenti : on entre pour pas cher, on sort au prix fort. Les deux vues ne placent pas la limite au même endroit. Le Token Safety Check ne marque une taxe en Avertissement qu'au-delà de 10 % ; tout ce qui est en dessous est OK. Le score de confiance de la page du coin retire 10 points pour une taxe entre 5 et 10 % et 25 points au-delà de 10 %, dans chaque sens indépendamment, si bien qu'un token punitif dans les deux directions perd 50 points rien qu'avec les taxes. Une taxe de vente de 8 % passe donc en OK dans l'outil et coûte 10 points sur la page du coin. Lisez le pourcentage, pas la couleur. Deux réserves. Certains contrats laissent le propriétaire modifier la taxe après le lancement ; c'est la ligne « taxe modifiable » parmi les droits du propriétaire ci-dessus, et là où elle est active, la taxe que vous voyez est celle du moment. Et si GoPlus ne rapporte aucune taxe (un champ vide, pas un zéro), la page du coin y voit une lacune qui plafonne le score ; voir le tableau plus bas.

Détention : qui détient vraiment l'offre

Nombre de détenteurs

Le nombre d'adresses qui détiennent au moins une unité du token. Sous 100 détenteurs, le token n'a pratiquement aucune distribution ; celui qui l'a lancé contrôle toujours le marché. Sous 1 000, c'est mince. Dans le Token Safety Check, cette ligne est en Info uniquement, jamais en Avertissement ; le score de confiance de la page du coin retire 20 points sous 100 détenteurs et 10 sous 1 000. Le nombre de détenteurs se gonfle facilement avec des airdrops vers des wallets pris au hasard, lisez-le donc avec la ligne suivante plutôt qu'isolément.

Part des 10 premiers détenteurs

La part de l'offre que contrôlent les dix plus grosses adresses. Au-delà de 50 %, une poignée de wallets peut faire s'effondrer le prix en vendant ; au-delà de 80 %, le token est un club privé. Le Token Safety Check avertit au-dessus de 50 % ; le score de la page du coin retire 15 points au-dessus de 50 et 30 au-dessus de 80. Gare aux fausses alertes : pour un token dont le pool de liquidité est verrouillé, le contrat du pool est en général lui-même le plus gros détenteur, et une adresse de burn ou un contrat de vesting peut figurer dans le top 10 sans que personne ne puisse vendre depuis cette adresse. Le chiffre brut ne fait pas la différence entre une baleine et un verrou ; il faut regarder les adresses sur un explorateur de blocs.

Liquidité verrouillée

Sur un exchange décentralisé, les échanges se font contre un pool de liquidité que quelqu'un a alimenté. Si cette personne peut retirer le pool à tout moment, elle peut faire un rug pull : retirer la liquidité, et le token devient invendable. Verrouiller les tokens LP dans un contrat à verrou temporel (time-lock) ou les envoyer à une adresse de burn supprime cette option. Le Token Safety Check indique quelle part des tokens LP du pool est verrouillée ou brûlée. Sous 50 %, c'est un Avertissement. Si GoPlus ne renvoie aucune donnée sur les détenteurs de LP, la ligne affiche Info avec la mention qu'aucune donnée n'a été rapportée, pas zéro et pas de vert. Cette ligne n'existe que dans le scan ; elle n'alimente pas le score de confiance de la page du coin décrit ci-dessous. Lisez-la pour elle-même.

Comment le score de confiance CoinVett est calculé

Sur les pages des coins, dans le tableau du marché et dans la vue de comparaison, vous verrez un badge : Sûr, Attention, Risqué ou Danger. C'est la seconde vue, et elle n'existe que pour les coins suivis par CoinVett. Elle est construite à partir des mêmes signaux GoPlus que le Token Safety Check affiche ligne par ligne, sous la forme d'une simple soustraction à partir de 100, et les règles sont publiques. Le scan lui-même n'affiche jamais de score. La page du coin affiche un score et un badge, et ses lignes de détail portent leurs propres icônes plutôt que les marques OK/Avertissement/Info du scan.

