반듯한 웹사이트는 크립토에서 가장 값싼 상품이다. 도메인, 카운트다운 타이머, 화려한 토크노믹스 그래픽, 보안 감사사 로고 세 개 정도는 주말 동안에도 뚝딱 만들 수 있다. 하지만 이런 것만으로는 세일 컨트랙트가 랜딩 페이지에서 약속한 대로 작동하는지 전혀 알 수 없다. Chainalysis 자료를 인용한 보도에 따르면, 2025년 기준 크립토 스캠 수익은 약 170억달러에 달했고 2026년은 그 이상을 향해 가는 흐름이다.
방어 전략은 비(非)개발자도 실제로 수행할 수 있는 일련의 점검 절차, 그리고 모든 마케팅 문구를 ‘사실’이 아니라 온체인 기록으로 검증해야 할 ‘가설’로 보는 태도에서 출발한다. BNB 체인에서 AI 밈코인 런치패드를 표방하며 프리세일을 진행 중인 MemeToro는, 일반적인 프리세일보다 공개 자료가 많다는 점에서 좋은 사례다. 이 프로젝트에 체크리스트를 그대로 대입해 보면, 무엇이 실제로 입증되고 어디까지가 공란인지가 동시에 드러난다.
프리세일의 본질, 그리고 왜 리스크는 온전히 투자자 몫인가
프리세일은 토큰이 거래소에 상장되기 전, 여러 라운드로 나눠 토큰을 미리 판매하는 구조다. 각 라운드는 타이머나 할당량 소진을 기준으로 가격이 단계적으로 인상된다. 투자자는 지금 자금을 보내고, 토큰은 나중에 토큰 생성 이벤트(Token Generation Event, TGE) 시점에 수령한다. The Defiant의 프리세일 가이드에서는 이 구조의 함의를 직설적으로 짚는다. 유동성은 TGE까지 잠겨 있어, 그 전에는 빠져나올 출구가 없다. 상장 가격이 초기 매수자들이 지불한 단가보다 낮게 열릴 수도 있다. 베스팅 탓에 가격 폭락 속에서도 물량을 묶인 채 버텨야 할 수 있다. 팀이 개발을 멈추고 그냥 사라질 가능성도 배제할 수 없다.
그래서 프리세일에서는 이미 상장된 토큰보다 코드 레벨 검증의 중요성이 훨씬 크다. 오더북도, 과거 가격 데이터도, 심지어 완성된 제품조차 없는 경우가 대부분이다. 자금이 이동하기 전에 확인할 수 있는 증거가, 투자자가 행사할 수 있는 거의 유일한 지렛대다.
로드맵보다 먼저 깃허브 저장소를 열어라
신뢰할 만한 저장소라면 최소한 작동하는 로직, 문서, 테스트, 최근 커밋, 그리고 홍보 중인 제품과 직접 연결되는 파일 구조를 갖춘다. MemeToro의 공개 저장소는 MIT 라이선스로 전면 공개돼 있어 누구나 코드를 열람·테스트·수정·재사용할 수 있다. 프로젝트 측 설명에 따르면 공개 코드만 2,200라인 이상이며, 이 중 1,100라인 넘게가 단일 개발 주간에 추가됐다. 또 AI 에이전트의 라이브 예제를 제공해, 문서화된 파이프라인과 실제 출력값을 비교해 볼 수 있게 했다.
하지만 실제 저장소를 읽어보면 다른 풍경이 보인다. 메인 브랜치에는 커밋이 세 개뿐이다. 디렉터리 구조는 오프체인 에이전트, 온체인 컨트랙트, 문서, 매니페스트 예제를 위한 뼈대만 잡아둔 상태다. README에는 “컨트랙트는 아직 구현되지 않았고, 감사도 받지 않았으며, 실사용이나 자금 관리에 쓰지 말 것”이라는 경고가 명시돼 있다.
이것이 ‘꼬투리 잡기’는 아니다. 바로 이런 내용을 직접 확인하라고 체크를 하는 것이다. 코드 라인 수와 관대한 라이선스는 활동성과 개방성을 보여줄 뿐, 출시 준비가 됐는지를 말해주지는 못한다. 자신들의 온체인 레이어를 “미구현”이라고 적시하는 프로젝트는, 어떤 화려한 마케팅 페이지보다도 유의미한 정보를 투자자에게 제공하는 셈이다.
어떤 프리세일이든 저장소를 볼 때는 숫자 헤드라인을 넘어서야 한다. 커밋 히스토리, 기여자 수, 오픈 이슈, 테스트 커버리지, 그리고 최근 변경이 실질적인지(로직 변경) 아니면 화장 수준인지(주석·UI 문자열)까지 확인하라. 라이브 데모가 있다면, 출력 결과에 추적 가능한 증거와 구조화된 런치 매니페스트가 붙어 있는지, 외부인이 에이전트의 의사결정 경로를 따라갈 수 있는지, 현재 데모와 향후 온체인 배포 계획이 명확히 구분돼 있는지도 봐야 한다.
