암호화폐 러그풀 현상을 미리 알아채는 방법: 8단계 사전 거래 점검

소셜 피드에서 새로운 토큰을 발견했습니다. 차트는 빠르게 움직이고, 커뮤니티에서는 사전 판매가 곧 종료된다고 외치고, 웹사이트에서는 초기 구매자가 엄청난 수익을 올릴 수 있다고 주장합니다. 몇 분 안에 결정을 내리고 싶은 유혹이 듭니다. 바로 이때, 럭 풀(rug pull)을 알아차리기가 가장 어렵습니다. 엑시트 직전에는 프로젝트가 활발하고 유동성이 높으며 합법적으로 보일 수 있기 때문입니다.

러그 풀(Rug Pull) 이란 일반적으로 암호화폐 프로젝트 내부자나 홍보 담당자가 유동성을 고갈시키거나, 특정 토큰 포지션을 대량 매도하거나, 특권적인 계약 제어 권한을 남용하거나, 자산을 사실상 판매 불가능하게 만드는 등의 방식으로 프로젝트에서 가치를 갑자기 빼돌리는 사기 행위를 말합니다. 모든 실패했거나 잘못 설계된 토큰이 러그풀은 아니며, 단 하나의 경고 신호만으로 사기임을 확신할 수는 없습니다. 이 가이드의 목표는 투자금이나 지갑 권한을 위험에 빠뜨리기 전에 여러 가지 독립적인 점검 사항을 종합적으로 확인하는 것입니다.

아래 프로세스는 가장 빠른 검사부터 시작하여 더 심층적인 온체인 검토로 진행됩니다. 프로젝트가 초기 검사에서 심각한 결함을 발견한 경우, 단순히 포기를 정당화하기 위해 계속해서 조사할 필요는 없습니다.

1단계: 토큰을 검토하기 전에 과장된 부분을 제거하세요.

먼저 판매 제안부터 살펴보세요. 미국 증권거래위원회(SEC) 투자자 교육팀은 높은 수익률이나 보장된 수익률, 낮은 위험 또는 위험 없음, 원치 않는 제안, 그리고 즉시 행동하도록 압박하는 행위는 전형적인 사기 징후라고 거듭 경고합니다. 연방거래위원회(FTC) 역시 누구도 암호화폐 수익을 보장할 수 없다고 경고합니다.

코드를 살펴보기 전에 다음 세 가지 간단한 질문을 스스로에게 해보세요.

• 투자 제안이 보장된, 확정된, 또는 거의 확실한 수익을 약속하고 있습니까?
• 카운트다운, "화이트리스트 마감", "마지막 할당" 또는 기타 인위적인 긴급성을 나타내는 요소가 있습니까?
• 대부분의 증거가 검증 가능한 사실보다는 스크린샷, 인플루언서, 사용 후기, 팔로워 수와 같은 사회적 증거에 기반하고 있습니까?

합법적인 프로젝트라 하더라도 공격적인 마케팅 전략은 효과적일 수 있지만, 서두름이 절대 철저한 검토를 대체해서는 안 됩니다. 현재 소비자들이 주의해야 할 사항은 SEC의 2024년 암호화폐 사기 투자자 경고 와 FTC의 암호화폐 사기 가이드라인을 참고하세요.

2단계: 프로젝트가 마케팅 활동을 넘어 실제로 존재하는지 확인합니다.

다음으로, 개발자, 제품, 코드의 독립적인 검증 가능성을 확인하세요. 토큰의 기능을 설명하는 기술 설명서, 공식 채널 전반에 걸쳐 일관되게 게시된 계약 주소, 개발 이력, 그리고 프로젝트 웹사이트 외부에서도 확인할 수 있는 팀 정보 등을 찾아보시기 바랍니다.

익명의 팀이라고 해서 무조건 사기인 것은 아닙니다. 합법적인 암호화폐 프로젝트 중에서도 가명을 사용하는 참여자가 있는 경우가 있습니다. 하지만 익명 팀은 위험도를 높입니다. 운영자가 불명확하고, 코드가 비공개이며, 문서가 모호하고, 홍보 채널 외에는 의미 있는 이력이 없는 프로젝트라면, 누가 시스템을 통제하는지, 문제가 발생했을 때 어떻게 대처하는지 파악할 방법이 부족해집니다.

프로젝트 이름, 토큰 기호, 계약 주소, 주요 팀 구성원 이름을 개별적으로 검색해 보세요. 특히 미국 연방거래위원회(FTC)는 회사 또는 개인 이름과 암호화폐를 함께 검색하고 "사기" 또는 "불만"과 같은 용어를 사용하여 검색할 것을 권장합니다. 홍보 담당자가 제공하는 링크에만 의존하지 마세요.