À partir de 80, le label est Sûr ; de 50 à 79, Attention ; de 20 à 49, Risqué ; sous 20, Danger. Mettez ces seuils en regard du tableau et le label du haut perd de son éclat. Sûr commence à 80, et plusieurs retraits pris isolément laissent un token à ce niveau : dix wallets qui détiennent 61 % de l'offre, 85, Sûr. Une taxe d'achat de 8 %, 90, Sûr. Un proxy seul coûte 15 points, ce qui laisserait 85 sur le papier ; en pratique, GoPlus ne renvoie que rarement les champs du propriétaire et de mint pour un contrat proxy, et la plupart des proxys restent donc sous le plafond de données, à 75. Un code source non vérifié coûte 20 points, ce qui laisserait 80 sur le papier, mais ce cas non plus n'arrive jamais jusque-là : pour un contrat à code fermé, GoPlus ne renvoie aucun des autres champs de risque, et le token tombe donc de toute façon sous le plafond de données, à 75. Les signaux qui font passer un token sous 80 à eux seuls sont les lourds : un honeypot, n'importe lequel des quatre droits du propriétaire, une pause des transferts, une taxe modifiable, une fonction mint active, une taxe d'achat ou de vente au-dessus de 10 %, ou dix wallets détenant plus de 80 % de l'offre. Sûr ne veut donc pas dire que le contrat a passé tous les contrôles. Cela veut dire que les signaux connus, additionnés, ont coûté moins de 21 points, et que dix champs précis ont réellement été rapportés : la simulation honeypot, le contrôle de mint, les quatre droits du propriétaire, les contrôles de pause des transferts et de taxe modifiable, et les taxes d'achat et de vente. Cette seconde partie, c'est le plafond des deux dernières lignes : si GoPlus a laissé l'un de ces dix champs vide, le score est plafonné à 75 et le badge affiche au mieux Attention, quelle que soit la propreté du reste. Les données de détention, le proxy, le code source et le délai entre transactions restent hors plafond : aucun point retiré quand ils manquent. Les stablecoins adossés à une devise fiat échappent au volet mint, droits du propriétaire, droits de contrôle et taxes du plafond, parce que ces droits relèvent chez eux d'un design documenté de l'émetteur ; le plafond honeypot s'applique à eux comme à tous les autres. Les labels bas viennent en général de combinaisons, et c'est à cela que ressemblent les vrais rug pulls (un proxy plus une fonction mint active plus des détenteurs concentrés) ; c'est ce que le score est conçu pour attraper. Ce pour quoi il n'est pas conçu, c'est servir de garantie.

Les noms des labels sont volontairement tranchés, lisez-les donc au sens strict. Un badge Sûr signifie « les signaux du dernier scan totalisaient 80 ou plus et les champs sous plafond ont été rapportés », rien d'autre ; pour un stablecoin adossé à une devise fiat, ce plafond se réduit à la seule simulation honeypot. Le badge peut coiffer un token dont dix wallets détiennent 61 % de l'offre, ou un token qui prélève 8 % de taxe à l'achat. Un badge Danger signifie que le score est tombé sous 20, et cela n'exige pas plusieurs signaux d'alerte à la fois : un seul honeypot détecté retire 100 points à lui seul. Aucun des deux n'est une recommandation pour ou contre quoi que ce soit, et aucun des deux ne dit quoi que ce soit sur le prix.

Inconnu ne veut pas dire vert

GoPlus ne renvoie pas tous les champs pour tous les contrats. Les tokens très récents, les chaînes exotiques et les contrats à structure inhabituelle reviennent avec des trous. Dans le Token Safety Check, ces trous s'affichent en Info avec la mention qu'aucune donnée n'a été rapportée ; une simulation honeypot manquante n'est jamais rendue par un OK vert. C'est plus important qu'il n'y paraît : un scanner qui traite en silence « pas de données » comme « pas de problème » produit des résultats verts précisément pour les tokens qui méritent le plus d'attention, ceux lancés il y a une heure. Quand vous voyez Info sur la ligne honeypot ou sur la ligne liquidité, considérez le token comme non vérifié.

Le score de confiance de la page du coin gère les trous à deux niveaux. Un champ manquant ne coûte aucun point, parce que le score ne retire que pour ce qu'il voit. Mais pour les champs qui décident de la revente et du contrôle, il refuse de dire Sûr sans preuve : si GoPlus n'a pas rapporté la simulation honeypot, le contrôle de mint, l'un des quatre champs de droits du propriétaire, le contrôle de pause des transferts ou de taxe modifiable, ou l'une des deux taxes, le score est plafonné à 75, Attention au mieux, et la page du coin affiche une note qui nomme les données manquantes. Les trous sur le proxy, le code source, la détention et le délai entre transactions ne déclenchent pas le plafond ; ils ne coûtent simplement rien. Les stablecoins adossés à une devise fiat échappent à tous les volets de la règle, sauf au volet honeypot. Sur tout token qui n'est pas un stablecoin adossé à une devise fiat, un badge Sûr vous dit donc deux choses : ces dix champs ont été rapportés, et ce que le scan y a trouvé a coûté 20 points au plus. Rapporté ne veut pas dire propre : une taxe d'achat et de vente de 8 % apparaît comme deux constats et atterrit quand même à 80, Sûr. Sur l'USDT ou l'USDC, le badge ne répond que de la simulation honeypot, parce que les lignes mint et droits du propriétaire y sont lues comme un design de l'émetteur, quoi qu'elles disent, et qu'une taxe non rapportée n'est pas non plus retenue contre l'émetteur. Un badge Attention sur un token par ailleurs irréprochable peut simplement signifier que GoPlus a laissé l'un des dix champs vide. Un badge Attention sur un token auquel il ne manque que ses chiffres de taxe, c'est exactement ce cas : GoPlus n'a pas pu mesurer les frais, la page ne s'en porte donc pas garante. La note sous le badge vous dit dans quel cas vous êtes. Si un coin compte pour vous, passez aussi son contrat dans le Token Safety Check et cherchez les marques Info dans les groupes trading et détention.

