- 유형
- BSC DeFi 프로토콜 (디플레이션 토큰)
- 기술
- BEP-20 Token on BSC, PancakeSwap, Deflationary Tokenomics
- 메인넷 / 출시
- 2025년 9월 (토큰 출시)
요약
BSC 기반 DeFi 토큰으로 2024년 9월 17-18일 $2M 규모의 플래시론 익스플로잇 피해를 입어 88% 가격 폭락 발생. CertiK 감사(64.63점)와 KYC 검증에도 불구하고 취약한 가격 오라클과 수수료 메커니즘 결함으로 유동성 전체 탈취. 공격자 자금은 Tornado Cash로 세탁됨.
핵심 평가
투자하지 마세요. 이 토큰은 가격을 88% 폭락시킨 치명적인 $2M 플래시론 익스플로잇을 겪었습니다. 공격은 프로토콜의 가격 오라클, 수수료 메커니즘, 접근 제어의 근본적인 결함을 노출했습니다. 도난 자금은 Tornado Cash를 통해 세탁되어 회수 불가능합니다. 팀은 명확한 복구 계획이나 보상 메커니즘을 제공하지 않았습니다. CertiK 감사 (64.63)와 KYC 검증에도 불구하고 익스플로잇은 이러한 배지가 보안을 보장하지 않음을 증명합니다. 투자는 거의 확실한 손실과 함께하는 순수한 도박입니다.
상세 분석
핵심 평가
- 보고서 유형: 플랫폼 분석 보고서
- 발행: PHIL · 2026년 4월 3일
- 위험 등급: 심각
- 투자 판정: 투자 비권장
투자하지 마세요. New Gold Protocol(NGP)은 약 $2M 규모의 플래시론 익스플로잇으로 가격이 88% 폭락했습니다. 공격은 가격 오라클, 수수료 메커니즘, 접근 제어의 근본적인 결함을 드러냈습니다. 원문은 도난 자금이 Tornado Cash를 통해 세탁되어 회수 불가능하며, 명확한 복구 계획이나 보상 메커니즘도 없다고 평가합니다. CertiK 감사와 KYC 검증은 보안을 보장하지 않았으며, 투자는 거의 확실한 손실을 수반하는 순수한 도박이라는 판정입니다.
| 핵심 지표 | 값 | 설명 |
|---|---|---|
| 익스플로잇 피해 규모 | 약 $2M | 플래시론 공격으로 유동성 탈취 |
| 공격 시점 | 2024년 9월 17~18일 | 원문에 기재된 익스플로잇 발생일 |
| 가격 하락률 | 88% | 익스플로잇 직후 폭락 |
| CertiK 점수 | 64.63 | 감사에도 치명적인 취약점 방지 실패 |
| KYC 검증 인원 | 3명 | CertiK이 검증한 팀원 |
| 투자자 체크리스트 통과 | 0/8 | 보안·복구 관련 항목 모두 미통과 |
프로젝트 개요
기본 정보
| 항목 | 내용 | 설명 |
|---|---|---|
| 유형 | BSC DeFi 프로토콜 | 디플레이션 토큰 |
| 기술 | BEP-20 Token on BSC, PancakeSwap, Deflationary Tokenomics | BSC 기반 토큰 및 디플레이션 토크노믹스 |
| 메인넷·토큰 출시 | 2025년 9월 | 원문에 기재된 출시 시점 |
| 트위터 팔로워 | 946명 | 낮은 소셜 존재감으로 평가 |
| 도메인 등록 | 2025년 7월 | NameCheap을 통해 등록된 비교적 신규 도메인 |
기술 스택
| 기술 | 설명 | 검증 상태 |
|---|---|---|
| BEP-20 Standard | 표준 BSC 토큰 형식 | 검증됨 |
| PancakeSwap V2 | 검증된 DEX에서 거래 | 검증됨 |
| Deflationary Mechanics | 소각 및 재분배를 포함한 5% 판매 수수료 주장 | 미검증 |
| Aurora AI | AI 기반 거버넌스 및 거래 주장 | 미검증 |
기술적 도전과 실패
| 영역 | 평가 | 위험 수준 |
|---|---|---|
| 가격 오라클 보안 | 실패 — 단일 소스 오라클 악용 | 매우 높음 |
| 플래시론 보호 | 실패 — 보호 기능 미구현 | 매우 높음 |
| 수수료 메커니즘 보안 | 실패 — 수수료 로직이 유동성 풀 손상 | 높음 |
| 접근 제어 | 실패 — Dead wallet 화이트리스트 악용 | 높음 |
생태계 구성
- $NGP Token: 디플레이션 토큰
- LP Bonds: 수익 메커니즘
- Profit Pool: 수수료 분배
- Aurora AI: AI 거버넌스
경쟁 프로젝트 비교
| 프로젝트 | ZK | EVM | 팀 | 감사 | VC | 활동·상태 |
|---|---|---|---|---|---|---|
| NGP | N/A | BSC | KYC 3명 | CertiK 64.63 | 확인 불가 | $2M 해킹 |
| CAKE(PancakeSwap) | N/A | BSC | 공개 | 다수 | 있음 | 안전 |
| AAVE | N/A | 다중체인 | 공개 | 다수 | 있음 | 검증됨 |
토큰 현황
| 지표 | 값 | 설명 |
|---|---|---|
| 체인 | BSC | 토큰 발행 네트워크 |
| DEX | PancakeSwap V2 | 거래 플랫폼 |
| 가격 | $0.0001 | 해킹 후 88% 폭락 |
| 시가총액 | 해킹 후 급감 | 구체적 금액 미제시 |
| 유동성 | $0 | 유동성 전량 탈취 |
| 홀더 | 0 | 원문 표기 기준 |
긍정·부정 요소 분석
긍정적 요소
- CertiK 감사 완료.