감사 로고는 ‘끝’이 아니라 ‘출발점’이다
보안 감사사 배지는 종종 결론처럼 소비되지만, 실제로는 조사의 시작에 불과하다. 감사 보고서는 다음을 확인하기 전까지 그 자체로 아무런 의미가 없다. 어떤 컨트랙트 주소, 어떤 코드 버전, 어떤 날짜를 기준으로 검사했는지, 개별 취약점과 심각도는 무엇이었고, 어떤 항목을 어떻게 수정했으며, 수정분에 대해 재검증이 이뤄졌는지 등이다. 토큰 계약 감사 결과는 웹사이트, 결제 플로우, 스테이킹 모듈, 아직 존재하지 않는 런치패드에 대해서는 아무 말도 하지 않는 경우가 많다.
MemeToro는 Coinsult, BlockSAFU, SolidProof 세 곳에 대한 감사를 마쳤다고 밝힌다. 프로젝트 측 제공 정보에 따르면 Coinsult는 프리세일 컨트랙트와 그 할당 로직을 검토했다. 2026년 7월 6일자 GlobeNewswire 보도자료는, 스마트 컨트랙트에 대한 Coinsult의 감사 완료 사실을 확인해준다. 그러나 이 자료에는 개별 취약점, 분석 방법론, 심각도 등급, 상세 보고서 링크가 전혀 포함돼 있지 않다. 결국 이 감사가 실제로 무엇을 다뤘는지 확인하려면 정식 보고서를 직접 열어보고, 여기에 기재된 컨트랙트 주소를 MemeToro 공식 채널의 주소와 대조해야만 한다.
모든 프리세일 감사에 공통으로 던져야 할 질문은 네 가지다. 첫째, 보고서가 각 감사사가 어떤 범위를 검사했는지 명확하게 적시하는가. 둘째, 심각한 이슈는 ‘인정’만 하고 끝난 것이 아니라 실제로 수정돼 재검증까지 받았는가. 셋째, 세일이 시작된 뒤에도 관리자가 가격, 캡, 할당량, 수령 지갑을 바꿀 수 있는지 여부. 넷째, 배포된 바이트코드가 해당 체인의 올바른 블록 익스플로러에서 검증돼, 감사된 코드와 실제 운영 코드가 동일하다는 점이 입증되는가.
감사가 세 개면 하나보다 사각지대를 더 많이 드러낼 수 있다. 그러나 어느 감사도 기술·운영·인적·시장 리스크를 제거해 주지 않는다.
토크노믹스는 피치덱이 아니라 컨트랙트와 대조하라
공개된 토큰 분배표는 결국 컨트랙트에 대한 주장이다. 그리고 이 주장을 최종적으로 판정하는 유일한 권위는 컨트랙트다. MemeToro는 총 12억개 토큰을 다음과 같이 배분했다고 밝힌다. 퍼블릭 세일 71%, 거래소 유동성 및 예비 물량 10%, 마케팅 파트너 7.56%, 플랫폼 내 트레이딩 5%, 생태계 리워드 4.44%, 팀 2%. 프로젝트 측은 비공개 프라이빗 라운드가 없고, 모든 참여자가 같은 가격을 적용받는다고 강조한다.
The Defiant의 프리세일 가이드에서 제시한 기준을 곁들이면 맥락이 더 분명해진다. 일반적으로 프리세일 라운드가 전체 물량의 20~30% 수준을 차지하고, 팀 물량은 최소 6개월 이상의 베스팅이 걸리는 편이 바람직하다고 본다. 이런 기준에서 보면, 퍼블릭 할당 71%, 팀 지분 2%는 상식적으로는 보수적인 구성에 가깝다. 하지만 숫자 그 자체보다 중요한 것은 이 구조가 실제 온체인에서 ‘강제’되고 있는지 여부다.
체인 상에서 반드시 확인해야 할 포인트는 다음과 같다. 팀 물량이 베스팅 컨트랙트에 묶여 있는지, 세일 이후에도 추가 발행 권한이 남아 있는지, 모금된 자금을 누가 어떤 권한으로 인출할 수 있는지, 그리고 오너 주소가 유지하는 특권은 무엇인지다. 베스팅 계약이 없는 분배표는 제약조건이 아니라 단지 인포그래픽에 불과하다.
데모가 아니라 실패 시나리오를 시험하라
런치패드는 세일 컨트랙트 바깥에도 별도의 통제 장치를 갖춰야 한다. 가장 강력한 통제는 언어모델 밖에서 작동하는 결정론적(Deterministic) 규칙이다. MemeToro는 생성된 결과물을, 사전에 정의된 코드 검증기(Validator)를 통해 필터링하는 구조를 설계했다고 밝힌다.
첫 번째 검증기는, 데이터 커넥터가 실제로 수집하지 않은 URL을 거부한다. AI가 그럴듯한 출처를 지어내거나 엉뚱한 페이지를 붙일 수 있다는 전제에서 나온 규칙이다. 제출된 링크를 크롤링된 URL 집합과 대조해, 목록에 없는 URL은 차단한다. 두 번째 규칙은 토큰 할당 비율의 합이 정확히 100%가 아니면(99%나 101% 등) 무조건 실패로 처리한다. 세 번째 규칙은 내부자 물량(Insider Allocation)이 0을 초과하는 순간 전체 제안을 거부해, “내부자 물량 0”이라는 약속을 코드로 강제한다.