Ce que le scan ne voit pas

• L'intention. Un contrat avec une fonction mint active peut appartenir à un projet légitime qui n'a simplement pas encore renoncé à ses droits, ou à une arnaque qui attend du volume. Le code est identique.
• Les promesses hors chaîne. « La liquidité sera verrouillée la semaine prochaine » n'est pas on-chain tant que ce n'est pas fait.
• Les futures mises à jour. Si le contrat est un proxy, la prochaine version n'a pas encore été écrite.
• Le produit. Un contrat parfaitement propre peut appartenir à un projet sans utilisateurs, sans revenus et sans plan. Sécurité du contrat et qualité du projet sont deux questions différentes.
• Les coins natifs. BTC, ETH et SOL n'ont pas de contrat de token. Le scan couvre les tokens ERC-20 et BEP-20 par adresse directe ; pour les coins déjà présents dans la base de données de CoinVett, des contrats Polygon et Arbitrum peuvent aussi apparaître.

Lire un scan en pratique : quatre exemples

Exemple un. Code source vérifié, pas de proxy, pas de mint, les sept champs de droits du propriétaire rapportés comme absents, la taxe par adresse rapportée comme absente elle aussi, simulation honeypot propre, 1 % de taxe dans chaque sens, 40 000 détenteurs, top 10 à 22 %, 100 % de la liquidité verrouillée. Dans le scan, rien que des marques OK et Info. Sur une page de coin, score 100, label Sûr, et aucun plafond puisque les dix champs sous plafond ont été rapportés. Voilà à quoi ressemble sur le papier un token de DEX établi. Cela vous dit qu'aucun des quinze signaux notés ne s'est déclenché. Cela ne vous dit pas que le contrat est inoffensif : GoPlus renvoie des champs que le score ne lit pas, une limite anti-whale ou une taxe par adresse par exemple, et aucun d'eux ne fait bouger le score. La limite anti-whale n'apparaît pas non plus dans le scan ; la taxe par adresse, si, mais seulement sur sa propre ligne. Quant à savoir si le token mérite d'être détenu, c'est une autre question, que le scan ne traite pas non plus.

Exemple deux. Code source vérifié, proxy, mint actif, 0 % de taxe, 800 détenteurs, top 10 à 61 %, liquidité inconnue. Score 100 − 15 − 30 − 10 − 15 = 30, label Risqué. Rien ici n'est une preuve accablante pris isolément. Ensemble, ces signaux décrivent un token où une seule partie peut changer les règles, imprimer de l'offre et vendre sur un marché qu'elle domine. Trois jours après le lancement, c'est le profil de la plupart des tokens qui finissent à zéro.

Exemple trois. L'USDT sur Ethereum, et deux lectures différentes selon l'endroit où vous regardez. Sur la page du coin Tether, la ligne mint porte une note d'information au lieu d'un avertissement et le score de confiance ne retire rien, parce que Tether est un stablecoin adossé à une devise fiat et qu'émettre de nouvelles unités est son modèle économique. Même chose pour sa fonction de blacklist, sa pause des transferts, sa taxe modifiable et pour le droit du propriétaire de réécrire les soldes des wallets : la page du coin range tout cela sous les contrôles de l'émetteur, à titre d'information, sans retrait. Collez le même contrat dans le Token Safety Check et la ligne mint affiche Avertissement, les lignes blacklist, pause des transferts, taxe modifiable et soldes aussi : l'outil ne sait pas ce qu'est un stablecoin, il voit un contrat capable de minter, de geler des adresses, de suspendre les transferts, de changer ses frais et de modifier des soldes, et il le dit. Les deux ont raison à leur niveau. Si la page du coin traitait la fonction mint, la blacklist, la pause des transferts, la taxe modifiable et le contrôle des soldes de l'USDT comme ceux d'un memecoin, le token le plus utilisé de la crypto perdrait 150 points sur ces cinq seules lignes (30, 25, 30, 25 et 40) et tomberait à Danger, ce qui vous dirait que le scoring est cassé, pas que l'USDT est dangereux. Les autres lignes se lisent exactement comme pour n'importe quel autre token.

