[論文レビュー] Flash Crash for Cash: Cyber Threats in Decentralized Finance

Kris Oosthoek|arXiv (Cornell University)|Jun 20, 2021

Blockchain Technology Applications and Security参考文献 24被引用数 6

ひとこと要約

本論文は、分散型金融（DeFi）における現実世界のセキュリティインシデントの最初の包括的分析を提示し、攻撃者が連携するプロトコルを介して弱いビジネスロジックを悪用し、クロスプロトコルのクレジットとコンポジビリティを活用して『フラッシュクラッシュ』を引き起こし、利益を得る傾向が高まっていることを明らかにしている。研究では、市場ベースの攻撃が主要な脅威ベクトルであることが特定され、許可なしのコンポジビリティがDeFiエコシステムに対して武器化されていることが示された。

ABSTRACT

Decentralized Finance (DeFi) took shape in 2020. An unprecedented amount of over 14 billion USD moved into DeFi projects offering trading, loans and insurance. But its growth has also drawn the attention of malicious actors. Many projects were exploited as quickly as they launched and millions of USD were lost. While many developers understand integer overflows and reentrancy attacks, security threats to the DeFi ecosystem are more complex and still poorly understood. In this paper we provide the first overview of in-the-wild DeFi security incidents. We observe that many of these exploits are market attacks, weaponizing weakly implemented business logic in one protocol with credit provided by another to inflate appropriations. Rather than misusing individual protocols, attackers increasingly use DeFi's strength of permissionless composability against itself. By providing the first holistic analysis of real-world security incidents within the nascent financial ecosystem DeFi is, we hope to inform threat modeling in decentralized cryptoeconomic initiatives in the years ahead.

研究の動機と目的

• DeFiにおける脅威の進化する状況を理解すること、特に個々のプロトコルの脆弱性ではなく、コンポジビリティを悪用する攻撃に焦点を当てる。
• 誤ったビジネスロジックとクロスプロトコル依存関係に起因する現実世界のDeFiセキュリティインシデントを特定・分類すること。
• 攻撃者が1つのプロトコルからのクレジットを活用して、別のプロトコルでのポジションを膨張させ、システム全体の市場操作を実行する方法を明らかにすること。
• 実際の攻撃事例を分析することで、今後の分散型暗号経済システムにおける脅威モデルの構築を支援すること。

提案手法

• 2020年から2021年にかけて報告された30件以上の現実世界のDeFiエクスプロイトを体系的に分析した。
• 再入可能攻撃や整数オーバーフローのようなスマートコントラクトバグではなく、市場操作技術に焦点を当てた攻撃ベクトルに基づいてインシデントを分類した。
• 攻撃者が1つのプロトコルからの流動性とクレジットを活用して、別のプロトコルでの価格操作を実行する方法を分析した。
• 取引フローとオンチェーンデータを分析し、攻撃パターンを再構築し、DeFiアーキテクチャにおける共通の構造的弱みを同定した。
• 攻撃タイプの分類法を用い、『キャッシュを得るためのフラッシュクラッシュ』を、新しいシステム的脅威パターンとして強調した。
• 公表されたエクスプロイトレポート、ブロックチェーンフォレンジックス、プロトコルのドキュメンテーションを活用して、観察された攻撃メカニズムの妥当性を検証した。

実験結果

リサーチクエスチョン

• RQ1 攻撃者はDeFiにおけるコンポジビリティをどのように悪用し、個々のスマートコントラクトの脆弱性ではなく、システム全体の市場操作を実現しているのか？
• RQ2 クロスプロトコルクレジットは、フラッシュクラッシュ攻撃を可能にする上で果たす役割は何か？
• RQ3 なぜビジネスロジックの欠陥は、従来のスマートコントラクト脆弱性よりも危険性が高いか？
• RQ4 現実世界のDeFiエクスプロイトは、理論的攻撃モデルと比較して、実行方法や影響の面でどのように異なるか？
• RQ5 DeFiにおけるどのような構造的設計パターンが、連携された市場ベースの攻撃に対して脆弱であるか？

主な発見

• 2020年から2021年の間のDeFiエクスプロイトの多くは、コードレベルの脆弱性ではなく、プロトコル設計における誤ったビジネスロジックに起因していた。
• 攻撃者は、許可なしのコンポジビリティを活用して複数のプロトコルを連結し、一方を流動性の源、他方を価格操作の標的として利用する傾向が高まっている。
• 『キャッシュを得るためのフラッシュクラッシュ』パターンは、1つのプロトコルから借りた資金を用いて、別のプロトコルでの価格差益を狙い、債務を返済した後、利益を獲得するものである。
• 多くの攻撃が成功したのは、外部システムを信頼すると仮定したが、その経済的インcentiveやリスク露出を検証しなかったためである。
• 研究では、2020年に140億ドル以上の価値がDeFiプロジェクトに流入したが、孤立したバグではなく、システム全体の設計欠陥に起因するため、数百万ドルの損失が発生したことが判明した。
• 分析から、攻撃者が価格オラクルのレジlienceの欠如や、クロスプロトコル取引におけるセーフティブレーカの欠如を悪用していることが明らかになった。