3단계: 보유자 집중도 및 연결된 지갑 확인

신뢰할 수 있는 블록 탐색기를 열어 해당 체인의 토큰 최대 보유자를 확인해 보세요. 공급량이 집중되어 있다고 해서 반드시 러그풀 사기라고 단정할 수는 없습니다. 거래소 지갑, 베스팅 계약, 브릿지, 재무 계약, 스테이킹 볼트, 유동성 풀 등에서 합법적으로 대량의 토큰을 보유할 수 있습니다. 중요한 것은 이러한 주소를 누가 통제하고 있으며, 그들이 무엇을 할 수 있는지 입니다 .

다음과 같은 패턴을 찾아보세요:

• 외부 소유 지갑 하나가 비정상적으로 많은 양의 공급량을 보유하고 있습니다.
• 동일한 배포자가 자금을 지원하거나 조직적으로 상호 작용하는 여러 주요 지갑;
• 신뢰할 만한 권리 확정 메커니즘이 없는 대규모 팀 할당;
• 마케팅 활동 시작 전에 배포자 연결 주소에서 새 지갑으로 신속하게 자금을 이체합니다.

미국 증권거래위원회(SEC)는 암호화폐 관련 상품의 소유권 및 경영권 구조가 고도로 집중되고 불투명해질 수 있다고 경고했습니다. 이러한 집중 현상은 유동성 부족이나 특정 기업에 의한 계약 통제와 결합될 경우 더욱 위험해집니다.

4단계: 토큰 경제 페이지뿐만 아니라 계약의 관리자 권한도 읽어보세요.

마케팅 자료에는 "고정 공급" 또는 "커뮤니티 소유"라고 명시되어 있을 수 있지만, 스마트 계약 자체가 더 중요한 진실의 원천입니다. 소스 코드가 검증되었다면 기능과 접근 제어 역할을 검토하십시오. 계약이 업그레이드 가능한 경우, 프록시 관리자와 업그레이드 권한도 함께 검토해야 합니다.

소유자 또는 관리자가 다음 사항을 할 수 있는지 특히 주의 깊게 살펴보십시오.

• 추가 토큰을 발행합니다.
• 송금 수수료 또는 세금을 변경하세요.
• 블랙리스트 또는 화이트리스트 주소;
• 이체 또는 거래를 일시 중단합니다.
• 거래 한도를 변경합니다.
• 구현 로직을 업그레이드하거나 교체하십시오.
• 재무부 자금 또는 프로토콜 자금을 이체합니다.

이러한 기능들은 합법적일 수 있습니다. 예를 들어, 심각한 버그 발생 시 긴급 일시 중지 제어 기능이 유용할 수 있습니다. 위험은 단순히 관리자 기능이 존재한다는 데 있는 것이 아니라, 특정 당사자가 시간 제한, 다중 서명 제어, 투명한 관리 체계 또는 기타 제약 조건 없이 강력한 기능을 사용할 수 있는지 여부에 있습니다.

OpenZeppelin의 최신 접근 제어 문서에서는 발행, 동결, 업그레이드 및 기타 특권 작업에 대한 역할이 중요한 이유를 설명합니다. 이더리움의 스마트 계약 보안 문서 또한 민감한 기능에 대한 적절한 접근 제어의 중요성을 강조합니다.

5단계: 유동성 심도와 유동성을 제거할 수 있는 주체를 검토합니다.

토큰의 명목상 시가총액은 크지만, 매수자와 매도자를 위한 유동성은 매우 부족할 수 있습니다. 실제 유동성 풀을 확인해 보세요. 해당 자산의 총량은 얼마나 되는지, 시장 규모는 얼마나 되는지, 그리고 누가 유동성 관리를 담당하는지 살펴보세요.

배포자 또는 이와 밀접한 관련이 있는 지갑이 인출 가능한 유동성의 대부분을 관리하는 경우, 프로젝트는 해당 유동성을 갑자기 제거할 수 있습니다. 락 또는 베스팅 메커니즘은 이러한 특정 위험을 줄일 수 있지만, "유동성 락"이 만능 안전장치는 아닙니다. 락 계약, 락 기간, 수혜자, 락 해제 날짜, 그리고 다른 유동성 풀의 존재 여부 등을 여전히 확인해야 합니다.

