우리가 흔히 프로젝트 폭주라고 부르는 사기를 종료하세요. 러그 풀(Rug Pull)이라고도 불리는 웹 3.0 분야의 범죄 사기 수법이다.
Rug Pull의 일반적인 관행은 합법적인 것처럼 보이는 DeFi 프로젝트를 만든 다음 허위 거래량과 사용자 수를 만들어 프로젝트의 평판을 높이고 프로젝트에 더 많은 투자자를 유치하는 것입니다. 일정 규모에 도달한 후 사기꾼이나 팀은 갑자기 프로젝트에서 많은 양의 자금을 인출하고 프로젝트를 종료하게 되어 결국 투자자가 보유한 토큰의 가치를 잃게 됩니다.
수년간 출구 사기의 확산과 영향을 설명하는 통계 정보는 많지만, 사기의 특성과 가해자를 조사하는 데이터와 보고는 적습니다. 이러한 연구는 자금세탁 방지(AML) 노력을 개선하고 소비자 보호 및 전체 Web 3.0 시장의 무결성을 촉진할 수 있습니다.
출구 사기의 전체 주기를 처음부터 끝까지 연구함으로써 우리는 사기의 구조를 더 잘 분석하고 사기의 존재로 이어지는 근본적인 위험 요소와 공통점을 이해할 수 있습니다. 이러한 신호와 지표를 식별함으로써 보다 스마트한 보안 접근 방식과 전략을 채택하여 웹 3.0 세계를 보다 효과적으로 보호할 수 있습니다.
CertiK는 최종적으로 유동성을 제거하게 된 공통점과 차이점을 더 잘 이해하기 위해 40개의 Rug Pull 프로젝트에 대한 연구를 수행했습니다. 프로젝트 특성을 파악하고 정성적, 정량적 분석을 실시하여 다음과 같은 결과를 얻었습니다.
개념 정의
본 연구에서 우리는 러그 풀을 마케팅과 과대 광고를 적극적으로 사용하여 투자자를 속이고 팀원이 자금을 빼돌리는 범죄 계획과 목적을 가진 프로젝트로 정의합니다.
본 연구에서는 프로젝트 팀이 커뮤니티로부터 상당한 투자를 받은 후 갑자기 프로젝트 자금을 인출하는 Hard Rug Pull에 대한 연구만 수행합니다. 소프트 러그 풀은 창업자가 사기 목표를 달성할 수 있는 보다 교묘한 방법입니다. 창업자들은 보유하고 있는 모든 토큰을 한꺼번에 매각하는 대신 자신들이 여전히 프로젝트에 투자하고 지원하고 있다는 환상을 유지하면서 천천히 매각합니다.
방법론
이 기사에서는 연구를 위해 2020년에서 2023년 사이에 발생한 모든 러그 풀 중에서 40개의 하드 러그 풀 샘플을 무작위로 선택했습니다. 수집된 샘플의 도난 총액은 약 3,000달러에서 1,200만 달러까지 큰 차이를 보였습니다.
범죄 분석
Hard Rug Pull은 프로젝트 팀 내부 문제와 함께 필연적으로 발생합니다. 팀에 책임이 있고 도망갈 기미가 없다면 해커 공격으로 간주된다는 것을 이해하는 것은 어렵지 않습니다.
Rug Pull에 대한 연구에서 우리는 로보 프로젝트를 프로젝트 팀의 로봇 강도, 악의적인 개발자 의 악의적 방해 행위, 프로젝트 소유자가 저지른 범죄, 알려지지 않은 사람이나 팀이 저지른 범죄의 네 가지 범주로 나누었습니다. 각 범주에 대한 정의와 결론은 아래에 더 자세히 설명되어 있습니다.
이 연구는 새로운 프로젝트와 관련 위험을 평가할 때 배경 조사의 중요성을 강조합니다. 대부분의 문제는 프로젝트 팀에 의해 발생하므로 프로젝트에 투자하기 전에 팀의 동기와 배경 실적을 고려하는 것이 중요합니다.
