[논문 리뷰] Identifying Security Risks in NFT Platforms

Yash P. Gupta, Jayanth Kumar외 1명|arXiv (Cornell University)|2022. 03. 18.

Peer-to-Peer Network Technologies인용 수 12

한 줄 요약

이 논문은 웹3 생태계 내 NFT 플랫폼의 보안 위험을 식별하고 분류하며, 내재된 위험에 대한 분류 체계와 기술적·절차적 기반의 실행 가능한 대응 조치를 제안한다. 이는 특정 제품을 추천하지 않고도 이해관계자들이 보안 성숙도를 향상시킬 수 있도록 체계적인 프레임워크를 제공하며, NFT 플랫폼의 회복력 향상을 위한 종합적이고 비상업적인 로드맵을 제시한다.

ABSTRACT

This paper examines the effects of inherent risks in the emerging technology of non-fungible tokens and proposes an actionable set of solutions for stakeholders in this ecosystem and observers. Web3 and NFTs are a fast-growing 300 billion dollar economy with some clear, highly publicized harms that came to light recently. We set out to explore the risks to understand their nature and scope, and if we could find ways to mitigate them. In due course of investigation, we recap the background of the evolution of the web from a client-server model to the rise of Web2.0 tech giants in the early 2000s. We contrast how the Web3 movement is trying to re-establish the independent style of the early web. In our research we discover a primary set of risks and harms relevant to the ecosystem, and classify them into a simple taxonomy while addressing their mitigations with solutions. We arrive at a set of solutions that are a combination of processes to be adopted, and technological changes or improvements to be incorporated into the ecosystem, to implement risk mitigations. By linking mitigations to individual risks, we are confident our recommendations will improve the security maturity of the growing Web3 ecosystem. We are not endorsing, or recommending specifically any particular product or service in our solution set. Nor are we compensated or influenced in any way by these companies to list these products in our research. The evaluations of products in our research have to simply be viewed as suggested improvements.

연구 동기 및 목표

• NFT 및 웹3 생태계의 변화하는 위험을 분석하며, 3000억 달러의 시장 성장과 주요 사고 사례를 고려한다.
• 중앙집중식 웹2.0 모델에서 탈중앙화된 웹3 비전으로의 전환을 대비로 사용자 자율성의 회복과 그에 따른 위험을 부각한다.
• NFT 플랫폼에 영향을 주는 보안 위험의 체계적 분류 체계를 개발하여 위험의 성격과 범위에 따라 분류한다.
• 보안 생태계 강화를 위해 절차 개선과 기술적 향상의 이중 전략을 제안한다.
• 이해관계자들에게 NFT 플랫폼의 보안 성숙도 향상을 위한 비상업적이고 증거 기반의 프레임워크를 제공한다.

제안 방법

• 논문은 웹1, 웹2, 웹3 아키텍처를 비교 분석하여 NFT의 출현을 넓은 인터넷 진화의 맥락에서 설명한다.
• 관찰된 취약성과 NFT 플랫폼의 공개 사고를 기반으로 보안 위험을 체계적인 분류 체계로 식별하고 분류한다.
• 절차적 변화(예: 거버넌스 관행)와 기술적 향상(예: 스마트 계약 강화)을 조합한 일련의 대응 조치를 제안한다.
• 각 대응 조치는 특정 위험 유형과 명시적으로 연결되어 있어 대응이 정확하고 추적 가능하다.
• 연구는 제품 추천을 피하고, 플랫폼 간 적용 가능한 일반 원칙과 아키텍처 개선에 집중한다.

실험 결과

연구 질문

• RQ1 웹3 생태계 내 NFT 플랫폼에 내재된 주요 보안 위험은 무엇인가?
• RQ2 이러한 위험은 특히 웹2.0 모델의 위험과 비교해 어떻게 다를까?
• RQ3 다양한 위험을 분류하기 위한 체계적인 분류 체계는 어떻게 개발할 수 있는가?
• RQ4 어떤 절차적 및 기술적 개선 조치가 이러한 식별된 위험을 효과적으로 완화할 수 있는가?
• RQ5 이해관계자는 특정 상업 제품에 의존하지 않고 이러한 대응 조치를 어떻게 구현할 수 있는가?

주요 결과

• 연구는 NFT 플랫폼의 주요 보안 위험으로 스마트 계약 취약성, 월렛 해킹, 위조 마켓플레이스 관행을 식별한다.
• 공격 표면에 따라 위협을 분류하는 위험 분류 체계가 개발되었으며, 스마트 계약 논리 결함, 프론런닝, 피싱 공격 등이 포함된다.
• 연구는 많은 위험이 웹3의 탈중앙화된 성격에서 기인하며, 기존의 신뢰 모델이 더 이상 적용되지 않는다는 점을 입증한다.
• 기술적 강화와 운영 최적화 기준을 조합한 대응 전략이 제안되며, 예를 들어 형식적 검증 및 개선된 사용자 인증 방식 등이 포함된다.
• 저자들은 그들의 솔루션 세트가 비상업적이며 산업 영향력으로부터 자유롭다는 점을 확인하여 추천의 객관성을 확보한다.