[논문 리뷰] Smart Contract Vulnerabilities: Does Anyone Care?

Daniel Pérez, Benjamin Livshits|arXiv (Cornell University)|2019. 02. 18.

Blockchain Technology Applications and Security참고 문헌 15인용 수 30

한 줄 요약

이 논문은 여섯 개의 학술 프로젝트에 의해 취약하다고 규명된 21,270개의 스마트 계약을 분석하여, 실제로 악용된 계약은 504개—2.4% 미만—임을 밝혀내며, 이로 인한 손실은 최대 9,066 ETH(~180만 달러)에 그친다. 이 연구는 스마트 계약 취약성이 광범위한 재정적 위험을 초래한다는 인식을 도전하며, 실제 영향력이 상당히 과대평가되어 왔음을 시사한다.

ABSTRACT

In the last year we have seen a great deal of both academic and practical interest in the topic of vulnerabilities in smart contracts, particularly those developed for the Ethereum blockchain. In this paper we survey the 21,270 vulnerable contracts reported by six recent academic projects. Contrary to what might have been believed given the reported number of vulnerable contracts, there has been precious little in terms of actual exploitation when it comes to these vulnerabilities. We find that at most 504 out of 21,270 contracts have been subjected to exploits. This corresponds to at most 9,066 ETH (~1.8 million USD), or only 0.29% of the 3 million ETH (600 million USD) claimed in some of the papers. While we are certainly not implying that smart contract vulnerability research is without merit, our results suggest that the potential impact of vulnerable code had been greatly exaggerated.

연구 동기 및 목표

• 학술 연구에서 보고된 스마트 계약 취약성의 실제 세계에서의 악용 비율을 평가하기 위해.
• 스마트 계약 취약성에 대한 광범위한 우려가 실제 재정적 손실에 의해 정당화되는지 평가하기 위해.
• 취약성의 이론적 위험과 실제 프로덕션 스마트 계약에서 관찰된 악용 사례를 비교하기 위해.
• 이더리움 생태계에서 보고된 취약성과 실제 공격 사이의 괴리 원인을 조사하기 위해.

제안 방법

• 최근 여섯 개의 학술 취약성 탐지 프로젝트에서 보고한 21,270개의 취약한 스마트 계약을 수집하였다.
• 블록체인 분석을 통해 이 계약들의 블록체인 활동을 추적하여 악용 사건 여부를 확인하였다.
• 악용 시도 기간 동안 취약한 계약에서 인출된 총 ETH 금액을 계산하여 재정적 손실을 측정하였다.
• 총 보고된 위험 가치(300만 ETH)와 실제 관찰된 손실(~9,066 ETH)을 비교하였다.

실험 결과

연구 질문

• RQ1 보고된 21,270개의 스마트 계약 취약성 중 실제로 악용된 비율은 얼마인가?
• RQ2 이러한 보고된 취약성의 악용으로 인해 실제로 발생한 재정적 손실은 얼마나 되는가?
• RQ3 학술 보고서에서 스마트 계약 취약성의 실제 영향력을 얼마나 과대평가하고 있는가?
• RQ4 보고된 취약성 수와 실제 악용 사건 수 사이에 큰 격차가 존재하는 이유는 무엇인가?

주요 결과

• 보고된 21,270개의 스마트 계약 취약성 중 실제로 악용된 것은 504개로, 악용률은 2.37%에 불과하다.
• 악용으로 인한 총 재정적 손실은 최대 9,066 ETH이며, 연구 당시 약 180만 달러에 해당한다.
• 이것은 일부 학술 논문에서 잠재적 위험으로 주장한 300만 ETH(6억 달러)의 0.29%에 불과하다.
• 연구는 스마트 계약 취약성의 실제 재정적 영향력이 학술 논의에서 크게 과대평가되어 왔음을 결론짓는다.
• 다수의 학술적 관심에도 불구하고, 보고된 취약성의 실제 세계 악용은 여전히 드물고 영향력이 미미하다.