[논문 리뷰] SoK: Design, Vulnerabilities, and Security Measures of Cryptocurrency Wallets

Yimika Erinle, Yathin Kethepalli외 2명|arXiv (Cornell University)|2023. 07. 24.

Blockchain Technology Applications and Security인용 수 8

한 줄 요약

암호화폐 지갑에 대한 포괄적 조사로, 분류 체계, 보안 취약점, 공격 및 방어 메커니즘을 custodial/non-custodial, hot/c Cold, 및 다양한 지갑 아키텍처에 걸쳐 제시합니다. 공격과 방어를 분석하고 향후 연구 방향을 제시합니다.

ABSTRACT

With the advent of decentralised digital currencies powered by blockchain technology, a new era of peer-to-peer transactions has commenced. The rapid growth of the cryptocurrency economy has led to increased use of transaction-enabling wallets, making them a focal point for security risks. As the frequency of wallet-related incidents rises, there is a critical need for a systematic approach to measure and evaluate these attacks, drawing lessons from past incidents to enhance wallet security. In response, we introduce a multi-dimensional design taxonomy for existing and novel wallets with various design decisions. We classify existing industry wallets based on this taxonomy, identify previously occurring vulnerabilities and discuss the security implications of design decisions. We also systematise threats to the wallet mechanism and analyse the adversary's goals, capabilities and required knowledge. We present a multi-layered attack framework and investigate 84 incidents between 2012 and 2024, accounting for $5.4B. Following this, we classify defence implementations for these attacks on the precautionary and remedial axes. We map the mechanism and design decisions to vulnerabilities, attacks, and possible defence methods to discuss various insights.

연구 동기 및 목표

• 지갑을 custody, connectivity, 및 infrastructure에 따라 분류하여 보안 시사점을 명확히 한다.
• 지갑 유형 전반에서 흔히 발생하는 취약점과 공격 벡터를 식별하고 분류한다.
• 지갑 보안을 위한 기존 방어 기제와 완화 전략을 평가한다.
• 지갑 위협을 완화하기 위한 방어책과 트랜잭션 모니터링 접근법을 조사한다.
• 지갑의 견고성과 생태계 신뢰를 향상시키기 위한 향후 연구 방향을 제안한다.

제안 방법

• custody (custodial vs non-custodial), connectivity (hot vs cold), 및 infrastructure (software, hardware, paper, etc.)에 따라 지갑 유형의 분류 체계를 구축한다.
• 키 관리, 지갑 설계 및 지갑 보안에 관한 문헌을 검토하고 종합하여 취약점과 방어책을 매핑한다.
• 공격을 네트워크, 애플리케이션, 블록체인, 인증 범주로 구성하고 방어책을 요약한다.
• 다중 서명, HD 지갑, 니모닉 코드, MPC 기반 접근법 등의 지갑 특징에 대한 비교 분석을 제공한다.
• 보안 속성과 위험을 대조하기 위한 알고리즘, 지갑, 거래소 표를 작성한다.

실험 결과

연구 질문

• RQ1 지갑의 주요 카테고리와 보안 시사점은 custody, connectivity, 및 infrastructure 전반에서 어떻게 다르게 나타나는가?
• RQ2 다양한 지갑 유형에 영향을 미치는 일반적인 취약점과 공격 벡터는 무엇인가?
• RQ3 어떤 방어책과 완화책이 존재하며, 지갑 카테고리 전반에서 얼마나 효과적인가?
• RQ4 고급 지갑 개념(Hd wallets, multi-signature, MPC, account abstraction)이 보안 태세에 어떤 영향을 미치는가?
• RQ5 지갑 보안에서 남아 있는 격차는 무엇이며, 향후 연구는 어떤 방향으로 가야 하는가?

주요 결과

• Custodial wallets는 상대방 위험을 도입하지만 제도적 보안 관행을 구현할 수 있다; 비보관형 지갑은 사용자의 제어를 강화하지만 사용자 측 보안이 강력해야 한다.
• Hot wallets는 편의성을 제공하지만 네트워크 및 애플리케이션 공격에 더 노출된다; cold wallets는 온라인 노출을 줄이지만 사회공학 및 사이드 채널 위험에 직면한다.
• 다양한 지갑 아키텍처(소프트웨어, 하드웨어, 종이, 브레인, 스마트계약 지갑)가 서로 다른 보안 균형과 공격 표면을 제공한다.
• 공격은 네트워크(비익명화, MITM, DNS, DOS), 애플리케이션(피싱, 악성코드, 사회공학), 블록체인(재진입, 타임스탬프, 트랜잭션 순서), 인증(사이드 채널, 무차별 대입) 등을 포함한다.
• 방어 메커니즘에는 에어갭 하드웨어 지갑, 안전한 키 저장, 다중 서명 스킴, mnemonic 보호, MPC, 그리고 ERC-4337과 같은 계정 추상화 모델이 포함되지만, 시드 보호를 위한 사용자 실천이 여전히 중요하다.
• 본 연구는 지갑 기술과 공격/취약점 범위를 포괄적으로 비교하고, 격차를 강조하며 더 안전한 지갑 설계 및 구현 방향을 제시한다.