최종 사기가 발생하기 전까지 Rug Pull이 활성화된 평균 기간은 93일이었습니다. 새로 배포된 프로젝트에서 개발자가 의도적으로 익명이거나 완전히 알려지지 않았으며 투명성이나 분산화에 대한 약속이 없다면 주의해야 합니다.
이러한 사기에 맞서고, 위험을 줄이고, 사용자가 정보에 입각한 결정을 내릴 수 있도록 돕기 위해 CertiK는 KYC 배지 프로그램을 개발했습니다. 이 프로그램은 프로젝트 뒤에 있는 팀을 확인하고 조사하는 데 중점을 두고 철저한 배경 조사를 받는 데 동의한 사람에게만 배지를 수여합니다. CertiK KYC는 검증되고 투명하며 책임 있는 팀을 다른 프로젝트와 차별화하는 데 도움이 됩니다.
사례
사례 프로젝트 ① : 팀 사기
CertiK 조사관은 익명의 프로젝트(이 프로젝트를 아래 프로젝트 ①으로 지칭함)의 프로젝트 리더와 인터뷰했습니다. 프로젝트 리더와의 인터뷰에서 지원자가 횡설수설하고 프로젝트 팀의 다른 구성원의 이름을 기억하는 데 어려움을 겪는 등 몇 가지 주목할만한 점이 나타났습니다. 그들은 또한 프로젝트와 그 구조에 대한 지식이 거의 없다고 주장했습니다.
또한 프로젝트 리더와 팀원은 Web 3.0에 대한 사전 경험이 없어 프로젝트 목적에 대한 설명을 제공할 수 없었습니다. 그들은 프로젝트의 목표가 특정 자선 단체에 기부하는 것이라고 주장하지만 자선 활동을 지원할 계획이 없으며 특정 자선 단체를 지정할 수 없습니다. 자선 성명은 단지 마케팅 전략이거나 심지어 투자자를 유인하기 위한 미끼인 것처럼 보입니다.
이 초기 대화가 있은 지 3개월 후에 프로젝트는 중단되었습니다. 우리의 온체인 분석에 따르면 러그 풀 사건에 대한 전적인 책임은 프로젝트 팀에 있는 것으로 나타났습니다.
프로젝트 ②: 악성 개발자 사기
팀 전체가 사기 참여자인 프로젝트 ①과 달리, 프로젝트 ②의 사기 책임자는 혼자서 프로젝트 자금을 모두 훔친 익명의 개발자입니다. CertiK과 ②프로젝트 담당자의 대화는 Rug Pull이 시작되기 며칠 전에 이루어졌습니다.
개발자를 제외한 프로젝트 ②의 다른 모든 구성원은 프로젝트와 공개 연결을 갖습니다. 프로젝트 리더가 더 깊이 파고들면서 팀원 전원의 이름과 신원이 드러났지만, 프로젝트 리더 자신도 개발자에 대해 아는 바가 전혀 없었다.
개발자는 완전히 익명을 유지하고 가명을 사용하며 팀 간 음성 또는 영상 통화에 참여한 적이 없으며 개인 정보를 공개한 적이 없습니다. 개발자가 Web 3.0 에 대한 풍부한 경험을 가지고 있다고 주장하고 이전 프로젝트에 대해 이야기했기 때문에 담당자는 익명의 개발자의 말을 믿었습니다: 대부분의 개발자는 프로젝트 팀에서 익명으로 활동하고 있는데 이는 사실이 아닌 위험과 문제입니다.
CertiK 조사관들은 프로젝트에 익명의 개발자 외에는 위험 요소가 거의 없다는 사실을 알아냈습니다. 그러나 익명 개발자의 위험도 중요합니다. 익명 개발자는 스마트 계약에 대한 많은 권한을 갖고 있기 때문에 Rug Pull 위험이 크게 증가합니다. 창립자와의 대화가 있은 지 며칠 후 익명의 개발자가 프로젝트를 중단했습니다.
빨간불 경고! 만지지 마세요!