- CertiK에 의한 팀 KYC 검증.
- CertiK을 통한 버그 바운티 프로그램 활성화.
- 활발한 텔레그램 커뮤니티.
- 상세한 문서를 포함한 GitBook 백서 제공.
- 스카이넷 커뮤니티 평점 보유.
- 판매 수수료 재분배를 포함한 디플레이션 토크노믹스.
- 민팅 권한 영구 포기 주장.
| 관련 지표 | 값 | 설명 |
|---|---|---|
| CertiK 감사 점수 | 64.63점 | 발견 사항 12개, Critical 0개·Major 0개 |
| 팀 KYC | 3명 | CertiK 검증 |
| 텔레그램 멤버 | 5,177명 | 커뮤니티 규모 |
| 스카이넷 커뮤니티 평점 | 4.2/5점 | 커뮤니티 평가 |
| 판매 수수료 | 5% | 재분배를 포함한 디플레이션 토크노믹스 주장 |
부정적 요소
- 심각: 2024년 9월 17~18일 약 $2M 플래시론 익스플로잇 발생.
- 심각: 익스플로잇 직후 토큰 가격 88% 폭락.
- 심각: 가격 오라클이 DEX 잔액에만 의존.
- 심각: 결함 있는 35% 판매 수수료 메커니즘이 유동성 손상.
- 심각: 화이트리스트된 dead wallet 우회로 무제한 구매 가능.
- 도난 자금이 Tornado Cash로 세탁되어 회수 불가하다는 평가.
- 명확한 복구 로드맵이나 보상 계획 발표 없음.
- 여러 보안 분석 기업이 익스플로잇을 문서화.
- 도메인이 2025년 7월 NameCheap을 통해 등록되어 비교적 신규.
- 트위터 팔로워 946명으로 소셜 존재감이 낮음.
경고 신호
01. 플래시론 익스플로잇 — 치명적(CRITICAL)
2024년 9월 17~18일, BNB Chain에서 거래가 시작된 직후 NGP는 약 $2M 규모의 플래시론 공격을 받았습니다. 공격자는 Tornado Cash로 익명성을 확보하고, PancakeSwap에서 대규모 플래시론을 차입한 뒤 가격 조작과 안전 검사 우회로 모든 유동성을 탈취했습니다.
공격 타임라인
| 단계 | 시점·목적 | 세부 내용 |
|---|---|---|
| 1. 준비 | 공격 6시간 전 | 여러 지갑으로 NGP 구매. 익명성을 위해 Tornado Cash를 통해 자금 조달 |
| 2. 가격 조작 | 가격 인플레이션 | PancakeSwap에서 플래시론 차입. 대규모 USDT를 NGP로 스왑해 가격을 인위적으로 펌핑 |
| 3. 안전장치 우회 | 구매 제한 무력화 | DEAD(제로) 주소로 토큰을 수령해 최대 구매 한도와 쿨다운 시간 제한 우회 |
| 4. 추출 | 유동성 탈취 | 사전 구매한 모든 NGP를 부풀려진 가격에 매도. 약 $2,000,000 USDT 수익을 얻고 유동성 풀 완전 고갈 |
| 5. 자금 세탁 | 체인 이동 및 믹서 입금 | USDT를 Binance 페깅 ETH로 스왑. 443 ETH를 Across Protocol로 이더리움에 브릿지한 뒤 Tornado Cash에 입금 |
- 공격 트랜잭션: 출처의 BscScan 공격 트랜잭션 참조.
- 원문은 Tornado Cash 입금 이후 자금 추적이 불가능하며, 자금이 영구적으로 손실되었다고 평가합니다.
