관리자는 절대 먼저 DM하지 않습니다
오픈 커뮤니티를 지배하는 스캠 경제의 해부
모든 크립토 채널에는 같은 다급한 경고가 고정되어 있습니다. "운영진은 절대 먼저 DM을 보내지 않습니다." 이 책은 그 한 줄 뒤에 숨은 스캠 경제의 필드 가이드입니다. 사칭 관리자, 딥페이크로 만들어진 창업자, 피그 부처링, 통째로 합성된 커뮤니티까지 — 스팸에서 크립토, 그리고 AI로 이어지는 세 시대를 가로질러 추적하고, 이 모든 것을 끝낼 단 하나의 질문에 도달합니다. 지금 이 방에 누가 있는가?
1부와 2부, 처음 일곱 장을 이 사이트에서 무료로 읽을 수 있습니다.
그 경고는 사실 고백입니다. "운영진은 절대 먼저 DM을 보내지 않습니다"를 고정 공지로 걸어야 하는 커뮤니티는, 자신의 창업자와 그 얼굴을 뒤집어쓴 사칭범을 더는 구별할 수 없다고 인정하는 것입니다. 그래서 포기하고 이렇게 말합니다. 아무도 믿지 마세요. 이 책은 어쩌다 여기까지 왔는지, 그리고 왜 오픈 커뮤니티가 생겨나는 곳마다 똑같은 일이 반복되는지를 다룹니다.
논지는 피해가 실제로 도착한 순서 그대로, 세 시대를 관통합니다. 먼저 암호화폐가 즉각적이고 되돌릴 수 없으며 익명인 가치를 낯선 사람들로 가득한 방에 떨어뜨렸고, 성가신 스팸은 포식으로 변했습니다. 그다음 대규모 언어 모델(LLM)이 마지막 남은 확실한 단서, 곧 언어 자체를 지워 버렸습니다. 이제 운영자 한 명이 유창한 페르소나 수천 개를 24시간 돌릴 수 있습니다. 업계가 내놓은 방어책은 전부 같은 벽에 부딪혀 깨지고 있으며, 이 책은 정확히 어디서 왜 깨지는지를 기술적인 수준까지 파고들어 보여 줍니다.
그다음에는 기계를 분해합니다. 진열대 위 상품의 공급망을 이해하듯, 현대 스캠 뒤의 공급망을 이해하게 됩니다. 도구, 노동, 가격, 마진, 그리고 스캠을 굴리는 사람들이 왜 여느 사업체처럼 행동하는지까지. 마지막으로, 이 모든 것이 걸려 있는 질문에 답하고 스캠 경제 전체를 수지가 맞지 않는 장사로 만들기 위해, 업계가 마침내 수렴해 가고 있는 접근법의 계보를 보게 됩니다.
이 책을 쓴 사람은 바로 그런 방 안에서 수년간 무언가를 만들어 온 엔지니어입니다. 견해가 분명하고, 구체적이며, 출처가 풍부합니다. 교과서라기보다는 지친 보안 엔지니어의 노트에 가깝습니다. 오픈 커뮤니티를 운영하거나, 크립토나 웹3(Web3)에서 무언가를 만들거나, 신뢰·안전(Trust & Safety) 분야에서 일하거나, 아니면 그저 받은 편지함에 쌓이는 메시지 뒤의 기계 장치가 궁금하다면 — 이 책을 읽고 나면 앞으로 들어서는 모든 열린 방이 다르게 보일 것입니다.
이 책에 담긴 것
피해가 실제로 찾아온 순서를 따라갑니다. 스팸, 크립토 사기, 그리고 AI로 규모를 키운 사기. 이어서 스캠의 기계를 분해하고, 방어자들이 시도해 온 것을 살핀 뒤, 모든 스캠이 파고드는 하나의 질문으로 끝맺습니다. 지금 이 방에 누가 있는가?
1부 · 크립토 이전 시대
2부 · 크립토가 도착했을 때
5부 · 대응, 그리고 지고 있는 이유
스캠 경제의 어휘
공격자, 방어자, 신원 연구자의 세계에서 온 용어들입니다. 각 항목은 그 용어를 설명하는 장으로 이어집니다.
한 행위자가 여러 얼굴을 쓰는 것. 2002년 존 두쇠르(John Douceur)가 명명하고 정식화했다. 그는 중앙 기관이 없으면 하나의 주체가 자기 자원에 비례하는 수의 신원을 위조할 수 있으며, 그 신원들을 아무리 들여다봐도 여럿을 다시 하나로 되돌릴 수 없음을 증명했다. 이 책의 한가운데 놓인 구조적 문제다.
