[논문 리뷰] Characterizing Cryptocurrency Exchange Scams

Pengcheng Xia, Bowen Zhang외 6명|arXiv (Cornell University)|2020. 03. 16.

Spam and Phishing Detection참고 문헌 22인용 수 7

한 줄 요약

이 논문은 암호화폐 거래소 사기의 첫 번째 체계적 연구를 제시하며, 기존 보고 자료와 자동화된 철자 오류 스푸핑 탐지 기법을 융합한 하이브리드 접근 방식을 통해 1,595개의 사기 도메인과 323개의 위조 앱을 식별한다. 연구 결과, 94개의 사기 도메인 가족과 30개의 위조 앱 가족이 소수의 공격자 집단에 의해 제어되고 있으며, 이로 인해 최소 $520,000의 재정적 손실이 발생했으며, 위조 앱이 기존 보안 점검을 우회해 구글 플레이와 같은 주요 앱 마켓에 침투한 것으로 드러났다.

ABSTRACT

As the indispensable trading platforms of the ecosystem, hundreds of cryptocurrency exchanges are emerging to facilitate the trading of digital assets. While, it also attracts the attentions of attackers. A number of scam attacks were reported targeting cryptocurrency exchanges, leading to a huge mount of financial loss. However, no previous work in our research community has systematically studied this problem. In this paper, we make the first effort to identify and characterize the cryptocurrency exchange scams. We first identify over 1,500 scam domains and over 300 fake apps, by collecting existing reports and using typosquatting generation techniques. Then we investigate the relationship between them, and identify 94 scam domain families and 30 fake app families. We further characterize the impacts of such scams, and reveal that these scams have incurred financial loss of 520k US dollars at least. We further observe that the fake apps have been sneaked to major app markets (including Google Play) to infect unsuspicious users. Our findings demonstrate the urgency to identify and prevent cryptocurrency exchange scams. To facilitate future research, we have publicly released all the identified scam domains and fake apps to the community.

연구 동기 및 목표

• growing financial impacts 尽管, 암호화폐 거래소 사기의 체계적 식별 및 특성 분석을 위해.
• 암호화폐 거래소를 대상으로 하는 사기 도메인과 위조 앱의 규모, 구조, 운영 패턴을 밝혀내기 위해.
• 블록체인 주소 추적을 통해 이러한 사기의 실제 재정적 영향을 분석하기 위해.
• 위조 앱이 어떻게 보안 점검을 우회하고 주요 앱 마켓(예: 구글 플레이)에 침투하는지 밝혀내기 위해.
• 향후 연구 및 탐지 노력 지원을 위해, 사기 도메인과 앱의 포괄적인 공개 데이터셋을 제공하기 위해.

제안 방법

• 기존의 사기 보고 자료를 수집하고, 자동화된 철자 오류 스푸핑 생성 기법을 활용해 이전에 알려지지 않은 사기 도메인을 탐지하였다.
• Koodous에서 위조 앱을 확보하고, Janus와 Androzoo와 같은 주요 앱 레포지토리와의 교차 확인을 통해 공식 마켓 내 존재 여부를 탐지하였다.
• 사기 도메인과 위조 앱을 구조적 및 행동적 유사성 기반으로 군집화하여 공격자 집단을 식별하였다.
• 사기 도메인 및 앱과 연결된 블록체인 주소를 추적하여 자금 흐름을 분석하고 재정적 영향을 추정하였다.
• 수작업 분석과 히وري스틱 기법을 활용해 사기 자산을 검증하고 분류하였으며, 도메인 유사성과 앱 메타데이터를 포함하였다.
• 연구 공동체가 사용할 수 있도록, 모든 식별된 사기 도메인과 위조 앱의 포괄적인 데이터셋을 https://cryptoexchangescam.github.io/ScamDataset/ 에 공개하였다.

실험 결과

연구 질문

• RQ1 암호화폐 거래소 사기의 진정한 규모와 구조는 무엇이며, 사기 도메인과 위조 앱을 포함해 어떻게 구성되어 있는가?
• RQ2 사기 도메인과 위조 앱은 어떻게 연관되어 있으며, 배후에 있는 공격자 집단은 누구인가?
• RQ3 위조 앱이 구글 플레이와 같은 주요 앱 마켓에 얼마나 깊이 침투했는가? 기존 보안 메커니즘의 효과는 어떠한가?
• RQ4 이러한 사기의 실제 재정적 영향은 무엇이며, 자금은 어떻게 세탁되거나 은폐되는가?
• RQ5 공동체는 이 데이터를 어떻게 활용해 향후 거래소 사기의 탐지 및 방지 능력을 향상시킬 수 있는가?

주요 결과

• 연구에서 1,595개의 사기 도메인을 식별하였으며, 이 중 60퍼센트 이상이 이전에 공개되지 않은 것으로 밝혀졌다.
• 총 323개의 위조 거래소 앱을 발견하였으며, 그 중 66개(20.4퍼센트)가 주요 앱 마켓에 존재했고, 이 중 60개는 구글 플레이에 있었다.
• 사기 인프라는 94개의 사기 도메인 가족과 30개의 위조 앱 가족으로 구성되어 있어, 소수의 공격자 집단이 중심적으로 제어하고 있음을 시사한다.
• 피해자들에게 최소 $520,000의 재정적 손실이 발생했으며, 이에 관련된 183개의 블록체인 주소가 사기 운영과 연결된 것으로 확인되었다.
• 공격자들은 자금 흐름을 은폐하기 위해 다수의 자금 이체 주소와 믹싱 서비스를 사용하여 추적을 어렵게 하였다.
• 기존의 앱 마켓 보안 메커니즘이 상당수의 위조 앱을 탐지하거나 차단하지 못해, 사용자에게 광범위한 위험이 존재함을 드러냈다.