- 공격 당시 NGP 보유자는 즉시 가치의 88%를 잃었으며, 원문은 이를 회복 불가능한 상태로 판단합니다.
KYC를 거친 감사된 프로젝트도 치명적인 손실을 입을 수 있습니다.
02. 취약한 가격 오라클 — 치명적(CRITICAL)
NGP는 DEX 거래쌍의 토큰 잔액만으로 가격을 계산했습니다. Chainlink 같은 외부 오라클 통합 없이 PancakeSwap 잔액에만 의존해 플래시론 가격 조작에 취약했습니다.
| 항목 | NGP 구현 | 원문이 제시한 업계 모범 사례 |
|---|---|---|
| 가격 계산 | 가격 = tokenReserve / usdtReserve | 외부 오라클 및 다중 가격 소스 활용 |
| 가격 소스 | PancakeSwap 유동성 풀 단일 소스 | Chainlink 또는 Band Protocol 오라클 사용 |
| 외부 가격 피드 | 없음 | 외부 가격 피드 통합 |
| 시간 가중 평균 가격(TWAP) | 없음 | TWAP 구현 |
| 조작 탐지 | 없음 | 조작 탐지 서킷 브레이커 추가 |
익스플로잇 흐름
- 대규모 USDT 플래시론 차입.
- 대량 NGP 구매. 원문은 이 과정에서 “USDT 잔액 고갈, NGP 가격 상승”이 발생했다고 설명.
- 부풀려진 가격에서 프로토콜 로직 실행.
- 조작된 가격에 NGP 매도.
- 플래시론 상환 후 수익 보유.
단일 소스 가격 오라클은 DeFi의 알려진 치명적 취약점입니다. 원문은 이 결함을 가진 채 출시된 점이 감사 범위의 제한 또는 팀의 권고사항 무시를 시사한다고 평가합니다.
03. 결함 있는 수수료 메커니즘 — 치명적(CRITICAL)
35% 판매 수수료를 사용자 잔액이 아닌 유동성 풀에서 차감하는 설계 결함이 있었습니다. 사용자의 토큰 잔액에서 직접 수수료를 차감하지 않고 풀에서 토큰을 빼는 구조가 대규모 탈취를 가능하게 했습니다.
| 비교 항목 | 예상 동작 | NGP 실제 동작으로 제시된 내용 |
|---|---|---|
| 매도 수량 | 1,000토큰 | 1,000토큰 |
| 수수료율 | 35% | 35% |
| 수수료 차감 대상 | 사용자 잔액 | 유동성 풀 |
| 사용자 수령 가치 | 650토큰 상당 | 전체 가치 |
| 유동성 풀 영향 | 변동 없음 | 350토큰 손실 |
- 대규모 매도마다 풀이 탈취되는 결과를 초래했습니다.
- 플래시론과 결합하면 완전한 유동성 탈취가 가능했습니다.
원문은 이를 유능한 감사라면 발견했어야 할 근본적인 스마트 컨트랙트 설계 오류로 평가합니다.
04. 화이트리스트된 Dead Wallet 우회 — 치명적(CRITICAL)
NGP 스마트 컨트랙트는 일반 구매 한도를 초과한 토큰을 받을 수 있도록 dead(제로) 주소를 화이트리스트했습니다. 공격자는 이를 악용해 구매 한도를 우회했습니다.
| 수신 주소 조건 | 한도 처리 | 결과 |
|---|---|---|
recipient == DEAD_ADDRESS | 한도 없음 | 공격에 악용 |
| 그 외 주소 | 구매 한도 적용 | 일반적인 구매 제한 |
- 공격자가 먼저 DEAD 주소로 전송.
- 해당 주소에는 한도가 적용되지 않음.
- 결과적으로 무제한 토큰 획득 가능.
원문은 dead 주소의 화이트리스트 등록에 정당한 목적이 없었으며, 악용 가능한 백도어를 만들었다고 판단합니다.
05. 익스플로잇 후 대응과 복구 계획 부재 — 높음(HIGH)
NGP 팀은 공격 발생을 인정했으나 구체적인 복구 조치를 제공하지 않았습니다. 명확한 복구 로드맵, 보상 계획, 상세한 포스트모템, 보안 수정 발표 및 수정 일정이 없었습니다.
| 기대되는 해킹 후 대응 | NGP 실제 대응으로 제시된 내용 |
|---|---|
| 프로토콜 일시 중지 | 익스플로잇 발생 인정 |
| 상세한 포스트모템 게시 | 상세한 포스트모템 없음 |
| 보상 계획 발표 | 보상 계획 없음 |
| 긴급 수정 배포 | 보안 수정과 명확한 일정 발표 없음 |
| 사용자에게 복구 방향 제시 | 사용자 불확실성 지속 |
해킹 후 대응은 사용자에 대한 프로젝트의 진정한 약속을 보여줍니다. 원문은 구체적인 복구 계획의 부재가 프로젝트 포기 가능성을 시사한다고 평가합니다.
