[논문 리뷰] DEPOSafe: Demystifying the Fake Deposit Vulnerability in Ethereum Smart Contracts

Ru Ji, Ningyu He외 4명|arXiv (Cornell University)|2020. 06. 11.

Blockchain Technology Applications and Security참고 문헌 21인용 수 5

한 줄 요약

이 논문은 심볼릭 실행과 동적 행동 모델링을 사용하여 이더리움 ERC-20 스마트 계약에서 위조 예금 취약성을 자동으로 탐지하고 검증하는 도구인 DEPOSafe를 소개한다. 이 도구는 176,000개의 계약을 분석하여 7,000개 이상의 취약한 계약을 식별했으며, 특히 검증이 약한 중앙집중식 거래소에서 광범위한 위험이 있음을 드러내며 블록체인 생태계 전반에 걸친 심각한 보안 위협을 보여준다.

ABSTRACT

Cryptocurrency has seen an explosive growth in recent years, thanks to the evolvement of blockchain technology and its economic ecosystem. Besides Bitcoin, thousands of cryptocurrencies have been distributed on blockchains, while hundreds of cryptocurrency exchanges are emerging to facilitate the trading of digital assets. At the same time, it also attracts the attentions of attackers. Fake deposit, as one of the most representative attacks (vulnerabilities) related to exchanges and tokens, has been frequently observed in the blockchain ecosystem, causing large financial losses. However, besides a few security reports, our community lacks of the understanding of this vulnerability, for example its scale and the impacts. In this paper, we take the first step to demystify the fake deposit vulnerability. Based on the essential patterns we have summarized, we implement DEPOSafe, an automated tool to detect and verify (exploit) the fake deposit vulnerability in ERC-20 smart contracts. DEPOSafe incorporates several key techniques including symbolic execution based static analysis and behavior modeling based dynamic verification. By applying DEPOSafe to 176,000 ERC-20 smart contracts, we have identified over 7,000 vulnerable contracts that may suffer from two types of attacks. Our findings demonstrate the urgency to identify and prevent the fake deposit vulnerability.

연구 동기 및 목표

• 실제 공격으로 인한 심각한 재정적 손실을 야기한 이더리움 ERC-20 스마트 계약에서의 위조 예금 취약성을 체계적으로 특성화하는 것.
• 특히 중앙집중식 거래소(CEXes)와의 연관성을 고려하여 이 취약성이 이더리움 생태계 전반에 끼치는 규모와 영향을 측정하는 것.
• 고정밀도로 위조 예금 취약성을 탐지하고 검증할 수 있는 자동화된 도구인 DEPOSafe를 개발하는 것.
• 개발자, 거래소 및 규제 기관이 이나약하게 평가받는 이 취약성의 보편성과 심각성에 대해 인식을 높이는 것.
• 스마트 계약 개발자와 거래소 운영자들이 악용을 방지하기 위한 실천 가능한 대응 전략을 제공하는 것.

제안 방법

• 심볼릭 실행 기반 정적 분석을 사용하여 Mythril을 활용해 ERC-20 계약에서 잠재적인 취약성 패tern을 탐지하는 방법.
• 토큰과 거래소 간의 예금 상호작용을 시뮬레이션하는 동적 검증기 구축으로 정적 분석에서 발생하는 오류 경고를 줄이는 방법.
• 두 가지 공격 유형을 식별: 유형-I(토큰 수준의 결함)와 유형-II(불완전한 거래소 검증), 각각 다른 탐지 기준을 가짐.
• 2015년 7월부터 2020년 3월까지 배포된 176,000개의 ERC-20 계약을 대상으로 전송 및 전송From 기능의 구현을 중심으로 분석.
• 거래 흐름을 시뮬레이션하고 일관성 없는 반환 동작 또는 누락된 예외 여부를 점검함으로써 탐지된 취약성을 검증하는 프레임워크.
• 스마트 계약 감사 파이프라인에 통합하기 위해 확장성과 실용성을 고려한 접근 방식.

실험 결과

연구 질문

• RQ1 ERC-20 스마트 계약에서 위조 예금 취약성을 유발하는 핵심적 구현 패턴은 무엇인가?
• RQ2 이더리움 ERC-20 생태계 전반에서 위조 예금 취약성은 얼마나 광범위하게 퍼져 있는가?
• RQ3 특히 약한 거래소 검증과 결합되었을 경우 이 취약성의 재정적 및 운영적 영향은 어떠한가?
• RQ4 고정밀도로 위조 예금 취약성을 효과적으로 탐지하고 검증할 수 있는 자동화된 도구가 가능한가?
• RQ5 정적 탐지에서 오류 경고가 발생하는 근본 원인은 무엇이며, 동적 검증은 신뢰성을 어떻게 향상시킬 수 있는가?

주요 결과

• DEPOSafe는 유형-II 위조 예금 공격에 취약한 7,716개의 ERC-20 스마트 계약을 식별했으며, 이는 공격자가 악용하기 위해 거래소의 결함 있는 검증이 필요하다.
• 이 중 56개 토큰은 총 시가 총액이 11억 달러를 초과했고, 695,000명 이상의 보유자와 460만 건 이상의 거래를 기록해 막대한 노출 위험을 드러냈다.
• 연구 분석 결과, 비표준 ERC-20 구현, 특히 잘못된 전송 및 전송From 기능으로 인해 7,000개 이상의 계약이 유형-I 공격에 취약하다고 밝혀졌다.
• 많은 계약들이 실패 시 예외를 던지지 않고 불리언 값을 반환함으로써 공격자가 잔액과 승인 확인을 우회할 수 있게 되었다.
• 분석 결과, 예금 거래의 백엔드 검증이 부족하여 많은 거래소가 위조 예금 공격에 취약할 수 있음을 확인했다.
• 이러한 발견들은 중앙집중식 거래소에서 더 나은 검증 메커니즘을 도입하고 개발자들이 ERC-20 표준을 더 엄격히 준수할 필요성이 급박히 필요하다는 점을 강조한다.