[论文解读] Flash Crash for Cash: Cyber Threats in Decentralized Finance

Kris Oosthoek|arXiv (Cornell University)|Jun 20, 2021

Blockchain Technology Applications and Security参考文献 24被引用 6

一句话总结

本文首次对去中心化金融（DeFi）中的现实世界安全事件进行了全面分析，揭示了攻击者越来越多地利用跨协议的信用机制与组合性，通过在相互关联的协议中利用薄弱的业务逻辑，以实现‘闪电崩盘’来获取财务收益。研究识别出基于市场的攻击是主要威胁向量，展示了无许可的组合性如何被武器化以针对DeFi生态系统。

ABSTRACT

Decentralized Finance (DeFi) took shape in 2020. An unprecedented amount of over 14 billion USD moved into DeFi projects offering trading, loans and insurance. But its growth has also drawn the attention of malicious actors. Many projects were exploited as quickly as they launched and millions of USD were lost. While many developers understand integer overflows and reentrancy attacks, security threats to the DeFi ecosystem are more complex and still poorly understood. In this paper we provide the first overview of in-the-wild DeFi security incidents. We observe that many of these exploits are market attacks, weaponizing weakly implemented business logic in one protocol with credit provided by another to inflate appropriations. Rather than misusing individual protocols, attackers increasingly use DeFi's strength of permissionless composability against itself. By providing the first holistic analysis of real-world security incidents within the nascent financial ecosystem DeFi is, we hope to inform threat modeling in decentralized cryptoeconomic initiatives in the years ahead.

研究动机与目标

• 为了理解DeFi中不断演变的威胁态势，特别是那些利用组合性而非单个协议漏洞的攻击。
• 识别并分类源于错误业务逻辑和跨协议依赖关系的真实世界DeFi安全事件。
• 突出说明攻击者如何利用一个协议的信用来放大在另一个协议中的头寸，从而制造系统性市场操纵。
• 通过分析真实世界中的利用案例，为未来去中心化加密经济系统中的威胁建模提供参考。

提出的方法

• 本研究对2020至2021年间报告的30余起真实DeFi漏洞利用事件进行了系统性分析。
• 根据攻击向量对事件进行分类，重点分析市场操纵技术，而非重入攻击或整数溢出等智能合约漏洞。
• 作者研究了攻击者如何通过利用组合性，使用一个协议的流动性与信用来操纵另一个协议的价格。
• 通过分析交易流程与链上数据，重建攻击模式，并识别DeFi架构中的常见结构性弱点。
• 研究采用攻击类型分类法，强调‘为现金而进行的闪电崩盘’作为一种新型、系统性的威胁模式。
• 研究基于公开的漏洞报告、区块链取证分析和协议文档，验证所观察到的攻击机制。

实验结果

研究问题

• RQ1 攻击者如何利用DeFi中的组合性来制造系统性市场操纵，而非针对单个智能合约？
• RQ2 跨协议信用在促成闪电崩盘攻击中扮演什么角色？
• RQ3 为何业务逻辑缺陷在DeFi中比传统智能合约漏洞更具破坏性？
• RQ4 现实世界中的DeFi漏洞利用与理论攻击模型在执行方式和影响方面有何不同？
• RQ5 DeFi中哪些结构性设计模式使其容易受到协调性、基于市场的攻击？

主要发现

• 2020–2021年间，大量DeFi漏洞利用并非源于代码级别的漏洞，而是协议设计中业务逻辑的缺陷。
• 攻击者越来越多地利用无许可的组合性，将多个协议串联起来，将一个协议作为流动性来源，另一个作为价格操纵的目标。
• ‘为现金而进行的闪电崩盘’模式涉及通过从一个协议借入资本来推高资产价格，以利用另一个协议中的价格差异，随后偿还债务并赚取利润。
• 许多攻击之所以得逞，是因为协议在未验证互联组件的经济激励或风险暴露的情况下，盲目信任外部系统。
• 研究发现，2020年有超过140亿美元价值流入DeFi项目，但因系统性设计缺陷而非孤立的漏洞，导致数百万美元损失。
• 分析显示，攻击者经常利用价格预言机的脆弱性以及跨协议交易中缺乏熔断机制的缺陷。