분석 주문 거래와 가격 상승 뒤에 숨겨진 힘, 조작 행위를 어떻게 식별할 수 있을까?

원문 저자：Dessislava Aubert、Anastasia Melachrinos

원문 번역: Block unicorn

2024년 10월 9일, 세 개의 시장 조성업체인 ZM Quant, CLS Global 및 MyTrade와 그 직원들이 암호화폐 회사 및 그 토큰 NexFundAI를 대신하여 세탁 거래 및 공모 행위를 했다는 혐의를 받았다. 연방수사국(FBI)이 수집한 증거에 따르면, 총 18명의 개인 및 법인이 기소되었다.

이번 심층 분석에서는 NexFundAI 암호화폐의 온체인 데이터를 분석하여 다른 암호화폐로 확장될 수 있는 세탁 거래 패턴을 식별하고 특정 토큰의 유동성에 의문을 제기할 것이다. 또한, DeFi에서의 다른 세탁 거래 전략과 중앙화 플랫폼에서 불법 활동을 식별하는 방법을 탐구할 것이다.

마지막으로, 우리는 한국 시장에서의 가격 상승 행위를 연구할 것이며, 이러한 행위가 시장 효율성과 조작 사이의 경계를 모호하게 만든다.

FBI가 식별한 토큰 데이터의 세탁 거래

NexFundAI는 FBI가 2024년 5월에 발행한 토큰으로, 암호화 시장의 시장 조작 행위를 폭로하기 위해 설립된 회사이다. 기소된 회사는 고객을 대신하여 알고리즘 세탁 거래, 가격 상승 등 조작적 수법을 사용하며, 일반적으로 Uniswap과 같은 DeFi 거래소에서 이루어진다. 이러한 행위는 새로 발행되거나 소규모 시가총액의 토큰을 대상으로 하여, 실제 투자자를 유치하기 위해 활발한 시장의 허상을 만들어내고, 궁극적으로 토큰 가격을 상승시키고 그 인지도를 높인다.

FBI의 조사에서는 명확한 자백이 나왔으며, 관련자들은 그들의 작업 단계와 의도를 상세히 설명했다. 일부는 "이것이 우리가 Uniswap에서 시장 조성하는 방식이다."라고 명시적으로 언급하기도 했다. 그러나 이 사건은 구술 증거뿐만 아니라 데이터로 DeFi에서의 세탁 거래의 실제 모습을 보여주었으며, 우리는 이에 대해 심층적으로 분석할 것이다.

FBI의 가짜 토큰 NexFundAI(Kaiko 코드: NEXF)에 대한 데이터 탐색을 시작하기 위해, 우리는 먼저 토큰의 온체인 전송 데이터를 검사할 것이다. 이 데이터는 토큰 발행 이후의 전체 경로를 제공하며, 이 토큰을 보유한 모든 지갑 및 스마트 계약 주소를 포함한다.

데이터에 따르면, 토큰 발행자는 토큰 자금을 시장 조성업체 지갑으로 전송하였고, 이 지갑은 자금을 수십 개의 다른 지갑에 분배하였다. 이 지갑들은 그래프에서 짙은 파란색의 집합체로 표시된다.

그 후, 이 자금은 발행자가 만든 유일한 이차 시장인 Uniswap에서 세탁 거래에 사용되었으며, 이 시장은 그래프 중앙에 위치하고 있으며, 거의 모든 수신 및/또는 해당 토큰을 전송하는 지갑의 교차점이다(2024년 5월부터 9월까지).

이러한 발견은 FBI가 잠복 "유인" 작전을 통해 폭로한 정보를 더욱 뒷받침한다. 기소된 회사는 여러 로봇과 수백 개의 지갑을 사용하여 세탁 거래를 수행하였으며, 이는 초기 기회를 잡으려는 투자자들의 의심을 불러일으키지 않았다.

우리의 분석을 세분화하고 특정 지갑의 전송이 사기적 성격을 가지고 있음을 확인하기 위해, 특히 집합체 내의 지갑에 대해 우리는 각 지갑이 최초 전송을 받은 날짜를 기록하고, NexFundAI 토큰 전송에 국한되지 않고 전체 온체인 데이터를 관찰하였다. 데이터에 따르면, 샘플에 포함된 485개의 지갑 중 148개 지갑(즉, 28%)이 최초 자금을 받은 블록이 최소 5개의 다른 지갑과 동일하다.

이러한 거래 패턴이 저명하지 않은 토큰에서 발생하는 것은 거의 불가능하다. 따라서 최소한 이 138개의 주소가 거래 알고리즘과 관련이 있으며, 세탁 거래에 사용될 가능성이 있다고 합리적으로 추정할 수 있다.

해당 토큰의 세탁 거래를 추가로 확인하기 위해, 우리는 유일하게 존재하는 이차 시장의 시장 데이터를 분석하였다. Uniswap 시장에서의 일일 거래량을 집계하고 매매량과 비교한 결과, 두 사이의 놀라운 대칭성을 발견하였다. 이러한 대칭성은 시장 조성업체가 해당 시장에서 매일 모든 세탁 거래에 참여하는 지갑 간의 총 금액을 헤지하고 있음을 나타낸다.

