Comment vérifier un contrat intelligent en chaîne : étape par étape 2026
— By Whatsertrade in Tutorials
Apprenez à vérifier un contrat intelligent sur Etherscan, BSCScan et Solscan étape par étape. Code source, détection de proxy, contrôle de propriété et d'audit pour 2026.
Liste de contrôle de sécurité : Avant d'échanger, d'approuver ou d'accéder à un nouveau jeton, vérifiez le contrat en chaîne. Ce guide parcourt Etherscan, BscScan et Solscan avec les vérifications exactes qui détectent les fonctions de menthe cachées, les pièges proxy et les signaux d'alarme de propriété. Si vous ne disposez que de cinq minutes, suivez les étapes de la section de procédure pas à pas.
Les contrats intelligents gèrent l'argent. Une signature de portefeuille est une instruction de style juridique transmise au code, donc la lecture de ce que fait ce code n'est pas facultative. La bonne nouvelle : les trois plus grands explorateurs exposent presque tout ce dont vous avez besoin, et le flux de travail se répète dans les chaînes une fois que vous avez appris le modèle.
Pourquoi la vérification du contrat est importante avant d'acheter
Un token sur un DEX n'est qu'une adresse contractuelle. Le ticker, le logo et le Telegram sont marketing. Le contrat est la seule source de vérité et il contrôle si vous pouvez vendre, quels frais s'appliquent, si de nouveaux approvisionnements peuvent être émis et quel portefeuille peut tout suspendre.
La vérification répond à deux questions. La procédure : le déployeur a-t-il publié la source qui se compile avec le bytecode déployé. La question éditoriale : le code publié est-il quelque chose que vous accepteriez. Vous avez besoin des deux. Un contrat peut être vérifié tout en étant malveillant de par sa conception.
Code source vérifié par Etherscan : ce que signifie réellement le chèque vert
Ouvrez Etherscan, collez l'adresse du contrat et cliquez sur l'onglet Contrat. Une coche verte à côté de Contract signifie qu'Etherscan a compilé le Solidity public et a confirmé que le bytecode correspond à celui déployé sur le réseau principal.
La vérification est nécessaire mais pas suffisante. Cela prouve seulement que le code que vous êtes sur le point de lire est le code qui s'exécute. Cela ne dit rien sur l’équité du code.
Dans l'onglet Contrat, vous trouverez des sous-onglets pour Code, Lire le contrat et Rédiger le contrat. Le code montre la solidité. Lire les listes, afficher les fonctions interrogeables sans gaz. Écrivez des listes de fonctions de changement d'état que vous pouvez appeler via votre portefeuille. Ensemble, ils décrivent toute la superficie du contrat.
Source du contrat de lecture : fonctions constructeur, menthe, propriétaire et frais
Vous n'auditez pas ligne par ligne. Vous recherchez les cinq éléments qui déterminent si le jeton est équitable. Utilisez la recherche dans l’onglet Code pour ces mots-clés.
Détection des contrats proxy et des emplacements de stockage EIP-1967
De nombreux jetons modernes sont des contrats par procuration. L'adresse avec laquelle vous interagissez délègue les appels à une implémentation distincte qu'un administrateur peut échanger. Il n’est pas garanti que la logique que vous lisez aujourd’hui sera celle de demain.
Etherscan le signale directement. Dans l'onglet Contrat, recherchez une bannière indiquant Ce contrat est un proxy. Etherscan lit l'emplacement de stockage EIP-1967 à 0x360894a13ba1a3210667c828492db98dca3e2076cc3735a920a3ca505d382bbc pour trouver l'adresse d'implémentation.
Lorsque vous voyez un proxy, effectuez deux choses supplémentaires. Lisez la source du contrat de mise en œuvre plutôt que le proxy lui-même, car le proxy est principalement une logique déléguée. Vérifiez ensuite l'emplacement d'administration sur 0xb53127684a568b3173ae13b9f8a6016e243e63b6e8ee1178d6a717850b5d6103 pour identifier le portefeuille de mise à niveau. L’administrateur renoncé ou sans adresse est le plus sûr. Le multisig est acceptable. Un nouvel EOA est un drapeau jaune.
Notre guide des contrats de procuration couvre en profondeur les proxys transparents et UUPS.
Workflow BscScan : surface similaire, environnement plus occupé
BscScan reflète Etherscan car les deux sont construits par la même équipe. L'onglet Contrat, les sous-onglets Lecture et Écriture, la coche verte et le détecteur proxy se comportent tous de la même manière. La chaîne est différente ; le workflow de vérification est identique.
Ce qui change sur BNB Chain, c'est la vitesse de l'environnement. Les inscriptions sont plus rapides, les jetons de copie sont plus courants et les contrats à faible effort sont plus élevés. Attendez-vous à abandonner plus de contrôles BscScan que de contrôles Etherscan. Le bar est le même. Le taux de réussite est différent.
Si vous utilisez déjà Etherscan en toute confiance, BscScan est le même playbook. Notre Tutoriel BscScan couvre les spécificités de la chaîne BNB, y compris les bizarreries du BEP-20 et les pièges à copieurs les plus courants.
Vérification des contrats Solscan et Solana : un paradigme différent
Solana n'utilise pas Solidity et ne stocke pas l'état du compte dans un contrat. Les programmes se compilent selon le bytecode BPF et les soldes des utilisateurs résident dans des comptes de jetons appartenant au programme de jetons SPL. Cela change ce que signifie la vérification sur Solscan.
Vous ne pouvez pas lire la source Solidity car il n'y en a pas. Au lieu de cela, vous vérifiez trois choses : le programme est-il évolutif et qui contrôle les mises à niveau, quelle est l'autorité de création sur le compte de jeton et une autorité de gel existe-t-elle toujours.
