[논문 리뷰] Flash Crash for Cash: Cyber Threats in Decentralized Finance

Kris Oosthoek|arXiv (Cornell University)|2021. 06. 20.

Blockchain Technology Applications and Security참고 문헌 24인용 수 6

한 줄 요약

이 논문은 탈중앙화된 금융(DeFi)에서 실제 발생한 보안 사고에 대한 최초의 종합적 분석을 제시하며, 악성 행위자들이 상호 연결된 프로토콜을 통해 약한 비즈니스 로직을 악용하고, 크로스프로토콜 신용과 조합성(composability)을 활용해 금융적 이득을 취하기 위해 '플래시 크래시'를 유도하고 있음을 드러낸다. 이 연구는 시장 기반 공격을 주요 위협 벡터로 규명하며, 허가 없는 조합성이 DeFi 생태계에 악용되는 방식을 설명한다.

ABSTRACT

Decentralized Finance (DeFi) took shape in 2020. An unprecedented amount of over 14 billion USD moved into DeFi projects offering trading, loans and insurance. But its growth has also drawn the attention of malicious actors. Many projects were exploited as quickly as they launched and millions of USD were lost. While many developers understand integer overflows and reentrancy attacks, security threats to the DeFi ecosystem are more complex and still poorly understood. In this paper we provide the first overview of in-the-wild DeFi security incidents. We observe that many of these exploits are market attacks, weaponizing weakly implemented business logic in one protocol with credit provided by another to inflate appropriations. Rather than misusing individual protocols, attackers increasingly use DeFi's strength of permissionless composability against itself. By providing the first holistic analysis of real-world security incidents within the nascent financial ecosystem DeFi is, we hope to inform threat modeling in decentralized cryptoeconomic initiatives in the years ahead.

연구 동기 및 목표

• DeFi의 진화하는 위협 환경을 이해하고, 개별 프로토콜의 취약성보다는 조합성을 악용하는 공격에 초점을 맞춘다.
• 틀어진 비즈니스 로직과 크로스프로토콜 종속성에서 기인한 실제 DeFi 보안 사고를 식별하고 분류한다.
• 공격자들이 한 프로토콜의 신용을 활용해 다른 프로토콜의 포지션을 부풀림으로써 체계적 시장 조작을 어떻게 수행하는지 설명한다.
• 실제 악용 사례를 분석하여 향후 탈중앙화된 암호경제 시스템의 위협 모델링에 기여한다.

제안 방법

• 2020년에서 2021년 사이에 보고된 30宗 이상의 실제 DeFi 악용 사례에 대한 체계적 분석을 수행한다.
• 재entrancy나 정수 오버플로우와 같은 스마트 계약 버그가 아닌, 주로 시장 조작 기법에 초점을 맞춰 공격 벡터를 분류한다.
• 공격자들이 한 프로토콜의 Liquidity와 신용을 활용해 다른 프로토콜의 가격을 조작하는 방식으로 조합성을 악용하는 방식을 분석한다.
• 거래 흐름과 블록체인 데이터를 분석하여 공격 패tern을 재구성하고 DeFi 아키텍처의 공통적인 구조적 취약점을 규명한다.
• 공격 유형의 분류 체계를 활용하며, '캐시를 위한 플래시 크래시'를 새로운 체계적 위협 패턴으로 강조한다.
• 공개된 악용 보고서, 블록체인 포렌식, 프로토콜 문서를 바탕으로 관찰된 공격 메커니즘을 검증한다.

실험 결과

연구 질문

• RQ1 공격자들이 개별 스마트 계약을 타겟으로 삼는 대신, DeFi에서 조합성을 어떻게 악용하여 체계적 시장 조작을 유도하는가?
• RQ2 크로스프로토콜 신용은 플래시 크래시 공격을 어떻게 가능하게 하는가?
• RQ3 왜 비즈니스 로직 결함은 DeFi에서 기존의 스마트 계약 취약성보다 더 위험한가?
• RQ4 실제 DeFi 악용 사례는 실행 방식과 영향 측면에서 이론적 공격 모델과 어떻게 다를까?
• RQ5 DeFi에서 공격자들이 조율된 시장 기반 공격에 취약하게 만들고 있는 구조적 설계 패턴은 무엇인가?

주요 결과

• 2020–2021년 동안의 DeFi 악용 사고 중 다수는 코드 수준의 취약성 때문이 아니라 프로토콜 설계의 잘못된 비즈니스 로직 탓이었다.
• 공격자들은 점점 더 허가 없는 조합성을 활용해 프로토콜을 연결하며, 하나는 유동성 원천으로, 다른 하나는 가격 조작 대상으로 삼는다.
• '플래시 크래시를 통한 현금 확보' 패턴은 한 프로토콜에서 빌린 자본을 활용해 다른 프로토콜의 가격 격차를 악용하고, 빚을 갚은 후 이윤을 챙기는 방식이다.
• 많은 공격가 성공한 이유는 프로토콜들이 외부 시스템을 신뢰하면서도, 상호 연결된 구성 요소의 경제적 인centive나 리스크 노출을 검증하지 않았기 때문이다.
• 연구는 2020년 동안 DeFi 프로젝트에 약 140억 달러의 자금이 유입되었지만, 고립된 버그가 아니라 체계적 설계 결함 탓에 수백만 달러가 손실되었다고 규명했다.
• 분석 결과, 공격자들이 가격 오라클의 회복력 부족과 크로스프로토콜 거래에서의 서킷 브레이커 부재를 악용하는 경우가 많다는 점을 확인했다.