러그풀 (Rug Pull)

한 줄 정의: 암호화폐 프로젝트의 개발자나 운영자가 투자자를 유치한 뒤 유동성이나 자금을 갑자기 회수하여 잠적함으로써 투자자에게 손실을 입히는 사기 행위입니다.

쉽게 풀면

러그풀은 말 그대로 발밑의 카펫을 갑자기 잡아당겨 그 위에 서 있던 사람을 넘어뜨리는 모습에서 이름을 따왔습니다. 개발자가 그럴듯한 프로젝트를 만들어 투자자들을 끌어모은 뒤, 모아진 자금이나 거래에 필요한 유동성을 한꺼번에 빼내어 사라지면 남은 투자자들은 자산을 팔 수도 없는 상황에 처하게 됩니다. 겉보기에는 정상적인 프로젝트처럼 보이다가 순식간에 가치가 사라진다는 점이 특징입니다.

왜 중요한가

러그풀은 탈중앙화 금융 생태계에서 반복적으로 발생하는 대표적인 사기 유형으로, 스마트 컨트랙트의 권한 설계와 투명성 부족이 어떻게 악용될 수 있는지를 보여주기 때문에 정보보안학과 블록체인 신뢰성 연구에서 다루어집니다. 러그풀은 규제 당국의 감독이 미치기 어려운 탈중앙화 금융(DeFi) 환경에서 익명 개발팀이 손쉽게 자금을 모을 수 있다는 구조적 허점을 이용한다는 점에서, 전통 금융 사기와 구별되는 암호자산 특유의 위험 유형으로 다뤄집니다.

논문에서는 이렇게 쓰입니다

"본 연구는 컨트랙트 코드 내 유동성 인출 권한이 소수 주소에 집중된 경우를 러그풀 위험 신호로 정의하고 사전 탐지 모델을 제안하였다."

코드 분석을 통해 러그풀 위험을 사전에 탐지하려는 연구 문맥입니다.

"조사 대상 프로젝트의 상당수가 익명 개발팀과 결합된 형태로 러그풀을 실행한 것으로 확인되었다."

익명성과 러그풀 발생 사이의 상관관계를 다루는 예문입니다.

조금 더 깊게 보면

러그풀은 개발자가 처음부터 사기를 의도하고 설계한 하드 러그풀과, 프로젝트 실패 후 자금만 회수해 사라지는 소프트 러그풀로 대체로 구분됩니다. 유동성 잠금 여부, 컨트랙트 권한 구조, 팀의 신원 공개 여부 등이 위험도를 판단하는 요소로 연구에서 활용됩니다. 러그풀은 개발팀이 유동성 풀에서 자금을 일방적으로 빼내는 유동성 탈취형, 스마트컨트랙트에 매도를 제한하는 악성 코드를 심어두는 허니팟형, 토큰을 대량으로 미리 확보해두었다가 가격이 오르면 한꺼번에 매도하는 덤핑형 등으로 유형이 구분됩니다.

주의할 점

러그풀은 기술적 취약점이 아니라 운영 주체의 신뢰 문제에서 비롯되는 경우가 많아, 코드 감사만으로는 완전히 예방하기 어렵습니다. 프로젝트의 정상적인 실패와 의도적인 러그풀을 구분하기 어려운 경우도 있습니다. 러그풀은 코드 자체에 악성 로직이 숨어 있는 경우가 많아, 유동성 풀의 락업(잠금) 여부와 기간, 스마트컨트랙트 감사(audit) 이력을 사전에 확인하는 것이 피해를 예방하는 실무적 방법으로 제시됩니다.