보안, 털려 본 사람의 보안 노트 #2
TL;DR 2022년 1월 나는 운영진이 누구인지도 모르는 NFT 프로젝트에 돈을 넣었다가 러그풀을 당했습니다. 그 뒤 가장 크게 들고 있던 프로젝트도 운영자가 문을 닫으면서 가치가 거의 0이 됐습니다. 두 번의 경험을 투자 전에 확인할 질문으로 정리했습니다.
캡처 한 장에서 시작된 질문
내가 돈을 넣은 그 NFT는 누가 만들었는지 알 수 없는 프로젝트였습니다. 오픈씨에 마구잡이로 민팅되고, 가짜 디스코드 채널에서 미스터리한 보상을 약속하다가, 팔 만큼 팔고 사라졌습니다. 그날 나는 화면을 캡처해 “Remember this RUG Pull”이라는 제목을 붙였습니다.
“프로젝트 창시자나 운영진이 누구인지도 모른 채 말이야.”
2026-09-27 · 소급 기록에 남긴 나의 말
두 번째는 러그풀이라고 단정할 수 없는 경우였습니다. 가장 크게 들고 있던 프로젝트는 내 기억으로는 창업자가 운영 중단을 선언하며 문을 닫았고, 자산 가치는 거의 다 사라졌습니다. 운영자가 손을 떼는 순간 남는 것이 없는 자산이었습니다.
검증 질문 7개
- 운영진이 누구인지 확인되는가. 실명이 아니어도 됩니다. 지난 이력과 책임질 이름이 있는지 봅니다. 러그풀을 당한 그 프로젝트는 여기서 바로 걸러졌어야 했습니다.
- 돈을 누구에게 받았고 어디에 쓰는지 공개하는가. 내가 마지막에 남긴 Pixels는 투자자와 개발 계획을 공개하고 있었습니다. 그게 내가 그 프로젝트를 고른 이유였습니다.
- 보상이나 수익을 약속하는가. 미국 상품선물거래위원회(CFTC)는 토큰의 미래 가치를 약속하거나 보장하는 말을 위험 신호로 봅니다. 미스터리한 보상도 약속의 한 형태였습니다.
- 공식 링크가 한 곳에서만 나오는가. 디스코드 DM, 복사된 채널, 검색 광고로 들어온 민팅 링크는 믿지 않습니다.
- 팔고 싶을 때 살 사람이 있는가. NFT는 하락장에서 살 사람이 먼저 사라집니다. 가격이 아니라 거래량을 봐야 합니다.
- 운영자가 그만두면 무엇이 남는가. 문을 닫은 그 프로젝트가 남긴 교훈입니다. 운영자가 사라져도 남는 자산인지, 운영자와 함께 사라지는 자산인지 구분합니다.
- 커뮤니티 분위기 말고 내가 직접 확인한 근거가 있는가. 디스코드에서 다 같이 확신하던 시절, 반대 신호는 들리지 않았습니다. 내 손으로 확인한 근거가 없으면 확신이 아니라 분위기입니다.
내 생각
러그풀 뒤 내가 만든 원칙은 “검증에 검증에 또 검증”이었습니다. 그런데 나는 그 원칙을 다음 프로젝트 하나에 올인하는 근거로 썼습니다. 검증은 어디에 넣을지를 정하는 도구이지, 얼마나 넣을지를 정당화하는 도구가 아니었습니다.
다르게 볼 수 있는 점
- 질문 7개를 다 통과해도 프로젝트는 실패할 수 있습니다. 검증은 사기를 걸러 줄 뿐, 실패를 막아 주지는 않습니다.
- 내가 Pixels로 되살아난 것은 검증 덕분이라기보다 그 프로젝트가 다른 체인으로 옮겨 가며 생긴 바깥 사건 덕분이었습니다. 이 질문들이 수익을 약속하지 않는 이유입니다.
- 운영진 공개를 너무 중시하면 익명으로 시작해 오래 살아남은 좋은 프로젝트를 놓칠 수도 있습니다.
이 글은 내 기록과 생각을 정리한 것이며 투자 권유가 아닙니다. 특정 프로젝트를 추천하거나 비난하려는 글도 아닙니다.
이 글을 쓴 시점(2026-11-04 15:55 KST), BTC 약 $77,600, ETH 약 $2,300 (작성 시점 시장가, 반올림)
출처
- CFTC: Customer Advisory on Digital Tokens (Release 7756-18, 2018-07-16)
- 문서 › 기록: 2021-12~2024 NFT로 시작한 투자 (소급 기록)
- 나의 투자 기록: 러그풀 소급 기록 (2026-09-27 작성, 비공개)
