[논문 리뷰] Towards Effective Detection of Ponzi schemes on Ethereum with Contract Runtime Behavior Graph

Ruichao Liang, Jing Chen외 7명|arXiv (Cornell University)|2024. 06. 03.

Spam and Phishing Detection인용 수 4

한 줄 요약

이 논문은 스마트 계약의 런타임 동작을 모델링하기 위해 계약 런타임 동작 그래프(CRBG)를 사용하고, 그래프 신경망(GNNs)을 활용해 이더리움 상의 페지 스킴을 탐지하는 새로운 접근법인 PonziGuard를 제안한다. 지표 기반 데이터셋에서 96.9%의 정밀도, 98.2%의 재현율, 97.5%의 F1 스코어를 기록하며, 이더리움 메인넷에서 실제 805개의 페지 스킴 스마트 계약을 식별했고, 이는 0일 스킴을 포함한다.

ABSTRACT

Ponzi schemes, a form of scam, have been discovered in Ethereum smart contracts in recent years, causing massive financial losses. Existing detection methods primarily focus on rule-based approaches and machine learning techniques that utilize static information as features. However, these methods have significant limitations. Rule-based approaches rely on pre-defined rules with limited capabilities and domain knowledge dependency. Using static information like opcodes for machine learning fails to effectively characterize Ponzi contracts, resulting in poor reliability and interpretability. Moreover, relying on static information like transactions for machine learning requires a certain number of transactions to achieve detection, which limits the scalability of detection and hinders the identification of 0-day Ponzi schemes. In this paper, we propose PonziGuard, an efficient Ponzi scheme detection approach based on contract runtime behavior. Inspired by the observation that a contract's runtime behavior is more effective in disguising Ponzi contracts from the innocent contracts, PonziGuard establishes a comprehensive graph representation called contract runtime behavior graph (CRBG), to accurately depict the behavior of Ponzi contracts. Furthermore, it formulates the detection process as a graph classification task on CRBG, enhancing its overall effectiveness. The experiment results show that PonziGuard surpasses the current state-of-the-art approaches in the ground-truth dataset. We applied PonziGuard to Ethereum Mainnet and demonstrated its effectiveness in real-world scenarios. Using PonziGuard, we identified 805 Ponzi contracts on Ethereum Mainnet, which have resulted in an estimated economic loss of 281,700 Ether or approximately $500 million USD. We also found 0-day Ponzi schemes in the recently deployed 10,000 smart contracts.

연구 동기 및 목표

• 기존의 규칙 기반 및 정적 분석 방법의 한계를 해결하기 위해, 낮은 구분 능력과 낮은 해석 가능성으로 인해 페지 스킴 스마트 계약을 신뢰성 있게 탐지하지 못하는 문제를 해결한다.
• 실제 거래 기록이 없는 0일 페지 스킴을 식별할 수 없는 거래 기반 탐지 방법의 확장성 문제를 해결한다.
• 특히 동적 데이터 흐름과 실행 추적과 같은 런타임 동작을 더 효과적인 신호로 활용해, 페지 스킴과 정상적인 스마트 계약을 구분한다.
• 페지 스킴 스마트 계약 고유의 행동 패턴을 포착할 수 있는 그래프 기반 표현인 계약 런타임 동작 그래프(CRBG)를 개발한다.
• GNN을 활용해 CRBG의 표현을 학습하고, 이를 기반으로 페지 스킴 또는 비페지 스킴 계약으로 분류하는 그래프 분류 작업으로 탐지 문제를 정의함으로써 정확도와 해석 가능성을 모두 향상시킨다.

제안 방법

• 스마트 계약에 정적 분석을 수행하여 잠재적인 페지 논리를 식별하고, 일반적인 투자 행동을 모방하는 합성 거래 시퀀스를 생성한다.
• 이러한 합성 거래를 기반으로 계약 실행 중 동적 타인트 분석을 수행하여 런타임 동안의 데이터 흐름과 제어 흐름에 대한 세부 정보를 수집한다.
• 타인트 분석 결과에서 계약 런타임 동작 그래프(CRBG)를 구성하며, 노드는 프로그램 요소를, 간선은 런타임에서 관찰된 데이터/제어 의존성을 나타낸다.
• 그래프 신경망(GNNs)을 적용하여 CRBG의 표현을 학습하고, 이를 기반으로 페지 스킴 또는 비페지 스킴 계약으로 분류한다.
• 런타임 동작 패턴에서 끝에서 끝까지 학습 가능한 그래프 분류 문제로 탐지 작업을 정의함으로써 정확도 향상과 함께 해석 가능성을 확보한다.
• 스마트 계약을 퍼즈링하여 런타임 정보를 확보함으로써, 실제 거래가 발생하기 이전에 0일 페지 스킴도 탐지할 수 있도록 한다.

Figure 1. Opcode Frequency Distributions. The KL divergence between Ponzi and non-Ponzi contracts ranges from 0.011 to 0.018, while the KL divergence between different Ponzi contracts ranges from 0.012 to 0.016.

실험 결과

연구 질문

• RQ1 정적 특징인 옵코드나 거래 패턴에 비해, 런타임 동작이 페지 스킴 스마트 계약 탐지에 더 높은 구분 능력을 제공할 수 있는가?
• RQ2 정적 분석에 비해 동적 타인트 분석과 런타임 데이터를 활용할 경우 탐지 정확도와 해석 가능성은 어느 정도 향상되는가?
• RQ3 계약 실행 동작의 구조적 패턴을 효과적으로 모델링할 수 있는 그래프 기반 표현(CRBG)이 페지 스킴 스마트 계약의 특성을 잘 반영할 수 있는가?
• RQ4 제안된 GNN 기반의 CRBG 분류 기법은 기존의 것과 0일 페지 스킴을 포함한 모든 종류의 페지 스킴을 얼마나 효과적으로 탐지하는가?
• RQ5 이 방법은 이더리움 메인넷에서 실제 운영 환경에 적용될 수 있을 정도로 확장성이 있는가? 그리고 이전에 발견되지 않은 악성 스마트 계약을 식별할 수 있는가?

주요 결과

• PonziGuard는 지표 기반 데이터셋에서 96.9%의 정밀도, 98.2%의 재현율, 97.5%의 F1 스코어를 기록하며 최신 기술보다 뛰어난 성능을 보였다.
• 런타임 동작 그래프를 활용해 설명 가능한 탐지 기능을 제공함으로써, 기존 도구들 중에서 가장 높은 해석 가능성을 확보했다.
• PonziGuard는 이더리움 메인넷에서 총 805개의 페지 스킴 스마트 계약을 성공적으로 식별했으며, 이로 인한 예상 경제적 손실은 281,700 이더(~5억 달러)로 추정된다.
• 최근 배포된 10,000개의 스마트 계약 중 0일 페지 스킴을 탐지함으로써, 실제 거래가 발생하기 이전에 악성 계약을 조기에 식별할 수 있음을 입증했다.
• 옵코드 수준의 특징는 페지 스킴과 비페지 스킴 계약 간에 유의미한 차이가 없음을 확인함으로써, 동적 동작 모델링의 필요성을 입증했다.
• 정적 분석 도구는 과도한 근사로 인해 'squareRootPonzi' 계약과 같은 가짜 양성 사례를 잘못 분류하는 경향이 있어, 런타임 기반 탐지의 우수성을 강조한다.

Figure 2. Contract Runtime Behaviors. (a) is obtained from the Ponzi contract in Listing 1 , and (b) is obtained from a gambling contract (non-Ponzi contract).