또한 유동성 위험 과 토큰 소유권 위험을 구분해야 합니다 . 영구적으로 유동성이 잠겨 있더라도 내부자가 잠금 해제된 토큰을 대량으로 유동성 풀에 투입하는 것을 막을 수는 없습니다.

6단계: 일반 주주가 실제로 매도할 수 있는지 확인합니다.

일부 악성 토큰은 구매는 쉽지만 판매는 차단되거나, 과도한 수수료가 부과되거나, 특정 주소에서만 판매가 허용되도록 설계되어 있습니다. 소중한 금액을 투자하기 전에 거래 로직을 꼼꼼히 검토하고, 가능하다면 신뢰할 수 있는 거래 시뮬레이션 또는 탐색기 도구를 활용하세요.

다음 내용을 찾아보세요:

• 판매 수수료가 극단적인 수준으로 변경될 수 있습니다.
• 매수와 매도에 서로 다른 규칙이 적용됩니다.
• 소유자가 관리하는 블랙리스트 또는 거래 권한;
• 최대 거래 횟수 또는 최대 지갑 한도 규칙을 임의로 변경할 수 있습니다.
• 라우터, 페어 또는 특정 주소를 다르게 처리하는 로직.

매수 성공이 곧 매도 성공을 보장하는 것은 아닙니다. 시장 메커니즘을 시험해보고 싶다면 거래 금액은 최소한으로 유지하고, 소액 매도가 성공하더라도 향후 매도 기능이 계속 유지될 것이라는 보장은 없다는 점을 명심하십시오. 관리자가 추후에 매개변수를 변경할 수 있습니다.

7단계: 지갑 승인을 별도의 보안 결정 사항으로 처리합니다.

러그풀 공격 방지를 위해서는 웹사이트가 지갑에 서명을 요구하는 항목을 확인해야 합니다. 악의적이거나 해킹당한 탈중앙화 애플리케이션(dApp)은 지갑에 이미 있는 토큰을 마음대로 사용할 수 있도록 무제한 토큰 승인을 요청할 수 있습니다. 이러한 위험은 웹사이트를 떠난 후에도 여전히 존재할 수 있습니다.

이더리움 공식 웹사이트(Ethereum.org)는 악의적인 스마트 계약이 무제한 승인 권한을 악용할 수 있다고 경고하며, 필요한 것만 승인하고 불필요한 권한은 취소할 것을 권장합니다. 새로운 프로젝트에서 수행하려는 작업과 무관한 광범위한 승인을 요구하는 경우, 즉시 중단하고 어떤 토큰, 스펜더 주소, 금액을 승인하는지 정확히 파악해야 합니다.

토큰 접근 권한 검토 및 취소 에 대한 공식 이더리움 가이드라인을 따르세요 . 이미 의심스러운 프로젝트와 거래한 경우, 이더리움 공식 웹사이트(Ethereum.org)의 사기 지원 가이드라인 에서 남은 자산을 확보하고 의심스러운 승인을 취소할 것을 권장합니다 .

8단계: 증거를 종합하여 중단/진행 여부를 결정합니다.

이 시점에서 프로젝트를 단 하나의 자동화된 "러그 스코어"로만 평가하지 마십시오. 프로젝트는 한 가지 검증을 통과하더라도 다른 검증에서는 실패할 수 있습니다. 감사받은 코드가 정직한 운영자를 보장하는 것은 아닙니다. 유동성 잠금이 내부자 토큰 매도를 막는 것은 아닙니다. 신상 정보가 유출된 창업자가 위험한 계약 권한을 제거하는 것은 아닙니다. 성공적인 테스트 판매가 나중에 판매 규칙을 변경할 수 없다는 것을 증명하는 것은 아닙니다.

실용적인 의사결정 규칙은 발견한 내용을 세 가지 범주로 분류하는 것입니다.

10분 만에 카펫을 끌어당기는 상황을 확인하는 체크리스트

소액 투기 포지션을 고려하기 전에 간략한 버전이 필요하다면 다음 목록을 순서대로 실행하세요.

