Reconnaître un airdrop crypto fiable : une grille de vérification

Un airdrop fiable est un airdrop réellement organisé par le projet dont il se réclame, avec un contrat et des règles que ce projet a publiés. La définition est volontairement étroite : elle ne dit rien de la valeur future du token. Séparez donc deux questions. D’abord, est-ce authentique ? Ensuite, cela vaut-il votre temps ? Cette page traite la première ; notre guide des arnaques à l’airdrop crypto décrit ce qui arrive quand la réponse est non.

La grille en 10 points

Chaque critère porte un poids qui reflète la difficulté à le falsifier et la gravité d’un échec. Ces poids relèvent de notre jugement éditorial, pas d’une norme du secteur, et totalisent 100. Cochez ce que vous avez vérifié vous-même, pas ce que la page affirme. Rien n’est transmis : l’état reste dans votre navigateur.

Comment lire le score

Moins de 50

Ne signez rien. Soit la vérification n’est pas terminée, soit les preuves sont faibles.

De 50 à 79

Incertain. Si vous continuez, utilisez un wallet neuf, peu approvisionné, sans autorisation.

80 et plus

Probablement authentique. Lisez tout de même chaque demande de signature.

Vérifier les canaux officiels

Le principe : une chaîne de confiance qui part d’un point que vous avez trouvé vous-même et aboutit à la page de claim. Chaque maillon doit pointer vers l’avant, jamais l’inverse.

1. 1

   Partir d’une source trouvée par vous-même

   Cherchez le nom du projet suivi de « docs », ou utilisez un favori enregistré auparavant. Ne partez jamais du lien qui a éveillé votre intérêt.

2. 2

   Trouver le site et la documentation officiels

   Vérifiez que la documentation est hébergée sur la même famille de domaines que le site, et qu’elle décrit l’airdrop en termes neutres.

3. 3

   Suivre le lien vers le claim

   L’annonce officielle doit pointer vers le domaine de claim. Si ce domaine n’apparaît que dans une publication sur un réseau social, demandez-vous pourquoi.

4. 4

   Examiner le dépôt de code

   Un vrai projet publie généralement son code : source des contrats, historique de commits sur plusieurs mois, tickets actifs. Un dépôt créé la semaine dernière avec un seul commit est une preuve faible.

5. 5

   Contrôler les liens réciproques des comptes sociaux

   Le site doit renvoyer vers les comptes, et les comptes vers le même site. Les comptes clonés échouent généralement dans un sens.

Le réflexe AMF pour les lecteurs français

Un airdrop n’est pas en soi un service financier, mais il vous conduit souvent vers une plateforme pour réclamer, échanger ou vendre. Deux vérifications gratuites s’imposent alors.

• La liste noire. Le site AMF Protect Épargne recense les sites et entités crypto que l’AMF a identifiés ; selon la page, les acteurs mentionnés « n’ont pas le droit de proposer leurs services en France », et la liste est régulièrement mise à jour. Elle inclut aussi une catégorie d’usurpations.
• La liste blanche. Depuis le 2 juillet 2026, la période de transition entre la loi Pacte et MiCA est close. Dans son communiqué, l’AMF encourage les clients à n’utiliser que des prestataires de services sur crypto-actifs (PSCA) agréés pour opérer dans l’Union européenne, et rappelle qu’il n’existe aucun régime d’équivalence avec les pays tiers.

Absence de la liste noire ne vaut pas certificat : une page de claim frauduleuse créée hier n’y figurera pas encore. Lecteurs belges, suisses et québécois : consultez respectivement la FSMA, la FINMA et l’Autorité des marchés financiers du Québec.

L’âge du domaine, avec RDAP

Beaucoup de faux sites de claim sont enregistrés quelques jours avant usage, ce que les données d’enregistrement peuvent révéler. L’ICANN présente RDAP comme le successeur de WHOIS et indique que, depuis le 28 janvier 2025, les registres et registrars des domaines génériques ne sont plus tenus de proposer WHOIS, sauf pour .com, .name et .post, mais doivent fournir RDAP. Dans la pratique, les deux termes désignent le même type de recherche.

Regardez la date de création, le registrar et les serveurs de noms. Un domaine ancien aux données stables rassure ; un domaine créé il y a trois jours alerte. Deux nuances : les services d’anonymisation masquent aussi le titulaire de sites légitimes, et un vieux domaine peut être piraté ou racheté après expiration. L’âge est un signal, pas une preuve. L’outil ICANN Lookup permet la requête.

