La vérification du contrat est votre première défense contre les tractions de tapis et les exploits cachés. Avant que votre wallet touche un jeton, vous devez savoir: est-ce que ce code est réel, vérifié ou un piège? Le système de vérification d'Etherscan vous permet de lire le code source derrière n'importe quel smart contract sur Ethereum. Selon [Données vivantes de CoinGecko] (https://www.coingecko.com/), l'écosystème Ethereum compte 17 334 cryptomonnaies suivies en juillet 2026. La grande majorité sont non vérifiées ou abandonnées, c'est pourquoi la lecture du code que vous faites confiance compte. Voici le processus étape par étape.
Prérequis: compte Etherscan (gratuit), adresse du contrat de sources officielles, compétences de base en reconnaissance des motifs. Temps d'achèvement : 15-20 minutes.
Étape 1: Trouver et valider l'adresse du contrat
Ne jamais faire confiance à une adresse de contrat de Discord, Twitter ou Telegram seul. Les scammers créent quotidiennement des comptes ressemblants.
- Visitez le site officiel** ou le site Web du projet
- Localiser l'adresse du contrat (généralement sous « Contrats intelligents » ou « Tokénomique »)
- Recoupez-le sur CoinGecko pour les jetons Ethereum supérieurs
- Ouvrir Etherscan et coller l'adresse dans la barre de recherche
La page Etherscan affiche le solde du contrat, l'historique des transactions et l'adresse du créateur. Si le créateur est signalé comme un exploit connu wallet ou Tornado Cash mixer, c'est un drapeau rouge.
Étape 2 : Vérifier l'état de la vérification et lire le code
Faites défiler vers la section « Contrat ». Recherchez un coche vert à côté de "Contract Source Code Vérifié".
Vérifié (cochez vert): Le déployeur a soumis le code Solidity original, et Etherscan a confirmé qu'il correspond à l'octécode déployé. Vous pouvez lire la source complète.
** Non vérifié (aucun signe)**: Le code est caché. Cela ne signifie pas automatiquement que c'est une arnaque, mais selon la documentation d'Etherscan (https://docs.etherscan.io/getting-started/viewing-contract-source-code), les contrats non vérifiés pourraient contenir n'importe quoi. Si un jeton prétend n'avoir « aucune fonction de fusion » mais que le code n'est pas vérifié, vous ne pouvez pas le confirmer.
Si vous avez vérifié, cliquez sur l'onglet "Code" et recherchez ces sections critiques :
Fonction du drapeau rouge
C'est le cas.mint() disponible indéfiniment par le propriétaire
Aucune restriction, ni liste noire/liste blanche.
Liquidité: withdrawLP() accessible au propriétaire: LP verrouillé via Team Finance ou Unicrypt
Le propriétaire a une puissance illimitée.
Recherchez également selfdestruct() (trap), tx.origin au lieu de msg.sender (risque de phishing) et les événements manquants (opacité). Les importations OpenZeppelin sont un drapeau vert, il signale l'utilisation de bibliothèques standard auditées.
Étape 3 : Vérifier l'historique du Déploiement et de la vérification
Allez dans l'onglet « Lire le contrat » et trouvez la variable owner. Cliquez dessus pour voir l'historique des transactions du propriétaire.
Vérifier :
- Historique des déploiements antérieurs réussis (signal de légitimité)
- Nouveau wallet avec une seule transaction (flag rouge)
- Adresse connue d'échange ou de protocole (flag vert)
Ensuite, recherchez sur le site du projet des rapports d'audit de tiers** provenant d'entreprises comme Certik, Trail of Bits, ou OpenZeppelin. S'ils demandent un audit mais que vous ne trouvez pas le rapport, c'est suspect. Pour une plongée plus approfondie sur la mécanique d'audit, consultez notre guide sur [comment relier les jetons en toute sécurité] (/blog/how-to-bridge-tokens-safely), qui couvre les modèles de vérification de la chaîne transversale utilisés par les ponts vérifiés.
Étape 4 : Analyser la distribution et les serrures de liquidité
Dans Etherscan, cliquez sur « Analytics » pour afficher le diagramme de distribution du détenteur.
Si une adresse possède plus de 50% de l'offre, le risque de centralisation est extrême. Localiser l'adresse du pool Uniswap/Curve (habituellement le détenteur principal par solde) et vérifier son état de verrouillage sur Team Finance ou Unicrypt. Rug tire les piscines Uniswap en quelques heures. Une écluse de 6 mois et plus suggère que l'équipe croit au projet.
Pour la comparaison avec d'autres techniques de vérification entre chaînes, notre précédent tutoriel de vérification BSC token suit la même méthodologie, mais utilise BscScan. La vérification Ethereum est en principe identique.
FAQ & Dépannage
Q: J'ai trouvé le contrat, mais Etherscan dit "Adresse invalide."
R: Vérifiez l'adresse de la source officielle. Un seul caractère mal typé ouvre entièrement un contrat différent.
Q: Le code n'est pas vérifié. C'est une arnaque ?
R: Pas nécessairement. Certains projets légitimes sont vérifiés plus tard. Mais sans visibilité de code, vous ne pouvez pas l'auditer. Choix plus sûr : attendez la vérification ou sautez-la.
Q: Je vois un contrat de procuration. Qu'est-ce que ça veut dire ?
R: Les contrats proxy permettent une logique upgradable. Cliquez sur "Read as Proxy" sur Etherscan pour voir l'implémentation. Ceci est standard pour Aave et MakerDAO mais ajoute le risque si le propriétaire se met à niveau de manière malveillante.
Q: Dois-je comprendre la Solidité?
R : Non. Concentrez-vous sur la reconnaissance des motifs : fonctions mint(), modificateurs onlyOwner et dates de verrouillage. Le reste est le contexte.
Q: La vérification est-elle toujours sécuritaire?
R: Vérifié signifie que le code correspond au déploiement. Il ne garantit pas que le code est sans bug. Un contrat vérifié peut avoir des erreurs honnêtes (exploits de prêt éclair) ou intentionnelles portes arrière. Mais c'est bien plus sûr que le code non vérifié.
Q: Et si un jeton est sur Ethereum et BSC?
R : Vérifiez les deux séparément en utilisant BscScan. Le même jeton peut avoir différentes implémentations sur différentes chaînes.
Q: Un contrat vérifié peut-il encore être piraté?
R : Oui. La vérification ne protège pas contre les attaques de prêt éclair, les manipulations d'oracle ou les exploits de dépendances externes. C'est une étape défensive, pas une garantie.
Le panda surveille la vérification du contrat de la façon dont un garde de sécurité vérifie une pièce d'identité, pour ne pas être juge, juste pour rester en sécurité. Lire le code quand disponible bat la foi à chaque fois.
