탈중앙화 금융(DeFi)의 급속한 발전은 금융 시장 운영 방식에 혁명적인 혁신을 가져왔을 뿐만 아니라 정교한 사기 활동의 새로운 시대를 열었습니다. Tan Phat Digital 전문가 팀의 분석에 따르면, 프로젝트 개발자가 갑자기 모든 투자 자본을 회수하고 사라지는 행위인 러그 풀(Rug pull)은 사용자 신뢰에 대한 가장 심각한 위협 중 하나가 되었습니다. 외부 해킹과 달리 러그 풀은 내부로부터의 공격으로, 취약점은 의도하지 않은 오류가 아니라 적절한 자산에 대한 스마트 계약에 의도적으로 인코딩된 메커니즘입니다.
유동성 유출, 무제한 토큰 발행(무제한 토큰 채굴)과 같은 기술적 메커니즘과 FRP(Fragmented Rug Pull)와 같은 정교한 회피 전술을 이해하는 것은 보안 연구원과 전문 투자자가 위험을 식별하고 예방하는 데 매우 중요합니다.
러그의 특성과 분류 당기기: 갑작스러운 붕괴에서 점진적인 쇠퇴까지
러그 당기기는 단일한 형태로 존재하지 않으며 실행 속도, 적법성 및 사용된 기술 메커니즘에 따라 분류됩니다. "Hard Rug Pull"과 "Soft Rug Pull"의 차이점을 이해하는 것이 공격 벡터를 분석하는 첫 번째 단계입니다.
Hard Rug Pull과 Soft Rug Pull의 특성 분석
1. Hard Rug Pull: 사전 프로그래밍된 속임수
실행 메커니즘: 무한 Mint 기능, Liquidity Drain 또는 Honeypot Trap과 같은 기술적인 "백도어"를 사용합니다.
실행 속도: 활성화 후 몇 분에서 몇 시간 내에 거의 즉각적입니다.
호환성 합법성: 일반적으로 명백한 불법 행위로 간주되며 금융 사기로 형사 기소될 수 있습니다.
복구 가능성: 완전히 복구할 수 없으며 자산 가치가 영원히 0이 되는 경우가 많습니다.
구별 징후: 계약 소스 코드가 유명 기관의 감사를 받지 않았거나 유동성이 잠겨 있지 않거나 잠금 기간이 너무 깁니다. 짧게.
2. Soft Rug Pull: 시장 조작 및 자동 종료
실행 메커니즘: 개발자가 자동으로 대량의 예비 토큰을 해제하거나 갑자기 프로젝트 개발 로드맵을 포기합니다.
발생 속도: 점진적으로 발생하며 "조용한 붕괴"로 몇 주 또는 몇 달 동안 지속됩니다. 스타일.
호환성 법적: 법적 회색지대에 위치하여 사기 의도를 법으로 입증하기 어렵습니다.
회복 가능성: 커뮤니티의 신뢰가 심각하게 훼손되었기 때문에 매우 낮습니다.
식별 징후: 개발팀의 지갑 또는 관련 지갑이 너무 큽니다. 총 순환 공급량과 비교한 토큰의 비율.
자세히 보기: 러그 풀(Rug Pull)이란 무엇입니까?
기술 유동성 풀 및 유동성 유출 메커니즘
대부분의 DeFi 프로젝트는 거래를 용이하게 하기 위해 마켓 메이커 모델 AMM(Automated Market Maker)을 기반으로 합니다. 이곳은 또한 가장 일반적인 형태의 유동성 유출이 일어나는 곳이기도 합니다.
AMM 원칙 및 LP 토큰의 역할
새 토큰이 출시되면 개발자는 가치 있는 자산(ETH 또는 USDT 등)과 함께 일정량의 프로젝트 토큰을 예치하여 Uniswap과 같은 분산형 거래소(DEX)에 유동성 풀을 만듭니다. 환율은 상수 곱 공식: $x \cdot y = k$에 의해 결정됩니다. 유동성 공급자는 풀에 있는 자산의 소유권을 나타내는 LP 토큰을 받습니다. 러그 풀 시나리오에서 개발자는 일반적으로 이 LP 토큰의 대부분을 제어하여 언제든지 자본을 인출할 수 있습니다.
유동성 관리 방법 및 안전 수준
잠금 해제 상태:
메커니즘: LP 토큰은 개발자의 토큰에 직접 위치합니다. 지갑.
전체 보안 수준: 매우 낮음, 개발자는 언제든지 유동성 풀을 고갈시킬 수 있습니다.
유연성: 개발자에게 가장 높음.
- 잠금이 만료된 후 유동성을 인출하거나 이동할 수 있습니다.
소각 상태:
메커니즘: 도달할 수 없는 "죽은" 주소(예: 주소 0x000...dead)에 LP 토큰을 입금합니다.
안전 수준: 물론 누구도 탱크에서 자산을 인출할 수 없습니다.
유연성: 낮음, 업그레이드할 수 없음 유동성을 새로운 프로토콜 버전으로 마이그레이션합니다.