빨간불 신호 1: 웹사이트 등록
이 기사에서 분석된 40개 프로젝트 중 37.5%(15개)가 Namecheap을 도메인 이름 등록자로 사용했습니다. Namecheap은 개인 정보 없이 도메인 이름을 등록할 수 있는 도메인 개인정보 보호 제공업체입니다. 이러한 서비스는 도메인 이름과 관련된 실제 연락처 정보 대신 개인 서비스 정보와 무작위로 생성된 이메일을 사용할 수 있습니다. 사이트에 등록하는 데 개인 정보 또는 식별 정보가 필요하지 않다는 사실은 미래의 Rug Pull 사기꾼에게 매우 매력적일 수 있습니다.
40개 프로젝트 중 4개 프로젝트에는 명확한 웹사이트 도메인 이름이 없거나 관련 웹사이트 도메인 이름에 대한 데이터가 없다는 점에 주목할 필요가 있습니다. Namecheap을 통해 등록된 프로젝트와 알려지지 않은 프로젝트를 합치면 전체 샘플의 45%를 차지합니다.
또한 악의적인 개발자가 수행한 4건의 Rug Pull 사건 중 Namecheap을 사용한 사건은 하나도 없었으며, 이는 악의적인 의도 없이 시작된 프로젝트가 개인 정보를 숨기기 위해 의도적으로 개인 도메인 이름을 사용할 가능성이 거의 없음을 시사합니다.
빨간불 신호 2: 프로젝트 장수
Rug Pull을 연구할 때 고려해야 할 또 다른 중요한 변수는 프로젝트 수명입니다. 본 연구의 맥락에서 프로젝트 수명은 프로젝트 시작일부터 러그 풀(즉, 실행 시간) 날짜까지의 일수로 정의됩니다. 프로젝트 시작일은 소셜 미디어 생성일, 온체인 지갑 생성일, 웹사이트 날짜(일반적으로 사용 가능한 날짜의 평균)를 사용하여 계산됩니다.
40개 프로젝트에 대한 연구에서 그 중 36개 프로젝트의 출시 날짜가 확인되었습니다. 평균 및 중간 프로젝트 수명을 계산하기 위해 시작 날짜와 러그 풀 시간을 수집했습니다. 이 프로젝트의 평균 수명은 92일이고 중앙값은 57일이었습니다.
대부분의 러그 풀 프로젝트의 일반적인 수명은 3개월 이하이지만 데이터에 특이치가 있다는 점에 유의하는 것이 중요합니다. 예를 들어 샘플에 포함된 4개 프로젝트의 수명은 약 300일 이상이었습니다. 러그풀의 경향과 특징을 보여주는 데이터이지만, 이 데이터를 일반화할 수는 없습니다.
빨간불 신호 3: 기만적인 전술
CertiK는 잠재 투자자를 유치하는 데 사용되는 일반적인 사기성 마케팅 전략을 식별하기 위해 전체 샘플에 대한 내용 분석을 수행했습니다. Rug Pull 프로젝트의 평균 수명은 93일에 불과하므로, 악성 프로젝트는 도망가기 전에 더 많은 자금을 확보하기 위해 프로젝트가 확립된 후 "건물 존재"에 더 집중할 것입니다. CertiK는 프로젝트가 프로젝트 프레젠테이션에서 다양한 전략을 사용하는 경향이 있음을 발견했습니다.
빨간불 신호 4: 로드맵 및 백서
웹사이트에 로그인해 프로젝트 정보 데이터를 수집할 수 있는 31개 프로젝트에 대해 CertiK는 대부분이 로드맵이나 백서를 일관되게 제공하지 않는 것으로 나타났습니다. 로드맵이나 백서가 있더라도 품질이 좋지 않을 가능성이 높으며(문법적 오류가 많음, 정보 누락이 많음) 이러한 자료에는 허위 정보가 사용되는 경우가 많습니다. 로드맵과 백서가 포함된 비교적 성숙한 프로젝트는 거짓 합법성을 조장하는 마케팅 자료에 중점을 둘 것입니다.