성공 데모는 거의 아무것도 증명하지 못한다. 대신 시스템을 직접 깨뜨려 보라. 수집되지 않은 URL을 넣어 실제로 거부되는지 확인하라. 전체 할당 비율을 일부러 틀리게 입력하고 실패 로그를 읽어보라. 내부자 지분을 추가로 넣어봤을 때, 프로세스가 실제로 중단되는지 확인하라. 검증 로직이 실행 로직과 분리돼 있다면, 거부된 요청에 대해서는 온체인 트랜잭션이 발생하지 않아야 하고, 따라서 가스비도 들지 않는다. 이때 로그는 실패한 규칙을 정확히 지목하되, 키를 노출하거나 우회로를 제공해서는 안 된다. 같은 잘못된 입력이 매번 같은 방식으로 실패하는 ‘부정 테스트’는, 규칙이 실제로 집행되고 있다는 강력한 증거다. 언제나 성공만 하는 데모는 그저 동영상일 뿐이다.
CoinMarketCap 페이지는 ‘신원 확인’일 뿐, ‘보험’이 아니다
외부 리스팅은 프로젝트가 최소한의 공개 신원을 갖추고 있음을 보여줄 뿐, 그 이상도 이하도 아니다. MemeToro의 CoinMarketCap 페이지는 아직 프리뷰 상태로, BNB 체인에서 심볼 MT, 컨트랙트 주소 0x44412181b7eb66bff974c0a9a9e908e5bba8cfff, 총 발행량 12억개, 유통량 8억5,793만개로 표기돼 있다. 가격과 거래량은 0으로 잡혀 있고, 웹사이트·백서·소셜 계정·GitHub·BscScan 링크가 함께 제공된다.
이런 페이지는 ‘증명서’가 아니라 ‘대조표’로 써야 한다. 티커, 체인, 컨트랙트 주소, 설명, 연결된 소셜 계정이 프로젝트가 운영하는 1차 채널과 정확히 일치하는지 확인하라. 리스팅 프로필은 유사 컨트랙트(피싱 토큰)를 심는 주요 경로이기도 하다. 어떤 리스팅도 안전성을 보증하지 않고, 수익을 보장해주지도 않는다.
점검은 이 순서대로
지갑을 연결하기 전에 다음 순서를 따르라. 먼저 저장소를 훑어본다. 커밋, 테스트, 기여자, 라이선스, 실행 가능한 예제를 점검한다. 공식 컨트랙트 주소를 각 감사 보고서와 대조해, 실제 배포본이 보고서에서 다룬 대상과 일치하는지 확인한다. 감사사 로고 숫자 대신, 개별 취약점과 수정 여부를 읽는다. 온체인 권한 구조를 공개된 토크노믹스와 비교한다. 유효하지 않은 URL, 깨진 할당 비율, 금지된 내부자 물량 등으로 부정 테스트를 직접 돌린다. 마지막으로 CoinMarketCap 등 리스팅 페이지를 1차 채널과 교차 검증한다. 로드맵 기능, 예상 상장가, 수익률 암시는 모두 ‘불확실한 결과’로 간주한다.
이 순서가 중요한 이유는, 각 단계가 다음 단계를 떠받치는 사슬이기 때문이다. 저장소에서 시작해 감사, 배포 컨트랙트, 검증 로직, 실제 할당, 외부 기록으로 이어지는 이 고리가 어느 지점에서든 끊어진다면, 돈을 보내기 전에 그 부분을 먼저 파고들어야 한다.
결론
MemeToro는 대부분의 프리세일에서 보기 힘든 수준의 검증 가능 자료를 공개했다. MIT 라이선스 저장소, 결정론적 검증기, 세 건의 감사 보고서가 있었다고 밝히는 점, 라이브 에이전트 데모, 외부 리스팅까지 모두 테이블 위에 올려놨다.
동시에, 이 프로젝트는 자체 컨트랙트를 ‘미구현·미감사’ 상태로 명시한 저장소를 운영하고 있으며, 개별 취약점이 전혀 공개되지 않은 감사 발표도 내놓았다. 두 사실은 같은 평가 테이블 위에 올려놓고 함께 봐야 한다.
오픈소스 코드는 활발한 개발을 입증할 뿐, 상업적 성공을 보장하지 않는다. 감사는 컨트랙트 위생을 점검할 뿐, 웹사이트 보안이나 팀의 실행력을 입증하지 않는다. 검증은 리스크를 제거하지 못하며, 프리세일 참여가 손실로 끝날 가능성은 언제나 존재한다. 다만 검증은 화려한 브랜딩에 의존하던 ‘믿음’을, 투자자가 직접 읽고 확인할 수 있는 ‘기록’으로 대체해 준다. 이것이, 단순한 찍기가 아니라 실제 ‘투자 판단’이 되는 최소 조건이다.
