[論文レビュー] Smart Contract Vulnerabilities: Does Anyone Care?

Daniel Pérez, Benjamin Livshits|arXiv (Cornell University)|Feb 18, 2019

Blockchain Technology Applications and Security参考文献 15被引用数 30

ひとこと要約

この論文は、6つの学術的プロジェクトによって脆弱性として特定された21,270件のスマートコントラクトを分析し、実際に攻撃されたのはわずか504件（2.4％未満）にとどまり、最大9,066ETH（約180万ドル）の損失にとどまった。この研究は、スマートコントラクトの脆弱性が広範な財務的リスクをもたらすという認識に疑問を呈し、実際の影響が著しく誇張されている可能性を示唆している。

ABSTRACT

In the last year we have seen a great deal of both academic and practical interest in the topic of vulnerabilities in smart contracts, particularly those developed for the Ethereum blockchain. In this paper we survey the 21,270 vulnerable contracts reported by six recent academic projects. Contrary to what might have been believed given the reported number of vulnerable contracts, there has been precious little in terms of actual exploitation when it comes to these vulnerabilities. We find that at most 504 out of 21,270 contracts have been subjected to exploits. This corresponds to at most 9,066 ETH (~1.8 million USD), or only 0.29% of the 3 million ETH (600 million USD) claimed in some of the papers. While we are certainly not implying that smart contract vulnerability research is without merit, our results suggest that the potential impact of vulnerable code had been greatly exaggerated.

研究の動機と目的

• 学術論文で報告されたスマートコントラクト脆弱性の実世界における悪用率を評価すること。
• スマートコントラクト脆弱性に関する広範な懸念が、実際に発生した財務的損失によって正当化されているかどうかを評価すること。
• 脆弱性の理論的リスクと、実際の生産環境におけるスマートコントラクトでの悪用事例を比較すること。
• イーサリアムエコシステムにおいて、報告された脆弱性と実際に発生した攻撃との間に生じる乖離を調査すること。

提案手法

• 6つの最近の学術的脆弱性検出プロジェクトによって報告された21,270件の脆弱なスマートコントラクトを収集した。
• ブロックチェーン分析を用いて、これらのコントラクトのオンチェーン活動を追跡し、悪用イベントの有無を特定した。
• 悪用試行中に脆弱なコントラクトから引き出された合計ETH量を計算することで、財務的損失を測定した。
• 報告された潜在的リスク（300万ETH）と実際の損失（約9,066ETH）を比較した。

実験結果

リサーチクエスチョン

• RQ1 報告された21,270件のスマートコントラクト脆弱性のうち、実際に悪用された割合はどれくらいか？
• RQ2 これらの報告された脆弱性の悪用によって、実際にどれほどの財務的損失が生じたか？
• RQ3 学術論文がスマートコントラクト脆弱性の実世界への影響をどれほど誇張しているか？
• RQ4 報告された脆弱性の数と実際に発生した悪用イベントとの間には、なぜこのような大きな開きが生じるのか？

主な発見

• 報告された21,270件のスマートコントラクト脆弱性のうち、実際に悪用されたのは504件にとどまり、悪用率は2.37％であった。
• 悪用による合計財務的損失は最大9,066ETHにとどまり、研究当時の為替レートで約180万ドル相当であった。
• これは、一部の学術論文で「潜在的リスク」として主張された300万ETH（6億ドル）の0.29％にすぎない。
• この研究は、スマートコントラクト脆弱性の実際の財務的影響が、学術的議論において著しく誇張されていると結論づけている。
• 広範な学術的注目を浴びながらも、報告された脆弱性の実世界での悪用は依然としてまれで、影響度も低い。