Exemple quatre, le Sûr qui n'est pas propre. Code source vérifié, pas de proxy, pas de mint, les sept champs de droits du propriétaire rapportés comme absents, simulation honeypot propre, 0 % de taxe dans chaque sens, 12 000 détenteurs, top 10 à 64 %. Score 100 − 15 = 85, label Sûr. Dix wallets détiennent près des deux tiers de l'offre, et le badge est vert. Si ces adresses peuvent vendre librement, elles font bouger le prix à leur guise ; si ce sont des verrous, personne ne peut vendre depuis ces adresses, et les mêmes 64 % veulent dire tout autre chose. Gardez cet exemple en tête chaque fois qu'un label a l'air rassurant : le score compte ce qu'il connaît, et des détenteurs concentrés coûtent exactement 15 points, trop peu pour faire basculer le badge. Ajoutez un signal de plus, disons une taxe d'achat de 8 %, et le même token tombe à 75, Attention. Dans le Token Safety Check, le même contrat affiche un Avertissement jaune sur la ligne « Part des 10 premiers détenteurs » et aucun score, et vous le remarqueriez. Ce profil n'a rien d'inventé : chez les tokens établis, le top 10 est souvent un mélange de wallets d'exchange, de wallets de trésorerie, de contrats de vesting et d'adresses de burn, et seule une partie d'entre eux peut vendre un jour. Le score ne fait pas la différence ; un coup d'œil aux adresses sur un explorateur de blocs, si. Un code source non vérifié, au passage, ne peut pas produire ce tableau, et la plupart des contrats proxy non plus : pour un contrat à code fermé, GoPlus ne renvoie aucun des autres champs de risque, et pour un proxy il ne renvoie que rarement les champs du propriétaire et de mint, si bien que l'un comme l'autre tombent sous le plafond de données, à 75, avant même que leur propre retrait n'entre en jeu.

Faites le test vous-même : collez une adresse dans le Token Safety Check, choisissez la chaîne, lisez de haut en bas. La sécurité de trading d'abord, puis la sécurité du contrat, puis la détention. Un Avertissement ou une marque Info dans le groupe trading met fin à l'exercice.

Questions fréquentes

Un label « Sûr » est-il une raison d'acheter ?

Non. Le label est un chiffre : les signaux connus du dernier scan, soustraits de 100, ont abouti à 80 ou plus. C'est compatible avec une taxe d'achat de 8 % ou dix wallets détenant 61 % de l'offre, du moment qu'un seul de ces cas s'applique. Il n'évalue ni le projet, ni l'équipe, ni le marché, ni le prix, et CoinVett ne formule aucune recommandation d'achat ni de vente.

Pourquoi un token légitime reçoit-il un avertissement ?

En général à cause d'un proxy ou d'une fonction mint auxquels l'équipe n'a pas renoncé, parce qu'un contrat de vesting figure parmi les 10 premiers détenteurs, ou parce que le contrat peut suspendre les transferts, un droit que beaucoup de tokens gérés de façon centralisée conservent pour les urgences ; le scan rapporte le droit, pas l'intention. L'avertissement est exact : ces schémas existent. Savoir s'ils posent problème dépend de qui les contrôle, et c'est une question pour l'explorateur de blocs, pas pour le scan.

D'où viennent les données ?

De GoPlus Security, un fournisseur de données de sécurité on-chain qui simule des transactions et lit les permissions des contrats pour les tokens sur Ethereum et BNB Smart Chain. Les coins que CoinVett suit déjà sont rafraîchis depuis sa base de données ; les adresses inconnues sont scannées en direct et mises en cache pendant 24 heures. La source des données est indiquée sur chaque résultat.

À quelle fréquence dois-je rescanner un token ?

Avant chaque achat, et après toute mise à jour de contrat annoncée. Un token proxy peut changer de logique entre deux scans ; une équipe peut renoncer à la propriété ou verrouiller la liquidité après le lancement. Le résultat que vous avez enregistré la semaine dernière décrit le contrat de la semaine dernière.

Avertissement : Les signaux de sécurité décrivent le comportement on-chain d'un contrat, pas la qualité ou les perspectives d'un projet. Rien sur cette page ne constitue un conseil en investissement.

Guides connexes

• Comment vérifier si un token est un honeypot (en anglais)
• Reconnaître les arnaques crypto
• Guide de sécurité crypto
• Qu'est-ce que les altcoins ?