잘 나가던 코인이 하루아침에 휴지조각, 그게 뭔데 — 개발자가 돈 들고 튀는 '러그풀'

 

2021년 가을, 넷플릭스 '오징어게임'이 전 세계를 휩쓸 때 이름도 딱 맞는 코인이 나왔다. 'SQUID'. 드라마 열풍을 타고 값이 미친 듯이 뛰었다. 위키백과와 포브스 정리를 보면 11월 1일 한때 2,861달러까지 치솟았다. 그런데 산 사람들이 팔려고 하자 이상한 일이 벌어졌다. 팔리질 않았다. 매도 버튼이 먹통이었다. 그사이 개발자는 300만 달러 넘는 돈(추정 250만에서 338만 달러)을 챙겨 사라졌고, 코인 값은 0.003센트로 곤두박질쳤다. 거의 0원이다.

이런 걸 러그풀(rug pull)이라고 한다. 직역하면 '양탄자 빼기'. 사람들이 신나서 양탄자 위에 올라선 순간, 밑에서 그걸 확 잡아 빼는 거다. 당연히 다 나동그라진다. 코인판에서 개발자가 투자금만 쏙 빼서 튀는 먹튀 사기를 부르는 말이다.

근데 이게 정확히 어떻게 굴러가는 걸까. 돈은 어디로 어떻게 빠져나가고, 왜 사람들은 팔지도 못하고 당하는 걸까. 하나씩 뜯어봤다.

러그풀? 그게 뭔데

"그래서 러그풀이 대체 뭔데?"

한마디로 출구사기다. 만든 사람이 몰래 빠져나갈 문을 열어둔 채로 판을 벌인다. 남들이 돈을 넣고 값이 오르면, 자기만 그 문으로 쏙 나가고 문을 닫아버린다. 뒤에 들어온 사람은 갇힌다.

블록체인 보안업체 여러 곳(CryptoSlate·Sumsub·Hacken 등)이 정리한 걸 보면 수법은 크게 세 갈래다.

• 유동성 빼가기: 코인이 거래되려면 '유동성 풀'이라는 공동 지갑에 진짜 돈(이더리움 같은 것)이 담겨 있어야 한다. 개발자가 이걸 통째로 인출해 버리면, 코인은 있어도 바꿔줄 돈이 사라져 값이 순식간에 0에 수렴한다.
• 숨겨둔 물량 덤핑: 개발자가 자기 코인을 몰래 잔뜩 쥐고 있다가, 값이 오른 꼭대기에서 한 번에 쏟아낸다. 천천히 야금야금 팔면 '슬로 러그'라고 부른다.
• 허니팟: 이게 제일 악질이다. 사는 건 되는데 파는 건 막아둔다. 들어올 땐 문이 열려 있고 나갈 땐 문이 없는 방인 셈. 앞서 SQUID가 딱 이 경우였다. 값이 아무리 올라도 팔 수가 없으니, 장부상 수익은 그림의 떡이었다.

근데 돈이 어떻게 그렇게 쏙 빠져?

"값이 그렇게 한 방에 0원이 된다고?"

핵심은 유동성이 얕다는 데 있다. 새로 나온 코인은 오가는 돈이 적다. 작은 웅덩이는 돌멩이 하나만 던져도 물이 확 출렁이는 것과 같다. 그래서 조금만 사도 값이 훅 뛰고, 개발자가 받쳐주던 돈을 빼는 순간 바닥이 훅 꺼진다.

여기에 판을 키우는 게 바람몰이다. SNS와 인플루언서를 동원해 "곧 100배 간다"고 분위기를 만든다. 사람이 몰려 값이 뜨면, 그 열기가 정점일 때 개발자는 유동성을 빼거나 물량을 던지고 지갑을 옮겨 사라진다. 블록체인은 거래가 다 기록되니 돈이 어디로 갔는지는 보인다. 문제는 그게 익명 지갑이라, 누구 것인지 잡아내는 건 또 다른 일이라는 점이다.

실제 어떤 코드를 심어 매도를 막는지, 지갑을 어떻게 세탁하는지 같은 실행 방법은 여기서 안 다룬다. 그걸 따라 하는 순간 그대로 범죄니까. 원리만 알면 된다. "적은 돈으로 값을 띄울 수 있고, 그 돈을 만든 사람이 언제든 빼갈 수 있는 구조"라는 것.

AnubisDAO라는 프로젝트는 2021년 10월, 웹사이트 하나 없이 하룻밤에 약 6천만 달러를 끌어모았다. 그리고 20시간 만에 유동성 풀에서 5,800만 달러어치가 딴 지갑으로 빠져나갔다(체이널리시스·Decrypt 보도). 이게 개발자의 고의 먹튀인지 외부 해킹인지는 아직 딱 잘라 밝혀지지 않아 '의혹'으로 남아 있지만, 돈이 하룻밤에 증발한 건 사실이다.

