[논문 리뷰] Hunting the Ethereum Smart Contract: Color-inspired Inspection of Potential Attacks

TonTon Hsien-De Huang|arXiv (Cornell University)|2018. 07. 05.

Blockchain Technology Applications and Security참고 문헌 3인용 수 55

한 줄 요약

이 논문은 Solidity 바이트코드를 RGB 색상 이미지로 변환하고 CNNs를 사용(다중 레이블에 대한 전이 학습 포함)하여 Ethereum 스마트 계약의 컴파일러 버그를 자동으로 감지하고 전문가 노동 비용을 감소시킵니다.

ABSTRACT

Blockchain and Cryptocurrencies are gaining unprecedented popularity and understanding. Meanwhile, Ethereum is gaining a significant popularity in the blockchain community, mainly due to the fact that it is designed in a way that enables developers to write smart contract and decentralized applications (Dapps). This new paradigm of applications opens the door to many possibilities and opportunities. However, the security of Ethereum smart contracts has not received much attention; several Ethereum smart contracts malfunctioning have recently been reported. Unlike many previous works that have applied static and dynamic analyses to find bugs in smart contracts, we do not attempt to define and extract any features; instead we focus on reducing the expert's labor costs. We first present a new in-depth analysis of potential attacks methodology and then translate the bytecode of solidity into RGB color code. After that, we transform them to a fixed-sized encoded image. Finally, the encoded image is fed to convolutional neural network (CNN) for automatic feature extraction and learning, detecting compiler bugs of Ethereum smart contract.

연구 동기 및 목표

• 배포 후 불변성으로 인한 이더리움 스마트 계약의 자동 보안 점검 필요성 제기
• 이미지 기반 학습을 가능하게 하기 위해 Solidity 바이트코드를 색상 부호화 이미지 표현으로 도입
• 계약 컴파일 버그를 탐지하기 위한 CNN 기반 모델(전이 학습 포함) 개발 및 평가
• 바이트코드 이미지에서 엔드-투-엔드 학습이 가능하도록 수동 특징 추출 감소
• 자동 계약 분석을 위한 공개 RESTful API 및 시각화 도구 제공

제안 방법

• 바이트 값을 색 채널에 매핑하여 Solidity 바이트코드를 RGB 색상 이미지로 변환
• 소스 코드 특징 공학 없이 CNN이 특징을 학습할 수 있도록 바이트코드 이미지를 고정 크기 입력으로 변환
• 단일 레이블 취약점 탐지를 위한 CNN 아키텍처(AlexNet, GoogleNet, Inception-v3) 평가
• 다중 버그 특성으로 인한 다중 레이블 분류를 가능하게 하기 위한 전이 학습 적용
• Etherscan의 검증된 계약으로 학습하고 더 새로운 샘플에서 정확도와 정밀도를 평가하기 위해 테스트
• 온라인 바이트코드 이미지 분석을 수행하기 위한 RESTful API 및 UI 제공

실험 결과

연구 질문

• RQ1 CNN에 입력된 색상 인코딩 바이트코드 이미지가 수동 특징 추출 없이 이더리움 스마트 계약 컴파일러 버그를 효과적으로 탐지할 수 있는가?
• RQ2 다중 레이블 분류를 위한 전이 학습이 단일 레이블의 이미지 기반 접근 방식과 비교하여 여러 Solidity 버그 탐지를 향상시키는가?
• RQ3 CNN 아키텍처가 이더리움 계약 바이트코드 이미지에서 달성 가능한 정확도, 정밀도, 재현율은 무엇인가?
• RQ4 가벼운 온라인 도구와 공개 API로 엔드-투-엔드 자동 보안 분석이 얼마나 가능할까?

주요 결과

• AlexNet은 250 에폭 후 86%의 정확도를 달성했습니다(LR 0.01).
• GoogleNet은 250 에폭 후 90%의 정확도를 달성했습니다(LR 0.01).
• Inception-v3는 100 에폭 후 97.10%의 정확도를 달성했습니다(LR 0.001).
• Inception-v3는 500 에폭 후 97.39%의 정확도를 달성했습니다(LR 0.001).
• 다중 레이블 분류를 위한 전이 학습은 다중 Solidity 버그의 실용적 탐지를 더욱 향상시켰습니다.
• 시스템은 2018년 5월~6월의 테스트 데이터에서 높은 정확도와 재현율을 보여주었습니다(예: 재현율은 일부 구성에서 최대 99.04%).