피해자를 몇 주에 걸쳐 공들여 길들인 뒤 털어 가는 장기 투자·로맨스 사기. FBI 산하 IC3는 2025년 크립토 투자 사기 손실을 약 72억 달러로 보고했는데, 이 범주를 지배하는 것이 피그 부처링이다. 이 기괴한 이름(중국어 '샤주판(殺豬盤, shā zhū pán)'에서 왔다)은 도살 전에 피해자를 '살찌우는' 과정을 가리킨다.
피해자를 속여 악성 승인에 서명하게 만든 뒤 그 크립토 지갑을 비워 가는 임대형 툴킷. 운영자는 수수료를 떼고 — 플레어(Flare)가 추적한 인페르노(Inferno)–에인절(Angel)–루시퍼(Lucifer) 계보에서는 대략 20퍼센트 — 자금세탁까지 대행한다. DaaS는 이것이 하나의 산업임을 보여 주는 가장 명백한 증거다. 공격자는 이제 아무것도 만들 필요가 없다. 트래픽만 끌어오면 된다.
시빌 저항성의 세 번째 계열. 계정 뒤에 서로 구별되는 살아 있는 인간이 한 명 있음을 확립하려는 메커니즘이다. "인간 한 명, 등록 한 번"을 묻는 '일대다' 유일성 질문으로, 패스키가 수행하는 일대일 인증보다 어렵다. 이 용어는 2017년 EuroS&P 워크숍에서 브라이언 포드(Bryan Ford)와 동료들이 도입했다. 접근법으로는 생체 정보(월드 ID의 홍채 스캔), 사회적 보증(브라이트ID), 애그리게이션(휴먼 패스포트)이 있다. 결정적으로, 인간 증명은 시빌에 면역이 아니다. DeSoc 논문 스스로 인정하듯 공격자는 실제 인간들을 모집하거나 빌릴 수 있고, 이들 각각은 시험을 한 번씩 통과하되 공격자를 위해 통과한다. 그리고 에이전트 시대에는 점점 잘못된 질문이 되어 간다 — 책임성 항목을 보라.
AI 모델이 읽는 텍스트에 지시문을 몰래 심어, 모델이 운영자 대신 공격자에게 복종하게 만드는 수법. OWASP는 이를 대규모 언어 모델(LLM)의 최상위 위험(LLM01:2025)으로 꼽는다. 이 책에서는 공격자가 모델을 탈옥시키는 수법으로도, 방어자의 AI 모더레이터를 탈취하는 수법으로도 등장한다.
보유자가 제시하고 검증자가 발급자에게 연락하지 않고도 확인할 수 있는, 변조가 드러나는 암호학적 서명 주장. W3C 데이터 모델이 그 형식을 표준화한다. VC는 6부에서 설명한 네 계열을 잇는 연결 조직이다.
8장을 무료로 받아 보세요
구독하면 8장 「변곡점」이 이 사이트에서 열립니다. 친구를 초대하면 3부의 나머지 장도 열립니다.
확인 메일 한 통, 그리고 가끔 책 소식을 보냅니다. 언제든 구독을 해지할 수 있습니다.
나는 블록체인 엔지니어이고, 지난 몇 년을 폴카닷(Polkadot)에서 일해 왔다. 암호학적 신원과 온체인 평판이 화이트보드 위의 추상에 머물기를 그치고, 실제 사용자가 신뢰해야 하는 코드가 되는 바로 그 층위에서다. 시작은 패리티 테크놀로지스(Parity Technologies)의 개발자 지원 팀이었다. 그곳에서 폴카닷 스택익스체인지(Polkadot StackExchange) 개설에 참여했고, 역대 기여자 상위 5인 안에 들었다. 수천 명의 빌더가 실제로 어디에서 막히는지를 날마다 같은 질문으로 받아 내는 자리였다. 공식 SDK 튜토리얼과 레퍼런스 가이드, 문서도 그 시기에 썼다.
저자는 텔레그램 커뮤니티 보안 제품인 Targa도 만들고 있으며, 이 사이트는 그 도메인에서 운영됩니다. 이 책은 분야 전체를 다룬 독립적인 저작물로, Targa를 언급하거나 어떤 제품도 권하지 않습니다. →