Vérification des contrats et audits

Le contrat de claim est la source réelle des tokens. Ouvrez son adresse dans un explorateur de blocs et vérifiez quatre points.

• L’adresse correspond à la documentation, idéalement caractère par caractère, au minimum les six premiers et les six derniers.
• Le code source est vérifié par l’explorateur. Un contrat non vérifié n’est pas forcément malveillant, mais mérite un score plus bas.
• La fonction appelée est bien un claim : elle vérifie une preuve d’éligibilité et envoie des tokens à l’appelant. Méfiez-vous d’un code qui prélève des tokens chez l’appelant.
• L’âge et l’activité. Un contrat de claim sans transaction juste avant le lancement est normal ; un contrat déployé il y a quelques minutes par une adresse fraîchement alimentée et annoncé seulement en message privé ne l’est pas.

Pour l’audit, cherchez un rapport hébergé par l’auditeur, avec périmètre, date, constats et commit examiné. Un logo n’est pas un audit, et un audit ne prouve pas que la page devant vous utilise le déploiement audité. Notre position : un bonus côté projet, jamais une raison de relâcher l’attention à l’écran de signature.

La page de claim, pas à pas

1. Préférez un wallet peu approvisionné quand les règles le permettent ; voir notre guide du burner wallet. L’éligibilité est liée à l’adresse qui l’a obtenue : un burner n’a de sens que si les règles autorisent une délégation ou un claim vers une autre adresse.
2. Comparez l’URL avec celle de la documentation officielle, caractère par caractère.
3. Connectez, sans signer. Un vrai vérificateur d’éligibilité affiche votre statut avant de demander quoi que ce soit.
4. Lisez la première demande. Un claim est une transaction vers le contrat vérifié. Une autorisation de dépense, un permit ou un setApprovalForAll doivent vous arrêter. L’EIP-721 précise qu’un opérateur ainsi approuvé peut transférer les NFT concernés ; l’EIP-2612, qu’une signature permit fixe une autorisation sans transaction de votre part.
5. Comparez le montant à la formule ou au barème publié.
6. Après le claim, contrôlez vos autorisations avec notre guide pour révoquer les autorisations de tokens.

Distributions documentées et faux schémas, comparés

Le calcul est simple : les critères 4, 6, 7, 8 et 9 peuvent passer par accident, par exemple avec une adresse de contrat réelle copiée, mais le faux perd les critères 1, 2, 3, 5 et 10, soit 55 points sur 100. Le cas d’Arbitrum enseigne autre chose : une vraie fenêtre de claim a une fin. Une page qui propose de réclamer des ARB aujourd’hui mérite une méfiance maximale.

Notre ordre de vérification, par jugement éditorial : le domaine de claim face à la documentation, puis le type de signature, puis l’adresse du contrat. Moins de deux minutes, et la plupart des fraudes tombent. Un escroc peut copier un logo ou une adresse de contrat ; il lui est bien plus difficile d’obtenir un lien depuis la documentation officielle. Notez enfin l’URL et l’adresse vérifiées : si la page redirige ailleurs, recommencez la grille.

Ce que la fiabilité ne garantit pas

• La valeur. Un airdrop vérifié peut valoir peu, et le prix peut baisser vite.
• Le traitement fiscal. En France, la revente contre des euros relève du régime des plus-values d’actifs numériques. Voir notre guide fiscalité des airdrops crypto.
• La liquidité. Chaque plateforme décide de coter ou non un token. Voir où vendre ses tokens d’airdrop.
• La sécurité ultérieure. Un vrai claim suivi d’une autorisation imprudente ailleurs vous coûte quand même.
• Votre éligibilité. Un projet peut être honnête et vous n’obtenir rien. Méfiez-vous des pages où « tout le monde est éligible ».

Utilisez la grille à chaque fois, pas seulement quand quelque chose vous semble suspect : la campagne dangereuse est celle qui paraît normale. Si vous avez déjà signé une demande douteuse, commencez par révoquer les autorisations, puis signalez le site sur Chainabuse. Pour la marche à suivre complète, voyez comment réclamer un airdrop. Pour les bases, lisez qu’est-ce qu’un airdrop crypto, et avant de chasser activement, le guide du farming d’airdrop.

Rédigé et vérifié par la Rédaction d’airdrop.promo. Méthode : notre méthode de vérification (EN). Une erreur ? contacts@airdrop.promo. Contenu informatif, pas un conseil financier ni fiscal.