개별 거래 수준을 깊이 살펴보고 지갑 주소별로 거래를 색칠한 후, 우리는 특정 주소가 한 달의 거래 활동 중에 완전히 동일한 단일 거래(동일한 수량 및 타임스탬프)를 수행했음을 발견하였다. 이는 이러한 주소가 세탁 거래 전략을 사용하고 있음을 나타내며, 이들 주소가 서로 연결되어 있음을 암시한다.

추가 조사 결과, Kaiko의 Wallet Data 솔루션을 사용하여, 이 두 주소는 온체인에서 직접 상호작용한 적이 없지만 동일한 지갑 주소에서 WETH 자금을 제공받았음을 발견하였다: 0x4aa6a6231630ad13ef52c06de3d3d3850fafcd70. 이 지갑 자체는 Railgun의 스마트 계약을 통해 자금을 확보하였다. Railgun 공식 웹사이트의 정보에 따르면, "RAILGUN은 전문 거래자와 DeFi 사용자에게 암호화 거래의 프라이버시 보호를 추가하기 위해 설계된 스마트 계약이다." 이러한 발견은 이들 지갑 주소가 시장 조작 또는 더 심각한 상황과 같은 숨겨야 할 행동을 가지고 있을 가능성이 있음을 시사한다.

DeFi 사기는 NexFundAI를 넘어선다

DeFi에서의 조작 행위는 FBI의 조사에 국한되지 않는다. 우리의 데이터에 따르면, 이더리움 탈중앙화 거래소에서 20만 개 이상의 자산 중 많은 수가 실제 용도가 부족하며, 단일 개인이 통제하고 있다.

이더리움에서 토큰을 발행하는 일부 발행자는 Uniswap에서 단기 유동성 풀을 구축한다. 풀 내 유동성을 통제하고 여러 지갑을 사용하여 세탁 거래를 수행함으로써, 그들은 풀의 매력을 강화하여 일반 투자자를 유치하고 ETH를 축적한 후, 보유한 토큰을 매도한다. Kaiko의 Wallet Data에 따르면, 네 가지 암호화폐에 대한 분석은 이러한 조작이 약 10일 내에 초기 ETH 투자에 대해 22배의 수익을 실현할 수 있음을 보여준다. 이 분석은 토큰 발행자들 사이에 광범위한 사기가 존재함을 드러내며, 이는 FBI의 NexFundAI 조사 범위를 넘어선다.

데이터 패턴: GIGA2.0 토큰을 예로

한 사용자가(예: 0x33ee6449b05193766f839d6f84f7afd5c9bb3c93) 특정 주소(예: 0x000)로부터 새로운 토큰의 전체 공급량을 수령(및 시작)하였다.

사용자는 즉시(당일 내) 이 토큰과 일부 ETH를 전송하여 새로운 Uniswap V2 유동성 풀을 생성하였다. 모든 유동성이 사용자에 의해 기여되었기 때문에, 그는 자신의 기여를 나타내는 UNI-V2 토큰을 받았다.

평균적으로, 10일 후, 해당 사용자는 모든 유동성을 철회하고 UNI-V2 토큰을 소각하며, 거래 수수료로 얻은 추가 ETH 수익을 인출한다.

이 네 개의 토큰의 온체인 데이터를 분석할 때, 우리는 완전히 동일한 패턴이 반복되는 것을 발견하였으며, 이는 자동화되고 반복적인 작업을 통한 조작의 유일한 목적이 이익을 얻는 것임을 나타낸다.

시장 조작은 DeFi에 국한되지 않는다

FBI의 조사가 이러한 행위를 효과적으로 폭로했지만, 시장 남용은 암호화폐나 DeFi에만 국한되지 않는다. 2019년, Gotbit의 CEO는 그가 암호화 프로젝트가 "성공적으로 위장"하는 데 도움을 준 비윤리적인 사업에 대해 공개적으로 이야기하며, 소형 거래소의 묵인으로 이러한 행위를 이용하였다. Gotbit의 CEO와 그의 두 이사는 유사한 수법으로 여러 암호화폐를 조작한 혐의로 기소되었다.

그러나 중앙화 거래소에서 이러한 조작을 발견하는 것은 더 어렵다. 이러한 거래소는 시장 수준의 주문서와 거래 데이터만 표시하므로, 허위 거래를 정확하게 식별하기 어렵다. 그럼에도 불구하고, 거래소 간 거래 패턴과 시장 지표를 비교하는 것은 여전히 문제를 발견하는 데 도움이 된다. 예를 들어, 거래량이 유동성(1% 시장 깊이)을 크게 초과하면 세탁 거래와 관련이 있을 수 있다.