Solscan expose les quatre sur la page des jetons. Une valeur nulle dans les champs d'autorité et une distribution saine signifient que le jeton est structurellement plus sûr. Toute autorité encore active sur un memecoin sans justification est une question qui mérite d'être répondue avant de prendre une décision.
Drapeaux rouges courants : menthe cachée, listes noires et frais de transfert
La plupart des tapis ne nécessitent pas de nouveaux exploits. Ils réutilisent les mêmes motifs. Les reconnaître sur l'explorateur constitue l'essentiel de la défense.
Un seul drapeau rouge n'est pas toujours disqualifiant. Une combinaison l’est généralement. Une menthe active plus des frais réglables et un nouveau propriétaire EOA est la configuration classique du pot de miel.
Outils qui automatisent les contrôles : TokenSniffer, GoPlus, audit DEXTools
La lecture manuelle de l'explorateur est la référence. Les outils automatisés constituent un filtre rapide qui signale les problèmes évidents avant que vous ne consacriez du temps à un contrat.
Flux de travail le plus rapide : commencez par l'audit DEXTools sur la paire, passez à l'explorateur si quelque chose est jaune, vérifiez par recoupement avec TokenSniffer ou RugCheck. Trois signaux provenant de trois sources suffisent pour agir.
Procédure pas à pas : vérifier un token en cinq minutes
Séquence exacte avant tout échange de nouveau jeton.
Si chaque étape réussit, vous n'avez pas prouvé que le jeton est sûr ; vous avez prouvé qu'il n'est manifestement pas truqué, ce qui est une barre plus haute que celle que la plupart des traders franchissent avant de cliquer sur swap. Associez-le à notre Liste de contrôle de sécurité du portefeuille pour supprimer la plupart des vecteurs de perte.
Après l'échange : révoquer les approbations et surveiller les mises à niveau
La vérification à l'entrée représente la moitié du travail. Après avoir négocié, vous laissez généralement une approbation symbolique derrière vous. Cette approbation constitue une autorisation permanente pour le contrat de dépenser ce jeton, et si le contrat est ultérieurement mis à niveau avec une logique malveillante, les fonds peuvent être drainés sans nouvelle signature.
L'hygiène d'approbation fait partie du flux de travail. Notre Tutoriel sur la révocation des approbations de jetons couvre les outils et la cadence. Associer avec Protection MEV pour le dimensionnement des jetons volatils.
FAQ
La vérification prouve que le bytecode déployé correspond à la source Solidity publiée par le déployeur. Cela ne prouve pas que le code est équitable, sûr ou aligné avec le marketing du projet. Il faut quand même lire la source pour les fonctions à risque.
Oui, facilement. De nombreux pots de miel sont vérifiés parce que le déployeur souhaite obtenir le contrôle vert de crédibilité. Le comportement malveillant est écrit de manière transparente dans des fonctions telles que setFee ou pauseTransfers et contrôlé par le propriétaire.
Un proxy délègue les appels à un contrat de mise en œuvre distinct qu'un administrateur peut échanger. Si l'administrateur est un seul portefeuille, toute la logique du jeton peut être remplacée après le lancement. Vérifiez toujours l’emplacement d’administrateur et préférez les administrateurs multisig ou renoncés.
Les programmes Solana sont compilés en BPF plutôt qu'en Solidity, il n'y a donc pas de code source à lire directement. Solscan se concentre sur le statut d'autorité, la distribution des détenteurs et l'évolutivité du programme au lieu de la vérification de la source.
Ce sont des adresses d'emplacement standardisées où les proxys stockent les pointeurs d'implémentation et d'administration. Etherscan lit l'emplacement 0x36089...d382bbc pour l'implémentation et 0xb53127...0b5d6103 pour que l'administrateur affiche les informations du proxy.
Pas automatiquement. Les Stablecoins, les jetons de gouvernance et les récompenses de mise ont légitimement besoin de menthe. La question est de savoir qui le contrôle et si la conception du projet justifie le maintien de ce pouvoir actif.
Un jeton que vous pouvez acheter mais que vous ne pouvez pas vendre. Le blocage de la vente est généralement mis en œuvre via des frais de transfert fixés à près de 100 %, une liste noire qui cible les vendeurs ou un crochet de transfert qui revient. Les simulations de vendabilité en capturent la plupart.
Il supprime une classe de risque mais n'élimine pas les proxys, les frais immuables ou les portefeuilles préfinancés. Le renoncement est positif mais il faut quand même lire le code qui s'exécute lorsque personne ne le contrôle.
Sur Etherscan ou BscScan, ouvrez la page des jetons LP et regardez les principaux détenteurs. La liquidité verrouillée se trouve dans un contrat de casier connu tel que Unicrypt ou Team.Finance. La liquidité brûlée se trouve à l’adresse zéro.
Pour faire apparaître les contrôles de vérification les plus courants sans quitter le graphique. Il extrait la vérification du contrat, la propriété, la vendabilité, les frais, les taxes et le statut de verrouillage de liquidité afin que les traders puissent dimensionner les positions avec ces informations déjà chargées.
Pour les petites positions et les tokens connus, oui. Pour de nouveaux lancements et une taille significative, non. Les scanners détectent les modèles et les modèles évidents. Les escroqueries personnalisées qui transmettent des modèles nécessitent une inspection humaine de la source.
Source vérifiée et modèle de propriété propre. Si ces deux-là manquent, rien d'autre n'a d'importance. Si les deux sont présents, le reste des contrôles consiste à évaluer le risque résiduel plutôt que de se demander s’il faut ou non s’engager.