스마트 계약의 "백도어" 분석
스마트 계약이 포함된 러그 풀은 개발자가 유동성을 직접 회수하지 않고도 시스템을 조작할 수 있도록 하는 정교한 백도어 기능을 설치하는 경우가 많습니다.
무제한 토큰 발행: 개발자는 수십억 개의 새로운 토큰을 씬에서 발행할 권리를 보유합니다. 그런 다음 ETH 또는 USDT와 교환하여 유동성 풀에 직접 버리면 토큰 가격이 완전히 붕괴됩니다.
토큰 폐기: 개발자가
burnFrom와 같은 기능을 통해 허가 없이 모든 사용자의 지갑에서 토큰을 제거할 수 있습니다.허니팟: 투자자가 구매할 수만 있고 판매할 수 없는 일종의 함정입니다. 이는 블랙리스트를 작성하거나 이체 기능에서 비현실적인 판매 조건을 설정하는 방식으로 이루어지는 경우가 많습니다.
거래 수수료 조작: 개발자가 갑자기 판매 수수료를 99% 또는 100%로 인상하여 사용자의 판매 주문 금액 전체가 "수수료"라는 이름으로 사기꾼의 지갑으로 직접 이체됩니다.
대리 계약을 통한 조작 및 업그레이드 가능성
DeFi의 복잡성으로 인해 소스 코드를 업그레이드하기 위해 프록시 계약을 사용하게 됩니다. 하지만 이는 계산된 러그 풀을 위한 강력한 도구이기도 합니다.
프록시 모델과 관련된 일반적인 취약점
로직 스와핑: 개발자는 커뮤니티와 신뢰를 구축한 후 논리적 계약 주소(구현)를 악성 코드가 포함된 새 계약으로 변경합니다.
스토리지 충돌 스토리지): 공격자는 중요한 관리 변수를 덮어씁니다. 메모리 손상(슬롯)을 통해 전체 프록시를 제어합니다.
초기화되지 않은 프록시(Uninitialized Proxy): 공격자는 개발자가 그렇게 하기 전에
initialize()함수를 호출하여 배포 선언 직후 자신을 계약의 관리자로 설정합니다.함수 충돌: 사용자를 속이기 위해 중복된 함수 선택기를 사용합니다. 또는 관리자가 의도하지 않게 악의적인 업그레이드 명령을 활성화하도록 유도합니다.
참조: 좋은 기술에도 불구하고 많은 블록체인 프로젝트가 실패하는 이유
Advanced 회피 전술: FRP(Fragmented Rug Pull)
자동 탐지 도구의 출현으로 공격자들은 "숨기기" 위해 FRP(Fragmented Rug Pull) 전술을 개발했습니다. 단일 대규모 인출을 실행하는 대신 공격자는 프로세스를 다중 지갑 네트워크에서 수천 개의 작은 거래로 나눕니다.
FRP 모델은 세 가지 매개변수로 특징지어집니다:
N: 덤프에 참여하는 지갑 수.
K_a: 각 지갑에서 실행되는 판매 주문 수.
v: 각 주문의 가격 영향, 항상 보장됨 보안
v < 0(여기서 0은 검색 도구의 감지 임계값).
이 전술은 종종 임시 평활화와 결합되어 정상적인 거래 활동을 시뮬레이션하기 위해 주식 출시 프로세스를 며칠에 걸쳐 확장하므로 정적 분석 알고리즘이 감지하기가 매우 어렵습니다.
투자자를 위한 감지 시스템 및 실사 프로세스
Ton Phat Digital은 투자자가 프로젝트에 참여하기 전에 항상 엄격한 실사 프로세스를 수행할 것을 권장합니다.
인기 있는 자동 보안 검색 도구
토큰 스니퍼: 소스 코드 검색을 전문으로 하여 Honeypot, Unlimited Mint 또는 소유권 확인과 같은 일반적인 코드 패턴을 탐지합니다. 표준 프로젝트에 대한 높은 신뢰성.
Honeypot.is: 토큰이 판매를 위해 잠겨 있는지 여부를 결정하는 현실적인 거래 시뮬레이션 도구입니다. 허니팟 트랩을 즉시 탐지하는 데 매우 효과적입니다.
GoPlus 보안: 계약 논리의 거래 수수료, 관리자 권한 및 복잡한 백도어의 변화를 감지하는 데 도움이 되는 심층적인 보안 API를 제공합니다.
RugCheck.xyz: 특히 Solana 생태계에 효과적이며 보유자 분포 및 막대 잠금 상태 조항을 기반으로 위험 점수를 매기는 데 도움이 됩니다.
전문 실사 프로세스
계약 감사: Etherscan에서 확인되고 평판이 좋은 기관(CertiK, PeckShield)의 감사 보고서가 있고 소유권을 포기한(소유권 포기) 소스 코드의 우선순위를 지정합니다.
유동성 분석: 최소 잠금 기간이 있는 UNCX와 같은 플랫폼에서 유동성 잠금 증명을 확인합니다. 1~2년.
토크노믹스 분석: 소유권 집중도가 너무 높은 프로젝트는 피하세요(예: 상위 10개 지갑이 전체 공급량의 50% 이상을 보유).
