[논문 리뷰] A Survey on EOSIO Systems Security: Vulnerability, Attack, and Mitigation

Ningyu He, Haoyu Wang외 4명|arXiv (Cornell University)|2022. 07. 19.

Blockchain Technology Applications and Security인용 수 5

한 줄 요약

이 논문은 EOSIO 블록체인 플랫폼의 보안 취약점, 공격, 그리고 완화 전략에 대한 첫 번째 종합적 설문 조사입니다. 스마트 계약, EOS 가상 머신(EOS VM), 공인 기반 메커니즘의 결함을 분석합니다. 이는 취약점을 체계적으로 분류하고, EOSBet 해킹 사례와 같은 실제 공격 사례를 상세히 기술하며, DApp 개발자, EOSIO 팀, 연구자들을 위한 개발자 최적 실천 방안과 보안 강화 전략을 제안합니다.

ABSTRACT

EOSIO, as one of the most representative blockchain 3.0 platforms, involves lots of new features, e.g., delegated proof of stake consensus algorithm and updatable smart contracts, enabling a much higher transaction per second and the prosperous decentralized applications (DApps) ecosystem. According to the statistics, it has reached nearly 18 billion USD, taking the third place of the whole cryptocurrency market, following Bitcoin and Ethereum. Loopholes, however, are hiding in the shadows. EOSBet, a famous gambling DApp, was attacked twice within a month and lost more than 1 million USD. No existing work has surveyed the EOSIO from a security researcher perspective. To fill this gap, in this paper, we collected all occurred attack events against EOSIO, and systematically studied their root causes, i.e., vulnerabilities lurked in all relying components for EOSIO, as well as the corresponding attacks and mitigations. We also summarized some best practices for DApp developers, EOSIO official team, and security researchers for future directions.

연구 동기 및 목표

• EOSIO는 고처리량과 확장 가능한 DApp 생태계를 지닌 블록체인 3.0 플랫폼이지만, 이에 대한 체계적인 보안 설문 조사가 부족한 점을 보완하기 위해.
• 스마트 계약, EOS VM, 블록체인 프로토콜 자체의 세 가지 계층에서 보안 취약점을 식별하고 분류하기 위해.
• 실제 공격 사례, 특히 EOSBet의 이중 해킹 사례를 분석하여 공격 전략과 결과를 이해하기 위해.
• 기존 완화 기법(예: 프로그램 및 트랜잭션 분석)을 요약하고, 개발자 및 EOSIO 팀을 위한 실행 가능한 최적 실천 방안을 제안하기 위해.
• 미래 연구를 이끌기 위해, DeFi 전용 취약점 및 WebAssembly 기반 스마트 계약에 대한 고급 정적 분석의 필요성 등 격차를 드러내기 위해.

제안 방법

• 보안 기업 보고서, 포럼, 공식 발표 자료 등의 공개 자료에서 수집한 113宗의 EOSIO 공격 사례를 분석함.
• 취약점을 스마트 계약 논리 결함, EOS VM 실행 결함, 공인 알고리즘(DPoS) 설계 문제의 세 계층으로 분류함.
• 각 취약점을 근본 원인, 공격 벡터, 실제 적용 사례(예: EOSBet의 이중 지불 공격)에 연결하여 매핑함.
• 기존 완화 기법(예: 기호 실행, 퍼지 테스트, 트랜잭션 행동 분석)을 평가하여 배포 이전에 취약점을 탐지함.
• 개발자와 연구자가 보안 문제를 이해하고 방지하는 데 도움이 되는 계층적 취약점 분류 체계를 제안함.
• 공격 패tern과 완화 기법의 효과성을 기반으로 DApp 개발자, EOSIO 팀, 보안 연구자들을 위한 최적 실천 방안을 통합함.

실험 결과

연구 질문

• RQ1 EOSIO의 스마트 계약, EOS VM, 공인 기반 메커니즘에서의 주요 보안 취약점은 무엇이며, 이는 이더리움의 취약점과 어떻게 다를까?
• RQ2 실제 공격은 EOSIO의 특정 취약점을 어떻게 악용하는가? 그로 인한 직접적인 재정적 및 운영적 영향은 무엇인가?
• RQ3 WebAssembly 기반 실행 환경에서의 EOSIO 스마트 계약 취약점 탐지 및 완화 전략 중 가장 효과적인 것은 무엇인가?
• RQ4 DApp 개발자와 EOSIO 팀은 개선된 코딩 관행과 플랫폼 강화를 통해 향후 공격을 어떻게 방지할 수 있는가?
• RQ5 특히 신속하게 확장 중인 DeFi 애플리케이션과 제로데이 취약점 탐지 측면에서 EOSIO 보안의 주요 연구 격차는 무엇인가?

주요 결과

• EOSIO 플랫폼은 출시 후 1년 이내에 최소 113건의 별개 공격 사례를 경험했으며, 주로 스마트 계약과 EOS VM의 결함 탓이었다.
• EOSBet DApp는 두 개의 트랜잭션 인수를 충분히 검증하지 못해 한 달 사이에 두 차례 해킹을 입어 100만 달러 이상의 손실을 입었다.
• 스택 조작 및 메모리 안정성 문제 등 EOS VM의 취약점은 접근 제어를 우회하고 악성 코드를 실행하는 데 악용되었다.
• 위임된 증명 방식(DPoS) 공인 기반 메커니즘은 블록 생성자 조작 및 자원 고갈 공격과 같은 새로운 공격 벡터를 도입했다.
• 기존 완화 기법(예: 기호 실행, 퍼지 테스트)은 사전 배포 시 취약점을 탐지하는 데 유망하지만, 아직 널리 보급되지 않았다.
• 입력 검증, 최소 권한 접근, 새로운 컴포넌트의 분리 등 최적 실천 방안은 재정적 손실과 악용 가능성의 위험을 크게 줄일 수 있다.