[논문 리뷰] DeFiRanger: Detecting Price Manipulation Attacks on DeFi Applications

Siwei Wu, Dabao Wang외 6명|arXiv (Cornell University)|2021. 04. 30.

Blockchain Technology Applications and Security참고 문헌 36인용 수 30

한 줄 요약

DeFiRanger는 현금 흐름 트리와 시맨틱 리프팅을 통해 이더리움 거래로부터 고수준 DeFi 시맨틱스를 복구하고 DeFi 애플리케이션의 직접 및 간접 가격 조작 공격을 탐지합니다. $350M$건 이상의 거래를 평가하고 실제 공격 432건을 발견했습니다.

ABSTRACT

The rapid growth of Decentralized Finance (DeFi) boosts the Ethereum ecosystem. At the same time, attacks towards DeFi applications (apps) are increasing. However, to the best of our knowledge, existing smart contract vulnerability detection tools cannot be directly used to detect DeFi attacks. That's because they lack the capability to recover and understand high-level DeFi semantics, e.g., a user trades a token pair X and Y in a Decentralized EXchange (DEX). In this work, we focus on the detection of two types of new attacks on DeFi apps, including direct and indirect price manipulation attacks. The former one means that an attacker directly manipulates the token price in DEX by performing an unwanted trade in the same DEX by attacking the vulnerable DeFi app. The latter one means that an attacker indirectly manipulates the token price of the vulnerable DeFi app (e.g., a lending app). To this end, we propose a platform-independent way to recover high-level DeFi semantics by first constructing the cash flow tree from raw Ethereum transactions and then lifting the low-level semantics to high-level ones, including token trade, liquidity mining, and liquidity cancel. Finally, we detect price manipulation attacks using the patterns expressed with the recovered DeFi semantics. We have implemented a prototype named ool{} and applied it to more than 350 million transactions. It successfully detected 432 real-world attacks in the wild. We confirm that they belong to four known security incidents and five zero-day ones. We reported our findings. Two CVEs have been assigned. We further performed an attack analysis to reveal the root cause of the vulnerability, the attack footprint, and the impact of the attack. Our work urges the need to secure the DeFi ecosystem.

연구 동기 및 목표

• 코드 취약점 탐지를 넘어 DeFi 가격 조작 공격을 탐지해야 함을 제고한다.
• 원시 이더리움 거래에서 고수준 DeFi 시맨틱스를 복구하는 플랫폼 독립적 방법을 개발한다.
• 대규모로 직접 및 간접 가격 조작 공격을 탐지하기 위한 실용적인 시스템(DeFiRanger)을 제안한다.
• 대규모 트랜잭션 데이터에서 시맨틱스 복구 정확도와 실제 공격 탐지 성능을 평가한다.
• 취약한 DeFi 애플리케이션에 대한 근본 원인과 영향력을 이해하기 위한 공격 분석을 제공한다.

제안 방법

• 원시 이더리움 거래로부터 토큰 전송 및 계약 간 상호 작용을 나타내는 현금 흐름 트리(CFT)를 구성한다.
• 관련 토큰 전송 동작에 집중하기 위해 불필요한 내부 거래를 제거한다(토큰 전송을 기본 단위로 삼음).
• CFT로부터 유동성 채굴, 유동성 취소, 거래 등 고수준 DeFi 액션을 복구하기 위해 시맨틱 리프를 수행한다.
• DeFi 액션을 정의하고 회복된 시맨틱에서 패턴 기반 규칙을 사용해 가격 조작 공격(직접 및 간접)을 탐지한다.
• 정확한 CFT 구성을 위해 내부 상태 및 실행 순서 데이터를 수집하기 위해 수정된 이더리움 노드를 배포한다.
• Etherscan에 대한 시맨틱 복구를 평가하고 수억 건의 거래에 대해 대규모 공격 탐지를 수행한다.

실험 결과

연구 질문

• RQ1 저수준 이더리움 거래로부터 고수준 DeFi 시맨틱스를 어떻게 복구하여 DeFi 공격에 대한 방어를 가능하게 할 수 있는가?
• RQ2 플랫폼 독립적 시맨틱 리프 방법이 DeFi 앱에서 직접 및 간접 가격 조작 공격을 모두 탐지할 수 있는가?
• RQ3 현실 세계에서의 실전 공격과 제로데이 공격의 대규모 탐지에서 DeFiRanger의 효과는 얼마나 되는가?
• RQ4 탐지된 가격 조작 사건의 일반적인 근본 원인과 공격 흔적은 무엇인가?

주요 결과

• DeFiRanger는 $350,823,625$건 이상의 거래에서 현장에서 432건의 실거래 가격 조작 공격을 탐지했습니다.
• The attacks belong to four known security incidents and five zero-day incidents, with total losses around $39M$ USD.
• 시맨틱 리프는 Etherscan보다 더 많은 DeFi 시맨틱스를 식별하고 더 낮은 거짓 음성률(false negative rate)을 보이며 DeFi 액션의 커버리지가 개선되었음을 시사합니다.
• 보고 후 두 개의 CVE가 할당되어 실용적 보안 영향력을 보여줍니다.
• 공격 분석은 인터페이스에 대한 불충분한 접근 제어와 불안정한 가격 의존도를 근본 원인으로 제시하며, 공격자들은 성숙하고 추적 가능한 전략을 보인다.