팀 평가: 투명성을 보장하기 위해 전문 소셜 네트워크에서 개발팀의 공개 신원(신상 털기)을 확인하세요. white.
러그 풀에 관해 자주 묻는 질문(FAQ)
다음은 투자자가 러그 풀 위험을 식별하고 방지하는 데 도움이 되는 가장 일반적인 질문 15가지를 모아 놓은 것입니다.
러그 풀이란 실제로 무엇입니까? 이는 프로젝트 개발자가 갑자기 프로젝트를 포기하고 모든 투자자의 자본을 회수하는 일종의 암호화폐 투자 사기입니다. 비공개로 인해 토큰이 쓸모없게 됩니다.
Hard Rug와 Soft Rug의 가장 큰 차이점은 무엇입니까? Hard Rug는 처음부터 의도적인 기술 사기(예: 백도어 설치)이며 매우 빠르게 발생하며 종종 불법입니다. Soft Rug는 팀이 천천히 토큰 보유를 해제하거나 프로젝트를 포기하기 때문에 완전한 불법보다 더 비윤리적입니다.
프로젝트 유동성이 잠겨 있는지 확인하는 방법 Etherscan/BscScan에서 계약 주소를 검색하고 "Holders" 탭을 확인하여 UNCX, Team Finance 또는 Burn 주소와 같은 잠금 서비스 지갑이 있는지 확인할 수 있습니다. 아니요.
LP 소각이 유동성 잠금보다 안전한가요? 이론적으로 그렇습니다. "죽은 지갑"으로 전송된 LP 토큰은 절대 인출되지 않기 때문입니다. 그러나 소각으로 인해 프로젝트가 향후 유동성을 새로운 프로토콜 버전으로 마이그레이션하는 것이 불가능해졌습니다.
허니팟은 어떻게 작동하나요? 허니팟은 블랙리스트 확인을 수행하거나 거래 수수료를 100%로 변경하는 악성코드를 통해 구매는 허용하지만 판매 권한을 차단하는 스마트 계약입니다.
익명 프로젝트는 항상 사기인가요? 그렇지는 않지만 큰 "위험 신호"입니다. 개발자의 익명성으로 인해 Rug Pull이 발생했을 때 법적 책임을 추구하기가 매우 어렵습니다.
Fragmented Rug Pull(FRP)이란 무엇인가요? 이는 정교한 유동성 인출 기술로, 자동 경고 도구를 피하기 위해 유출을 다양한 지갑에 걸쳐 수천 개의 작은 거래로 나누어 자동 경고 도구를 피합니다.
악성 프로그램을 신속하게 검사하려면 어떤 도구를 사용해야 합니까? 토큰? 토큰 스니퍼(Token Sniffer), GoPlus Security 및 Honeypot.is는 무한 토큰 발행 또는 판매 차단과 같은 일반적인 오류를 검색하는 데 도움이 되는 인기 있는 도구 3가지입니다.
무한 "민트" 기능은 얼마나 위험한가요? 이를 통해 관리자는 언제든지 무에서 막대한 양의 토큰을 생성한 다음 이 양의 토큰을 사용하여 투자자의 기본 자산을 적절하게 유동성 풀에 버릴 수 있습니다.
프록시 계약의 위험은 무엇입니까? 프록시 계약을 사용하면 지갑 주소를 변경하지 않고도 기본 논리를 변경할 수 있습니다. 사기꾼은 투자자가 돈을 입금한 직후 "깨끗한" 계약을 "독" 계약으로 바꿀 수 있습니다.
- 전염병이 발생하면 커뮤니티에 경고하고 당국이나 사이버 보안 부서에 보고서를 보냅니다.
감사 보고서는 프로젝트가 100% 안전하다는 것을 보장합니까? 아니요. 감사는 특정 시점에만 소스 코드의 유효성을 검사합니다. 사기꾼은 거버넌스 메커니즘이나 사후 감사 계약 업그레이드를 통해 여전히 Rug Pull을 수행할 수 있습니다.
DEX에서 Rug Pull이 자주 발생하는 이유는 무엇입니까? Uniswap과 같은 분산형 거래소(DEX)를 사용하면 누구나 엄격한 검증(KYC)이나 검열 절차 없이 토큰을 상장할 수 있기 때문입니다.
'Slow Rug'란 무엇인가요? 오랜 시간 동안 팀이 조용히 유동성을 빼내면서 프로젝트가 점차 죽어가는 과정입니다. 관심을 끌지 않으려면 업데이트와 개발 로드맵을 무시하는 경우가 많습니다.
스마트 계약을 사용한 러그 풀은 암호화폐 시장 발전에 대한 끊임없는 도전입니다. 그러나 공개 교육과 고급 분석 도구 채택을 통해 보다 안전한 생태계를 구축할 수 있습니다. Tan Phat Digital은 DeFi에 대한 신뢰가 약속에만 기반을 두는 것이 아니라 소스 코드 검증과 온체인 데이터의 절대적인 투명성에 기반해야 한다고 믿습니다.
공유