데이터에 따르면, HTX와 Poloniex에서 100배 이상의 거래량-유동성 비율을 가진 자산이 가장 많다. 일반적으로 meme 코인, 프라이버시 코인 및 소규모 시가총액의 알트코인이 비정상적으로 높은 거래량-깊이 비율을 보인다.

거래량-유동성 비율은 완벽한 지표가 아니라는 점에 유의해야 한다. 거래량은 일부 거래소의 프로모션 활동(예: 수수료 면제 행사)으로 인해 크게 증가할 수 있다. 허위 거래량을 보다 확실하게 판단하기 위해, 우리는 거래소 간 거래량 상관관계를 검사할 수 있다. 일반적으로 특정 자산의 거래량 추세는 서로 다른 거래소 간에 상관관계가 있으며, 장기적으로 일관성을 보인다. 만약 거래량이 장기적으로 단조롭거나 장기간 거래가 없거나 서로 다른 거래소 간에 명백한 차이가 있다면, 이는 비정상적인 거래 활동이 있을 수 있음을 나타낸다.

예를 들어, 특정 거래소에서 PEPE 토큰을 살펴보면, HTX와 다른 플랫폼 간의 2024년 거래량 추세 차이가 뚜렷하다. HTX에서 PEPE 거래량은 7월 동안 높은 수준을 유지하며, 심지어 상승세를 보였지만, 대부분의 다른 거래소에서는 거래량이 감소하였다.

거래 데이터를 추가 분석한 결과, HTX의 PEPE-USDT 시장에서 알고리즘 거래가 활발히 이루어지고 있음을 발견하였다. 7월 3일 하루 동안 4200건의 1M PEPE 매매 주문이 있었으며, 시간당 평균 약 180건이었다. 이러한 거래 패턴은 Kraken의 동기 거래와 뚜렷한 대조를 이루며, 후자의 거래는 더 자연스럽고 소매 주도적이며, 거래 규모와 시간 모두 불규칙하다.

7월의 다른 며칠에도 유사한 패턴이 나타났다. 예를 들어, 7월 9일부터 12일 사이에 5900건 이상의 2M PEPE 매매 거래가 실행되었다.

여러 징후는 자동화된 세탁 거래가 존재할 가능성을 시사하며, 여기에는 높은 거래량-깊이 비율, 비정상적인 주간 거래 패턴, 반복 주문의 고정 규모 및 빠른 실행이 포함된다. 세탁 거래에서는 동일한 주체가 동시에 매수 및 매도 주문을 내려 거래량을 인위적으로 증가시켜 시장을 더 유동적으로 보이게 만든다.

시장 조작과 효율성 불균형의 미묘한 경계

암호화 시장에서의 시장 조작은 때때로 차익 거래 행위로 오해받기도 하며, 차익 거래는 시장의 효율성 불균형을 이용하여 이익을 얻는 것이다.

예를 들어, "그물 낚시식 가격 상승" 현상은 한국 시장에서 흔히 발생한다(가격을 끌어올려 소액 투자자를 유인한 후, 자금을 빼내는 방식). 거래자는 입금 및 출금의 일시적 중단을 이용하여 자산 가격을 인위적으로 끌어올려 이익을 얻는다. 전형적인 사례는 2023년에 발생한 Curve의 원주율 토큰(CRV)이 해킹 공격으로 인해 여러 한국 거래소에서 거래가 중단된 사건이다.

그래프에 따르면, Bithumb가 CRV 토큰의 입금 및 출금을 중단했을 때, 대량의 매수 주문이 가격을 크게 상승시켰지만, 이후 매도 시작과 함께 빠르게 하락하였다. 중단 기간 동안 매수로 인한 일시적인 가격 상승이 여러 차례 발생했으며, 그 직후 매도가 이어졌다. 전반적으로 매도량이 매수량을 명백히 초과하였다.

중단이 끝나자 가격은 빠르게 하락하였고, 거래자는 거래소 간에 쉽게 매매하여 차익 거래를 할 수 있었다. 이러한 중단은 일반적으로 소액 투자자와 투기자를 유인하며, 그들은 유동성이 제한되면 가격이 상승할 것이라고 예상한다.

결론

암호화 시장에서의 시장 조작을 식별하는 것은 여전히 초기 단계에 있다. 그러나 과거 조사 데이터와 증거를 결합하면, 규제 기관, 거래소 및 투자자가 향후 시장 조작 문제에 보다 잘 대응할 수 있다. DeFi 분야에서 블록체인 데이터의 투명성은 각종 토큰의 세탁 거래를 감지할 수 있는 독특한 기회를 제공하여 시장의 신뢰성을 점진적으로 높인다. 중앙화 거래소에서는 시장 데이터가 새로운 시장 남용 문제를 드러내고, 일부 거래소의 이익을 공공의 이익과 일치시키는 데 기여할 수 있다. 암호화 산업이 발전함에 따라, 모든 사용 가능한 데이터를 활용하는 것은 불량 행위를 줄이고 보다 공정한 거래 환경을 조성하는 데 도움이 된다.