[論文レビュー] EthScope: A Transaction-centric Security Analytics Framework to Detect Malicious Smart Contracts on Ethereum.

Lei Wu, Siwei Wu+6 more|arXiv (Cornell University)|May 17, 2020

Blockchain Technology Applications and Security参考文献 19被引用数 9

ひとこと要約

EthScopeは、ブロックチェーンの状態を回復し、スケールアップして取引を再実行し、動作の内省のための動的インストルメンテーションを可能にする、取引中心のセキュリティ分析フレームワークです。これにより、800万件以上の取引において6種類の攻撃を効果的に検出するとともに、JSTracerに比べ2,300倍の高速化を達成しました。

ABSTRACT

As one of the representative blockchain platforms, Ethereum has attracted lots of attacks. Due to the potential financial loss, there is a pressing need to detect malicious smart contracts and understand their behaviors. Though there exist multiple systems for smart contract analysis, they cannot efficiently analyze a large number of transactions and re-execute smart contracts to introspect malicious behaviors. In this paper, we urge for a transaction-centric security analytics framework for Ethereum, which provides an efficient way to quickly locate suspicious ones from a large number of transactions and extensible way to detect malicious smart contracts with analyst-provided scripts. We present the system design in the paper, which solves three technical challenges, i.e., incomplete states, scalability and extensibility. We have implemented a prototype system named EthScope to solve these challenges. In particular, the first component Data Aggregator collects and recovers critical blockchain states. The second component Replay Engine is able to {replay} arbitrary and a large number of transactions. The third component Instrumentation Framework exposes interfaces for an analyst to dynamically instrument smart contracts and introspect the execution of suspicious transactions. The comprehensive evaluation with six types of attacks demonstrated the effectiveness of our system. The performance evaluation shows that our system can perform a large-scale analysis on suspicious transactions (more than 8 million ones) and has a speed up of around 2,300x compared with the JSTracer provided by Go-Ethereum. To engage the community, we will release our system and a dataset of detected attacks on https://github.com/zjuicsr/ethscope.

研究の動機と目的

• Ethereumにおける悪意あるスマートコントラクトを検出するためのスケーラブルで拡張可能なシステムの不足に対処すること。
• 不完全なブロックチェーン状態やスケーラビリティの制限を克服することで、大規模な取引データセットの効率的分析を可能にすること。
• アナリストがスクリプトベースのインターフェースを用いて、不審なコントラクト実行を動的にインストルメンテーションし、内省できる柔軟なインターフェースを提供すること。
• 再実行可能で状態を回復した取引分析を通じて、多様な攻撃パターンを包括的に検出すること。

提案手法

• データアグリゲーター部は、オンチェーンデータから重要なブロックチェーン状態を収集・再構築し、完全な実行コンテキストを保証します。
• リプレイエンジンは、回復した状態を用いて、任意かつ多数の取引を高スループットで再実行可能であり、一貫した実行動作を保証します。
• インストルメンテーションフレームワークは、実行時インターフェースを公開し、アナリストが再実行中にスマートコントラクトに監視ロジックを挿入できるようにします。これにより、動的な動作内省が可能になります。
• システムは、状態回復、取引再実行、動的インストルメンテーションを統合した一貫したパイプラインとして、取引中心のセキュリティ分析を実現します。
• アナリストが提供するスクリプトを用いて検出ロジックを拡張可能であり、悪意ある行動の柔軟で拡張可能な分析を可能にします。
• フレームワークはプロトタイプとして実装され、実世界の攻撃パターンおよび大規模な取引セットを用いて評価されました。

実験結果

リサーチクエスチョン

• RQ1 完全に再実行しなおさずに、スケーラブルに大規模なEthereum取引の悪意ある行動を効率的に分析するにはどうすればよいですか？
• RQ2 スケーラブルにセキュリティ分析を実行する上で、正確な状態回復と取引再実行を実現するメカニズムは何か？
• RQ3 不審なコントラクト実行を内省するための拡張可能で動的なインストルメンテーション機能をアナリストに提供するにはどうすればよいですか？
• RQ4 取引中心のフレームワークは、既存のシステムに比べて、速度と検出精度の面でどの程度優れていますか？
• RQ5 このアプローチを用いることで、多様な取引ワークロードにおいて、どのような種類のスマートコントラクト攻撃を効果的に検出できるでしょうか？

主な発見

• 800万件以上の取引を分析した際、EthScopeはJSTracerに比べ2,300倍の性能向上を達成しました。
• 包括的な評価において、システムは6種類の異なる種類のスマートコントラクト攻撃を正常に検出しました。
• データアグリゲーター部は、正確な取引再実行に不可欠な重要なブロックチェーン状態を効果的に回復しました。
• リプレイエンジンは大規模な取引バッチの高スループット実行を可能にし、スケーラビリティを実証しました。
• インストルメンテーションフレームワークにより、アナリストは動的に監視ロジックを挿入し、不審な取引の実行フローを観察できました。
• プロトタイプシステムは、コミュニティ研究の支援と再現可能性を目的として、検出済み攻撃のデータセットとともに公開されました。