[논문 리뷰] SoK: Decentralized Finance (DeFi) Attacks

Liyi Zhou, Xihan Xiong외 8명|arXiv (Cornell University)|2022. 08. 27.

Blockchain Technology Applications and Security인용 수 4

한 줄 요약

이 논문은 DeFi 사고를 체계적으로 분석하고 비교하기 위한 종합적인 기준 프레임워크를 제안하며, 주요 공격 패tern과 방어 메커니즘을 규명한다. 분석 결과, 공격의 56%가 원자적(atomic)이 아니며 구조적 구조적 복구 창이 존재함을 확인했고, 바이트코드 유사성 분석을 통해 31개의 취약한 계약과 23개의 악성 계약을 탐지할 수 있었으며, 공격자 중 15.3%가 중앙집중식 거래소를 통해 식별 가능한 흔적을 남겼다.

ABSTRACT

Within just four years, the blockchain-based Decentralized Finance (DeFi) ecosystem has accumulated a peak total value locked (TVL) of more than 253 billion USD. This surge in DeFi's popularity has, unfortunately, been accompanied by many impactful incidents. According to our data, users, liquidity providers, speculators, and protocol operators suffered a total loss of at least 3.24 billion USD from Apr 30, 2018 to Apr 30, 2022. Given the blockchain's transparency and increasing incident frequency, two questions arise: How can we systematically measure, evaluate, and compare DeFi incidents? How can we learn from past attacks to strengthen DeFi security? In this paper, we introduce a common reference frame to systematically evaluate and compare DeFi incidents, including both attacks and accidents. We investigate 77 academic papers, 30 audit reports, and 181 real-world incidents. Our data reveals several gaps between academia and the practitioners' community. For example, few academic papers address "price oracle attacks" and "permissonless interactions", while our data suggests that they are the two most frequent incident types (15% and 10.5% correspondingly). We also investigate potential defenses, and find that: (i) 103 (56%) of the attacks are not executed atomically, granting a rescue time frame for defenders; (ii) SoTA bytecode similarity analysis can at least detect 31 vulnerable/23 adversarial contracts; and (iii) 33 (15.3%) of the adversaries leak potentially identifiable information by interacting with centralized exchanges.

연구 동기 및 목표

• 프로토콜, 스마트 계약, 공격 벡터 등 다양한 측면에서 DeFi 사고를 체계적으로 분류하고 비교할 수 있는 표준화된 프레임워크를 수립하기 위해.
• 특히 가격 오라클 공격 및 비인증 상호작용과 같은 연구가 부족한 분야에서 학술 연구와 실제 공격 패tern 간의 핵심 격차를 규명하기 위해.
• 계약 유사성 분석 및 사전 공격 자금 추적과 같은 실질적 방어 메커니즘을 평가하여 사고 대응 및 완화 능력을 향상시키기 위해.
• 2018년부터 2022년까지 총 손실액이 32.4억 달러에 달하는 DeFi 사고의 재정적 영향을 정량화하고, 사전 탐지의 실현 가능성을 평가하기 위해.

제안 방법

• 네트워크, 합의, 스마트 계약, 프로토콜, 보조 서비스(예: 오라클, 브리지 등)를 포함하는 다섯 계층의 DeFi 기준 프레임워크를 개발하여 사고 분류의 표준화를 도모한다.
• 2018년 4월부터 2022년 4월까지 이더리움과 BNB 스마트 체인에서 발생한 181宗의 실제 DeFi 사고를 수집하고 분석하며, 77편의 학술 논문과 30건의 감사 보고서와 교차 검증한다.
• 거래 수준의 바이트코드를 이전에 관측된 공격 패턴과 비교하여, 기존에 알려진 악성 또는 취약한 계약을 탐지하기 위해 바이트코드 유사성 분석을 적용한다.
• 사전 공격 거래 흔적을 활용하여 악성 자금 흐름을 추적하고, 중앙집중식 거래소 및 제재된 믹서(예: 토너도 캐시)와의 연결성을 규명한다.
• 공격의 실행 시간 프레임을 규명하기 위해 공격가가 원자적인지 비원자적인지 분류하여, 잠재적 복구 기회를 식별할 수 있도록 한다.
• 시장 영향을 평가하기 위해 누적 비정상 수익(CAR) 분석을 사용하며, CAR는 회귀 기반의 기대 수익률과 비정상 수익률 계산을 통해 산정된다.

실험 결과

연구 질문

• RQ1 다양한 시스템 계층과 위협 모델 간에 DeFi 사고를 어떻게 체계적으로 분류하고 비교할 수 있는가?
• RQ2 실제로 가장 흔한 공격 유형은 무엇이며, 학술 문헌에서 강조되는 공격 유형과는 어떻게 다를까?
• RQ3 기존의 방어 메커니즘(예: 바이트코드 유사성 분석, 자금 추적)이 실제 DeFi 공격을 얼마나 잘 탐지하거나 완화할 수 있는가?
• RQ4 공격 중 비원자적 공격의 비율은 어느 정도이며, 이를 통해 조기에 방어 조치를 취할 수 있는가?
• RQ5 악성 행위자는 자금을 어디서 확보하고 세탁하며, 블록체인 분석을 통해 그들의 신원을 연결할 수 있는가?

주요 결과

• 분석한 181건의 사고 중 103건(56%)이 원자적으로 실행되지 않아 최종 정산 이전에 방어자가 개입할 수 있는 잠재적 창이 존재한다.
• 바이트코드 유사성 분석을 통해 이전에 알려진 31개의 취약한 계약과 23개의 악성 계약을 100% 유사도 스코어로 성공적으로 탐지했으며, 이는 자동 탐지의 강력한 잠재력을 보여준다.
• 공격자 중 15.3%가 중앙집중식 거래소와의 상호작용을 통해 식별 가능한 정보를 유출했으며, 이 중 이더리움과 BNB 스마트 체인에서 각각 12명과 21명의 공격자가 직접 거래소 지갑에서 자금을 인출했다.
• 33명의 공격자(15.3%)가 미국 제재 대상인 토너도 캐시 믹서와 연결되었으며, 이 중 이더리움과 BNB 스마트 체인에서 각각 55건과 12건의 공격 자금이 토너도 캐시에서 유래했다.
• 가격 오라클 공격과 비인증 상호작용은 각각 15%와 10.5%로 가장 흔한 사고 유형이었지만, 학술 문헌에서는 다소 부족하게 다뤄졌다.
• 2018년 4월부터 2022년 4월까지 DeFi 사고로 인한 총 재정적 손실액은 최소 32.4억 달러에 달했으며, 이는 보안 도전의 규모를 강력히 드러낸다.