[논문 리뷰] EthScope: A Transaction-centric Security Analytics Framework to Detect Malicious Smart Contracts on Ethereum.

Lei Wu, Siwei Wu외 6명|arXiv (Cornell University)|2020. 05. 17.

Blockchain Technology Applications and Security참고 문헌 19인용 수 9

한 줄 요약

EthScope는 블록체인 상태를 복구하고 대규모로 거래를 재실행하며 동적 인스트루멘테이션을 허용함으로써 악성 이더리움 스마트 컨트랙트를 효율적이고 대규모로 탐지할 수 있는 거래 중심의 보안 분석 프레임워크이다. 이는 JSTracer 대비 2,300배 빠른 속도 향상을 달성했으며, 800만 건 이상의 거래에서 여섯 가지 유형의 공격을 효과적으로 탐지하였다.

ABSTRACT

As one of the representative blockchain platforms, Ethereum has attracted lots of attacks. Due to the potential financial loss, there is a pressing need to detect malicious smart contracts and understand their behaviors. Though there exist multiple systems for smart contract analysis, they cannot efficiently analyze a large number of transactions and re-execute smart contracts to introspect malicious behaviors. In this paper, we urge for a transaction-centric security analytics framework for Ethereum, which provides an efficient way to quickly locate suspicious ones from a large number of transactions and extensible way to detect malicious smart contracts with analyst-provided scripts. We present the system design in the paper, which solves three technical challenges, i.e., incomplete states, scalability and extensibility. We have implemented a prototype system named EthScope to solve these challenges. In particular, the first component Data Aggregator collects and recovers critical blockchain states. The second component Replay Engine is able to {replay} arbitrary and a large number of transactions. The third component Instrumentation Framework exposes interfaces for an analyst to dynamically instrument smart contracts and introspect the execution of suspicious transactions. The comprehensive evaluation with six types of attacks demonstrated the effectiveness of our system. The performance evaluation shows that our system can perform a large-scale analysis on suspicious transactions (more than 8 million ones) and has a speed up of around 2,300x compared with the JSTracer provided by Go-Ethereum. To engage the community, we will release our system and a dataset of detected attacks on https://github.com/zjuicsr/ethscope.

연구 동기 및 목표

• 이더리움에서 악성 스마트 컨트랙트를 탐지하기 위한 확장성 있고 유연한 시스템의 부족을 해결하기 위해.
• 불완전한 블록체인 상태와 확장성 한계를 극복함으로써 대규모 거래 데이터셋에 대한 효율적 분석을 가능하게 하기 위해.
• 분석가가 의심스러운 컨트랙트 실행을 동적으로 인스트루먼트하고 내부 동작을 분석할 수 있도록 스크립트 기반 인터페이스를 제공하기 위해.
• 재실행 가능한 상태 복구 기반의 거래 분석을 통해 다양한 공격 패tern을 포괄적으로 탐지할 수 있도록 하기 위해.

제안 방법

• 데이터 수집기 컴포넌트는 온체인 데이터에서 핵심 블록체인 상태를 수집하고 재구성하여 완전한 실행 환경을 보장한다.
• 재실행 엔진은 복구된 상태를 사용하여 임의의 대규모 거래를 고처리량으로 재실행할 수 있게 하여 일관된 실행 동작을 보장한다.
• 인스트루멘테이션 프레임워크는 런타임 인터페이스를 노출하여 분석가가 재실행 중 스마트 컨트랙트에 모니터링 로직을 삽입할 수 있도록 하여 동적 동작 내부 분석을 가능하게 한다.
• 시스템은 상태 복구, 거래 재실행, 동적 인스트루멘테이션을 통합된 파이프라인으로 통합하여 거래 중심의 보안 분석을 수행한다.
• 분석가가 제공하는 스크립트를 통해 탐지 로직을 확장할 수 있어 악성 행동에 대한 민첩하고 확장 가능한 분석이 가능하다.
• 프레임워크는 프로토타입으로 구현되었으며, 실제 공격 패턴과 대규모 거래 세트를 대상으로 평가되었다.

실험 결과

연구 질문

• RQ1 완전한 컨트랙트 재실행 없이도 대규모 이더리움 거래를 악성 행동에 대해 효율적으로 분석할 수 있는 방법은 무엇인가?
• RQ2 확장 가능한 방식으로 보안 분석을 위해 정확한 상태 복구와 거래 재실행을 가능하게 하는 메커니즘은 무엇인가?
• RQ3 의심스러운 컨트랙트 실행을 내부 분석하기 위해 분석가가 확장 가능하고 동적 인스트루멘테이션 기능을 어떻게 제공할 수 있는가?
• RQ4 거래 중심 프레임워크가 기존 시스템 대비 성능과 탐지 정확도에서 얼마나 뛰어나게 성능을 발휘할 수 있는가?
• RQ5 이러한 접근 방식을 통해 다양한 거래 워크로드에서 어떤 종류의 스마트 컨트랙트 공격을 효과적으로 탐지할 수 있는가?

주요 결과

• EthScope는 800만 건 이상의 거래를 분석할 때 JSTracer 대비 2,300배 빠른 성능 향상을 달성하였다.
• 시스템은 종합적인 평가에서 여섯 가지 다른 유형의 스마트 컨트랙트 공격을 성공적으로 탐지하였다.
• 데이터 수집기 컴포넌트는 정확한 거래 재실행을 위해 필요한 핵심 블록체인 상태를 효과적으로 복구하였다.
• 재실행 엔진은 대규모 거래 배치의 고처리량 실행을 가능하게 하여 확장성을 입증하였다.
• 인스트루멘테이션 프레임워크는 분석가가 동적으로 모니터링 로직을 삽입하고 의심스러운 거래의 실행 흐름을 관찰할 수 있도록 하였다.
• 프로토타입 시스템은 탐지된 공격 데이터셋과 함께 공개되어 커뮤니티 연구와 재현 가능성을 지원하였다.