06. CertiK 감사의 한계 — 높음(HIGH)
CertiK 감사에도 약 $2M 익스플로잇으로 이어진 치명적인 취약점은 방지되지 않았습니다.
| 감사 지표 | 값 | 설명 |
|---|---|---|
| 점수 | 64.63 | 원문이 제시한 CertiK 점수 |
| 총 발견 사항 | 12개 | 원문 표기 총계 |
| Critical | 0개 | 원문에 제시된 심각도별 내역 |
| Major | 0개 | 원문에 제시된 심각도별 내역 |
| Medium | 1개 | 원문에 제시된 심각도별 내역 |
| Minor | 7개 | 원문에 제시된 심각도별 내역 |
감사에서 놓친 것으로 평가된 항목
- 약한 단일 소스 가격 오라클.
- 유동성 풀을 고갈시키는 수수료 메커니즘.
- Dead wallet 화이트리스트 우회.
- 플래시론 공격 벡터.
감사 ≠ 보안 보장. 감사된 프로젝트도 치명적인 실패를 겪을 수 있으므로, 감사 존재 여부만 확인하는 것을 넘어 자체 조사를 수행해야 합니다.
위험 평가
다음은 원문이 제시한 시나리오별 확률과 설명입니다.
| 위험 시나리오 | 확률 | 설명 |
|---|---|---|
| 복구 및 재건 | 10% | 팀이 문제를 수정하고 신뢰를 회복할 수 있음 |
| 버려진 프로젝트 | 50% | 복구 계획이 없다는 점을 감안하면 높은 가능성 |
| 먹튀·러그풀 | 30% | 익스플로잇이 내부자 소행일 수 있음 |
| 정당하지만 실패 | 10% | 익스플로잇으로 파괴된 진정한 프로젝트 |
투자자 체크리스트
통과 현황
| 지표 | 값 | 설명 |
|---|---|---|
| 통과 항목 | 0/8 | 아래 항목 모두 미통과 |
- 익스플로잇 이력 없음.
- 다중 소스 가격 오라클.
- 플래시론 보호.
- 안전한 수수료 메커니즘.
- 복구 계획 발표됨.
- 보상 배포됨.
- 다수의 감사 완료.
- 검증된 보안.
추가 확인 필요 사항
- 익스플로잇 후 보안 감사 결과.
- 피해 사용자를 위한 보상 계획.
- 수정된 스마트 컨트랙트 배포.
- 수정 사항의 독립적 검증.
- 트레저리 및 유동성 복구.
결론
New Gold Protocol은 DeFi 보안의 치명적인 실패 사례로 평가됩니다. 원문에 따르면 2024년 9월 17~18일 플래시론 익스플로잇으로 약 $2M이 탈취되었고, 가격은 즉시 88% 폭락했습니다.
공격 성공의 핵심 원인은 다음 세 가지입니다.
- DEX 잔액에만 의존하는 취약한 가격 오라클.
- 사용자 잔액 대신 유동성을 고갈시키는 결함 있는 수수료 메커니즘.
- 구매 한도를 우회할 수 있는 화이트리스트된 dead wallet 주소.
CertiK 감사 점수 64.63과 팀원 3명의 KYC 검증에도 이러한 근본적인 설계 결함은 방지되지 않았습니다. 원문은 도난 자금이 Tornado Cash를 통해 세탁되어 영구적으로 회수 불가능하다고 판단하며, 팀이 의미 있는 복구 로드맵이나 보상 계획을 제공하지 않았다고 지적합니다.
감사 배지와 KYC 검증은 보안을 보장하지 않습니다. 보안 수정에 대한 특별한 증거와 익스플로잇·복구 노력에 관한 완전한 투명성 없이는 어떤 상황에서도 NGP에 투자해서는 안 된다는 것이 원문의 최종 결론입니다.
본 보고서는 투자 조언이 아닙니다. 모든 투자 결정은 본인의 판단과 책임하에 이루어져야 합니다.
출처
- New Gold Protocol 공식 웹사이트
- New Gold Protocol 백서
- CertiK Skynet — New Gold Protocol
- QuillAudits Medium — NewGold Protocol Exploit: $2M Lost in Flash Loan Attack
- Hacken — NGP Hack Explained
- QuillAudits — Flash Loan Attack on Gold Protocol
- BscScan — NGP 토큰
- BscScan — 공격 트랜잭션
- DEX Screener — BSC 거래쌍
- New Gold Protocol X 계정
- New Gold Protocol 텔레그램