[논문 리뷰] Probing Channel Balances in the Lightning Network

Sergei Tikhomirov, Rene Pickhardt외 2명|arXiv (Cornell University)|2020. 04. 01.

Lightning and Electromagnetic Phenomena참고 문헌 11인용 수 22

한 줄 요약

이 논문은 HTLC 기반 오류 응답을 악용하는 저비용이며 가역적인 프로빙 기법을 통해 공격자가 라이트닝 네트워크 채널의 잔액 분포를 효율적으로 탐색하고 추론할 수 있음을 보여준다. 이 방법은 채널당 1분 이내로 잔액을 폭 드러내며, 자본 투자도 최소한으로 이루어져, LN 설계에서의 비밀성-효율성 간 상충관계를 드러낸다.

ABSTRACT

As Lightning network payments are neither broadcasted nor publicly stored. Thus LN has been seen not only as scalability but also as privacy solution for Bitcoin. The protocol guarantees that only the latest channel state can be confirmed on channel closure. LN nodes gossip about channels available for routing and their total capacities. To issue a (multi-hop) payment, the sender creates a route based on its local knowledge of the graph. As local channel balances are not public, payments often fail due to insufficient balance at an intermediary hop. In that case, the payment is attempted along multiple routes until it succeeds. This constitutes a privacy-efficiency tradeoff: hidden balances improve privacy but hinder routing efficiency. In this work, we show that an attacker can easily discover channel balances using probing. This takes under a minute per channel and requires moderate capital commitment and no expenditures. We describe the algorithm and test our proof-of-concept implementation on Bitcoin's testnet. We argue that LN's balance between privacy and routing efficiency is suboptimal: channel balances are neither well protected nor utilized. We outline two ways for LN to evolve in respect to this issue. To emphasize privacy, we propose a modification of error handling that hides details of the erring channel from the sending node. This would break our probing technique but make routing failures more common, as the sender would not know which channel from the attempted route has failed. To improve efficiency, we propose a new API call that would let the sender query balances of channels that it is not a party of. We argue that combining these approaches can help LN take the best of both worlds: hide private data when feasible, and utilize public data for higher routing efficiency.

연구 동기 및 목표

• 라이트닝 네트워크 채널의 잔액이 비밀 보장에도 불구하고 프로빙 공격에 얼마나 노출되어 있는지 조사하기 위해.
• HTLC 기반 오류 응답을 사용한 채널 잔액 프로빙의 실현 가능성과 비용을 평가하기 위해.
• 숨겨진 잔액이 라우팅 효율성을 저해하는 바탕이 되는 LN의 현재 설계에서 비밀성-효율성 간 상충관계를 규명하기 위해.
• 네트워크의 핵심 성질을 훼손하지 않으면서 비밀성 또는 라우팅 효율성을 향상시키는 해결책을 제안하기 위해.
• 프로빙이 네트워크 안정성에 끼치는 영향과 매달린 HTLC의 위험을 평가하기 위해.

제안 방법

• 공격자는 다수의 경로를 프로빙할 수 있도록 충분한 용량을 갖춘 소수의 입구 채널을 열어 놓는다.
• 다중 홉 경로를 따라 증가하는 금액의 HTLC를 전송하여, 오류 응답을 기반으로 대상 채널의 잔액을 추론한다.
• 이 방법은 중간 노드가 채널에 충분한 잔액이 없을 경우 즉시 오류를 반환한다는 사실에 기반한다. 이로써 실패한 채널의 잔액이 드러난다.
• 공격자는 여러 경로를 사용하고, 더 작은 프로브 금액을 사용하거나 다른 경로로 재시도하여 매달린 HTLC가 있는 채널을 피한다.
• 이 기법은 가역적이다. 모든 실패한 HTLC는 프로빙 후 정리되므로 자금이 영구적으로 손실되지 않는다.
• 저자들은 c-lightning 구현체를 사용하여 테스트넷에서 이 프로빙 방법을 구현하고 테스트했다.

실험 결과

연구 질문

• RQ1 공격자가 채널 상태에 대한 직접적 액세스나 지식 없이도 라이트닝 네트워크 채널의 잔액을 추론할 수 있는가?
• RQ2 HTLC와 오류 응답을 사용한 채널 잔액 프로빙의 비용과 시간 효율성은 어떠한가?
• RQ3 병렬 채널의 존재가 프로빙 공격의 신뢰성에 어떤 영향을 미치는가?
• RQ4 현재 LN 설계에서 오류 메시지를 통한 잔액 泄露로 인해 비밀성이 얼마나 손상되는가?
• RQ5 어떤 아키텍처적 변경이 LN에서 비밀성과 라우팅 효율성 간의 균형을 향상시킬 수 있는가?

주요 결과

• 공격자는 테스트넷에서 활성화된 채널의 90퍼센트 이상을 채널당 1분 이내로 프로빙하고 잔액을 확인할 수 있다.
• 실패한 HTLC의 가역성 덕분에 자본 투자가 극히 최소화되며, 전체 커버리지에 최대 0.167 BTC(약 $1500)만 필요하다.
• 공격은 확장 가능하다. 소수의 입구 채널을 가진 단일 공격자도 임의로 긴 경로를 사용해 전체 네트워크를 프로빙할 수 있다.
• 매달린 HTLC의 존재는 프로빙 효율을 떨어뜨리지만, 공격자는 더 작은 프로브 금액을 사용하거나 다수의 입구 채널을 활용해 이를 완화할 수 있다.
• 현재 LN 오류 처리 방식은 임계적인 잔액 정보를 泄露하여 온리온 라우팅의 비밀 보장 원칙을 뒤흔든다.
• 이 연구는 현재의 잔액 비밀 보장 모델이 최적화되어 있지 않음을 확인한다. 이는 잔액 보호에 실패할 뿐 아니라, 공개된 잔액 데이터가 부족하여 효율적인 라우팅도 불가능하게 한다.