그럼 안 걸려? 요즘은?

"이런 거 요즘도 많아? 잡히긴 해?"

규모부터 보면 만만치 않다. 블록체인 분석업체 체이널리시스 집계로 2021년 한 해 암호화폐 사기 피해가 77억 달러였는데, 이 중 러그풀이 28억 달러로 37%를 차지했다. 놀라운 건 속도다. 2020년만 해도 러그풀은 전체 사기의 1%였다. 1년 만에 37%로 뛴 것이다. (2021년 기준 수치다. 해마다 달라진다.)

잡히기도 한다, 크게 터지면. 2021년 최대어는 터키의 코인 거래소 Thodex였다. 고졸 중퇴자가 세운 이 거래소는 어느 날 갑자기 출금을 막았고, 대표는 해외로 도주했다. 피해 추정치는 자료마다 크게 갈리는데(검찰 기소 기준 1,300만 달러부터 언론 추산 최대 20억 달러 이상까지), 붙잡힌 대표는 2023년 터키 법원에서 징역 11,196년을 선고받았다(포브스·CoinDesk 보도). 오타가 아니다. 만천백구십육 년이다. 미국에서도 'Frosties'라는 NFT 먹튀 사건으로 20대 개발자 두 명이 사기·자금세탁 혐의로 연방 기소됐는데, 미국 최초의 NFT 형사사건으로 기록됐다.

한국도 예외가 아니다. 한국일보가 2017년부터 2023년 4월까지 국내 5대 거래소를 전수조사했더니, 상장됐던 코인 열 개 중 세 개꼴(315개)이 상장폐지됐고, 그중 국산 코인(김치코인)이 96개였다. 'BASIC'이라는 코인은 렌딩 사기와 러그풀 의혹으로 상장폐지됐고 검찰이 수사에 들어갔다. 2024년 7월부터는 가상자산이용자보호법이 시행돼 감시망이 촘촘해지는 중이다.

다만 냉정하게 볼 대목이 있다. 감사(audit)를 받았다는 코인, 유동성을 잠갔다는 코인도 러그풀이 난 적이 있다. 감사를 형식적으로 받거나, 한참 뒤에 천천히 빼가는 '장기 러그'도 있어서다. 그러니 아래 체크리스트는 '이러면 100% 안전'이 아니라 '이것도 안 되면 거의 확실히 위험'에 가깝다.

그래서 난 뭘 조심해?

"그래서 나는 뭘 보면 되는데?"

코인 하나 들어가기 전에 이 정도만 확인해도 대놓고 파는 먹튀는 상당수 걸러진다.

• 유동성이 잠겨 있나(liquidity lock). 개발자가 유동성 풀을 언제든 뺄 수 있게 열어뒀다면 1순위 경고다. 일정 기간 못 빼게 잠갔는지 본다.
• 만든 사람이 누군지 드러나 있나. 팀이 익명이면 사고 쳐도 책임질 사람이 없다는 뜻이다.
• 감사 보고서가 진짜 있나. "감사 완료"라는 말만 있고 실제 보고서 링크가 없으면 의심.
• 물량이 몇몇 지갑에 몰려 있나. 개발자 지갑 하나가 전체의 상당 부분을 쥐고 있으면, 그 지갑이 던지는 순간 끝이다.
• 일단 소액으로 팔아지나 본다. 샀는데 팔리지 않으면 그게 바로 허니팟 신호다.
• "곧 100배", "지금 안 사면 후회" 같은 말. 진짜 100배 갈 코인이면 굳이 당신 단톡방에 뿌릴 이유가 없다.

당했거나 낌새가 이상하면 혼자 삭이지 말고 신고하는 게 낫다. 금융감독원(1332), 경찰청 사이버범죄 신고시스템(ecrm.police.go.kr), 급하면 112. 국경을 넘나드는 코인 특성상 돈을 온전히 되찾기는 어렵지만, 신고가 쌓여야 수사도 규제도 빨라진다.

정리하면 러그풀은 대단한 해킹이 아니다. '오를 것 같은 코인'이라는 분위기를 띄운 뒤, 만든 사람이 열어둔 뒷문으로 돈만 챙겨 나가는 폭탄 돌리기다. 음악이 멈추는 순간, 그러니까 개발자가 양탄자를 잡아채는 순간, 그 위에 서 있던 사람이 넘어진다. 구조를 알면 최소한 남이 깔아둔 양탄자에 함부로 올라서는 일은 피할 수 있다.