이 31개 프로젝트 중 로드맵이 있는 프로젝트는 7개이고, 백서를 발행한 프로젝트는 4개입니다. 로드맵과 백서가 없는 프로젝트의 경우 대부분 로드맵이나 백서가 곧 공개될 것이라는 말을 사용합니다.
빨간불 신호 5: 수상한 팀 소개
본 연구의 또 다른 중요한 변수는 프로젝트 내 팀의 표현과 팀이 익명인지, 반익명인지, 공개적으로 식별되는지 여부입니다. 샘플에서는 31개 프로젝트에 대한 팀 프로필을 수집했지만 어느 팀도 완전히 공개적으로 식별되지 않았습니다.
대부분의 프로젝트는 완전히 익명으로 이루어졌으며 31개 프로젝트 중 24개(77.4%)를 차지했습니다. 나머지 7개 프로젝트는 준익명(샘플의 22.6%)으로 식별되었으며, 프로젝트 팀원의 이름을 나열하는 것 외에는 다른 식별 정보가 없습니다. 다른 팀에서 사용한 사진과 이름은 당사 조사 결과 허위로 확인되었습니다.
또한 일부 러그 풀(Rug Pull) 이벤트에서는 이름, 정보 등 허위 데이터가 포함된 AI 생성 '팀원' 아바타가 사용된 사실도 발견했습니다.
범죄 프로파일링, 탐지 및 예방 활용
CertiK에서는 러그풀 프로젝트의 특성 및 동향과 관련된 7가지 중요한 변수를 파악하고 분석했는데, 이들 변수는 큰 공통점을 갖고 있어 러그풀의 운영방식이 거의 동일함을 알 수 있습니다.
그러나 공통점이 많음에도 불구하고 Rug Pull 프로젝트는 환경 변화 속에서 시장에 적응하고 "시대와 함께 발전"하기 위해 기술 과 전략을 지속적으로 업데이트합니다.
위의 연구 결과를 요약하면 다음과 같습니다. 대부분의 Rug Pull 프로젝트는 수명이 짧으며 대부분 프로젝트 팀 전체가 수행합니다. 설립 과정에서 대부분은 도메인 이름을 유지하지 않는 도메인 이름 등록 기관을 사용합니다. 등록자의 개인정보. 물론 설문조사에서도 일부 예외가 발견되었기 때문에 위의 특성은 참고로 삼을 수는 있지만 평가의 절대적인 기준으로 사용할 수는 없습니다.
프로젝트 사기꾼은 잠재 투자자를 유치하기 위해 가능한 한 많은 전술을 사용하므로 투자하기 전에 직접 실사를 수행하고 Web 3.0 보안에 대한 전문 지식을 갖춘 전문가가 제공하는 권위 있는 정보를 참조하는 것이 중요합니다.
제3자 보안 감사자를 활용하여 배경 조사를 수행하면 보안 조치의 효율성과 효과가 높아질 수 있습니다. CertiK의 KYC 팀은 조사 전문가로 구성되어 있습니다. 철저한 배경 조사 및 위험 평가 외에도 CertiK는 Web 3.0 사기꾼에 대한 고유한 데이터베이스를 유지 관리하고 위험 지표를 통해 사기를 탐지하는 데 도움이 되는 정성적 및 정량적 도구를 제공합니다.
러그 풀은 Web 3.0 생태계에 지속적인 위협입니다. 40개의 샘플에서 몇 가지 고위험 요소를 식별하고 KYC를 통해 고품질 프로젝트를 돋보이게 할 수 있지만 이러한 위협이 완전히 사라지지는 않을 것입니다.
CertiK는 보안 및 투명성 표준을 높여 진정으로 유망한 프로젝트에 대한 신뢰할 수 있는 증거를 제공하고 사용자가 정보에 입각한 올바른 결정을 내려 더 많은 사람들이 양탄자의 피해자가 되는 것을 방지할 수 있기를 희망합니다.