1. 서두름이나 약속은 무시하고, 프로젝트가 주장하는 내용을 정확하게 적어보세요.
2. 공식 계약 주소는 두 개 이상의 신뢰할 수 있는 출처를 통해 확인하십시오.
3. 팀 구성, 문서화, 개발 이력 등을 독립적으로 검증할 수 있는지 확인하십시오.
4. 가장 많은 토큰을 보유한 사용자를 조사하고 계약, 거래소, 재무 지갑 및 배포자 연결 주소를 식별합니다.
5. 검증된 계약 코드를 읽고 소유자, 관리자, 발행자, 일시 중지자, 수수료, 블랙리스트 및 업그레이드 권한을 확인합니다.
6. 실제 유동성 풀의 규모와 누가 유동성 포지션을 인출할 수 있는지를 살펴보십시오.
7. 매수/매도 제한 및 변경 수수료를 검토하고, 가능한 경우 거래 시뮬레이션을 활용하십시오.
8. 지갑 서명과 토큰 승인 내용을 모두 확인한 후 확정하십시오.
9. 불만 사항, 보안 보고서 및 모순되는 정보를 독립적으로 검색하십시오.
10. 여러 핵심 사실들이 검증되지 않은 채로 남아 있다면, 추측으로 공백을 메우기보다는 차라리 손을 떼는 것이 낫습니다.

자신의 결론을 스스로 검증하는 방법

구매하기 전에 해당 프로젝트 웹사이트와 소셜 미디어 채널을 닫으세요. 그런 다음 블록체인 탐색기, 검증된 소스 코드, 유동성 현황, 관련 공식 등록 기관 또는 규제 기관 도구, 홍보 게시물 외부에 게시된 문서 등 독립적인 데이터만을 사용하여 결론을 재현해 보세요.

스스로에게 질문해 보세요:

• 누가 계약을 발행, 일시 중지, 블랙리스트에 추가, 수수료 변경 또는 업그레이드할 수 있는지 설명해 드릴까요?
• 누가 가장 많은 토큰을 보유하고 있는지 설명해 드릴까요?
• 주요 유동성을 누가 통제하는지, 그리고 그 통제권이 언제 바뀔 수 있는지 설명해 드릴까요?
• 현행 계약 규정에 따라 일반 주주가 매도할 수 있습니까?
• 소셜 미디어 링크를 믿는 대신 계약 주소를 직접 확인했나요?
• 불필요한 무제한 승인을 하지 않았습니까?
• 가격표와 인플루언서 게시물이 숨겨져 있다면 해당 프로젝트를 여전히 고려할까요?

만약 당신이 처음 여섯 가지 질문에 대해 근거 있는 답변을 할 수 없다면, 당신은 아직 위험성을 충분히 이해하지 못한 것이므로 일곱 번째 질문에 의존할 수 없습니다.

의심스러운 토큰과 이미 상호 작용한 경우 어떻게 해야 할까요?

지갑이 사기성 계약과 연관되었을 가능성이 있다고 생각되면, 우선 남아있는 자산을 보호하는 데 집중하세요. 의심스러운 토큰 승인을 검토하고 취소하고, 침해 가능성이 있는 경우 영향을 받지 않은 자산을 안전한 지갑으로 옮기고, 거래 해시, 주소, 스크린샷, 관련 통신 기록을 보관하세요. 도난당한 암호화폐를 복구해 준다고 주장하며 선불 수수료를 요구하는 낯선 사람에게 돈을 지불하지 마세요. 규제 당국은 복구 사기가 이미 돈을 잃은 사람들을 대상으로 하는 경우가 많다고 경고합니다.

미국 증권 사기 가능성은 Investor.gov의 피해자 지원 자료 에 링크된 SEC(증권거래위원회) 자료를 통해 신고할 수 있으며 , 소비자 사기는 FTC(연방거래위원회)를 통해 신고할 수 있습니다. 사기꾼에게 보낸 암호화폐는 회수하기 어렵기 때문에 거래 전 검증이 나중에 자금을 돌려받을 수 있다는 약속보다 훨씬 중요합니다.

결론적으로

토큰 가격을 주요 정보원으로 삼는 것을 멈추면 대부분의 러그풀(rug pull)을 쉽게 피할 수 있습니다. 마케팅은 홍보 담당자가 믿게 하려는 내용을 알려주고, 보유자 데이터는 누가 공급량을 소유하고 있는지 알려주며, 스마트 계약 코드는 특권 계정이 무엇을 변경할 수 있는지 알려주고, 유동성 데이터는 출금 자금이 어떻게 조달되는지 알려주며, 지갑 승인은 문제가 발생하기 전에 어떤 접근 권한을 부여하는지 알려줍니다.

최고의 보호책은 마법 같은 지표 하나를 찾는 것이 아닙니다. 시스템의 여러 핵심 요소들을 독립적으로 검증할 수 없을 때 투자를 포기하는 것입니다. 암호화폐 시장에서 "누가 이 시스템을 통제하는지 모른다"는 것은 중립적인 사실이 아니라, 그에 상응하는 위험을 내포하고 있으며, 이는 가격에 반영되어야 합니다.