[논문 리뷰] Bet and Attack: Incentive Compatible Collaborative Attacks Using Smart Contracts

Zahra Motaqy, Ghada Almashaqbeh외 2명|arXiv (Cornell University)|2020. 10. 23.

Blockchain Technology Applications and Security참고 문헌 20인용 수 4

한 줄 요약

이 논문은 블록체인 생태계 외부의 실제 대상(예: DDoS 공격)을 대상으로 하는 신뢰 없이도 기여도에 비례해 협력하는 (가짜)익명 공격자들이 베팅 메커니즘을 통해 조율되는 스마트 컨트랙트 기반 프레임워크를 제안한다. 보상은 베팅 규모에 따라 결정되며, 전략 증명 가능성과 예산 균형을 입증함으로써 공격자들이 자신의 베팅 비율에 비례해 협력하도록 보장함으로써, 균형 상태에서 예측 가능하고 공정한 결과를 달성한다.

ABSTRACT

Smart contract-enabled blockchains allow building decentralized applications in which mutually-distrusted parties can work together. Recently, oracle services emerged to provide these applications with real-world data feeds. Unfortunately, these capabilities have been used for malicious purposes under what is called criminal smart contracts. A few works explored this dark side and showed a variety of such attacks. However, none of them considered collaborative attacks against targets that reside outside the blockchain ecosystem. In this paper, we bridge this gap and introduce a smart contract-based framework that allows a sponsor to orchestrate a collaborative attack among (pseudo)anonymous attackers and reward them for that. While all previous works required a technique to quantify an attacker's individual contribution, which could be infeasible with respect to real-world targets, our framework avoids that. This is done by developing a novel scheme for trustless collaboration through betting. That is, attackers bet on an event (i.e., the attack takes place) and then work on making that event happen (i.e., perform the attack). By taking DDoS as a usecase, we formulate attackers' interaction as a game, and formally prove that these attackers will collaborate in proportion to the amount of their bets in the game's unique equilibrium. We also model our framework and its reward function as an incentive mechanism and prove that it is a strategy proof and budget-balanced one. Finally, we conduct numerical simulations to demonstrate the equilibrium behavior of our framework.

연구 동기 및 목표

• 블록체인 생태계 외부의 실제 대상에 대한 공격을 가능하게 함으로써 기존 범죄용 스마트 컨트랙트(CSC) 연구의 격차를 해소하기 위해.
• 암호학적 증명이 불가능한 실제 공격에서 개별 공격자의 기여도를 검증할 수 있는 문제를 해결하기 위해.
• 기여도 측정이 불필요한 신뢰 없는, 인센티브 호환 메커니즘을 설계하기 위해.
• 공격을 게임으로 모델링하고, 유일한 내쉬 균형에서 공격자들이 자신의 베팅 비율에 비례해 협력할 것임을 입증하기 위해.
• 수치 시뮬레이션을 통해 타당성을 입증하고, 메커니즘이 전략 증명 가능하고 예산 균형을 만족함을 보여주기 위해.

제안 방법

• 공격자들이 실제 공격(예: DDoS)의 성공 여부에 베팅하는 베팅 메커니즘을 사용하며, 보상은 베팅 규모에 연동된다.
• 공격자 간 상호작용을 비협력 게임으로 모델링하고, 베팅 규모에 비례해 협력하는 고유한 내쉬 균형이 존재함을 입증한다.
• 공격자들이 자신의 베팅 규모를 잘못 보고해도 이득을 볼 수 없는 전략 증명 가능한 보상 함수를 설계한다.
• 예산 균형을 확보한다: 지급되는 총 보상은 공격자들이 기여한 총 금액을 초과하지 않는다.
• 인centive를 조율하기 위해 메커니즘 설계 접근법을 사용하여 개인의 이성과 공정성을 보장한다.
• 수치 시뮬레이션을 통해 θ(총 베팅액이 스폰서 수상금에 대한 비율)와 γ(공격 비용이 수상금에 대한 비율) 등의 파라미터를 사용해 시스템 행동을 평가한다.

실험 결과

연구 질문

• RQ1 스마트 컨트랙트가 실질적인 기여도를 검증할 수 없는 상황에서, 실세계 대상에 대해 신뢰 없이 익명으로 조율된 공격을 가능하게 할 수 있는가?
• RQ2 베팅 규모에 비례해 협력하도록 보장하는 신뢰 없는, 인센티브 호환 메커니즘은 어떻게 설계할 수 있는가?
• RQ3 제안된 보상 메커니즘은 전략 증명 가능할까? 즉, 공격자들이 자신의 베팅 규모를 과장하거나 축소해도 이득을 볼 수 없는가?
• RQ4 총 베팅액과 공격 비용과 같은 파라미터를 조절함으로써 공격 결과를 예측하고 제어할 수 있는가?
• RQ5 메커니즘은 예산 균형과 보상 분배의 공정성을 보장하는가?

주요 결과

• 유일한 내쉬 균형에서 공격자들은 자신의 베팅 규모에 비례해 협력함으로써, 기여도와 보상의 인cent리브가 일치함을 보장한다.
• θ = 1일 때, 제곱형 보상 함수는 같은 총 베팅 수준에서 선형 함수보다 훨씬 더 많은 공격 기여를 유도하며, 약 90%의 원하는 공격 결과를 달성한다.
• θ = 1일 때, 제곱형 메커니즘은 스폰서의 수상금의 75%를 배분하고, 공격자들이 총 공격 비용의 약 80%를 감당함으로써 높은 효율성과 공정성을 보여준다.
• θ가 증가함에 따라 공격 결과와 공정성 점수 모두 향상되며, 공정성 점수는 원하는 공격 임계값을 초과함에도 불구하고 계속 증가한다.
• 공격 비용(γ)이 높아질수록 총 베팅액(θ)이 증가하므로, 방어자는 운영 비용을 높임으로써 공격를 억제할 수 있다.
• 약간의 조건 하에서도 개인의 이성성 조건을 만족한다: θ와 γ가 타당한 범위에 있을 경우 공격자들은 비음수의 기대 유용성을 기대할 수 있다.