[论文解读] EthScope: A Transaction-centric Security Analytics Framework to Detect Malicious Smart Contracts on Ethereum.

Lei Wu, Siwei Wu+6 more|arXiv (Cornell University)|May 17, 2020

Blockchain Technology Applications and Security参考文献 19被引用 9

一句话总结

EthScope 是一种以交易为中心的漏洞检测框架，通过恢复区块链状态、大规模重放交易并支持动态代码注入，实现对恶意以太坊智能合约的高效、可扩展检测。相比 JSTracer，其性能提升达 2,300 倍，并有效检测了超过 800 万笔交易中的六类攻击。

ABSTRACT

As one of the representative blockchain platforms, Ethereum has attracted lots of attacks. Due to the potential financial loss, there is a pressing need to detect malicious smart contracts and understand their behaviors. Though there exist multiple systems for smart contract analysis, they cannot efficiently analyze a large number of transactions and re-execute smart contracts to introspect malicious behaviors. In this paper, we urge for a transaction-centric security analytics framework for Ethereum, which provides an efficient way to quickly locate suspicious ones from a large number of transactions and extensible way to detect malicious smart contracts with analyst-provided scripts. We present the system design in the paper, which solves three technical challenges, i.e., incomplete states, scalability and extensibility. We have implemented a prototype system named EthScope to solve these challenges. In particular, the first component Data Aggregator collects and recovers critical blockchain states. The second component Replay Engine is able to {replay} arbitrary and a large number of transactions. The third component Instrumentation Framework exposes interfaces for an analyst to dynamically instrument smart contracts and introspect the execution of suspicious transactions. The comprehensive evaluation with six types of attacks demonstrated the effectiveness of our system. The performance evaluation shows that our system can perform a large-scale analysis on suspicious transactions (more than 8 million ones) and has a speed up of around 2,300x compared with the JSTracer provided by Go-Ethereum. To engage the community, we will release our system and a dataset of detected attacks on https://github.com/zjuicsr/ethscope.

研究动机与目标

• 为解决以太坊中恶意智能合约检测系统在可扩展性和可扩展性方面的不足。
• 通过克服区块链状态不完整和可扩展性限制，实现对大规模交易数据集的高效分析。
• 为分析师提供灵活的脚本化接口，支持动态注入监控逻辑并深入分析可疑合约执行行为。
• 通过可重放、状态恢复的交易分析，支持对多样化攻击模式的全面检测。

提出的方法

• 数据聚合组件从链上数据收集并重建关键区块链状态，以确保完整的执行上下文。
• 重放引擎利用恢复的状态，实现对任意大量交易的高吞吐量重放，确保执行行为的一致性。
• 动态注入框架暴露运行时接口，使分析师可在重放过程中向智能合约注入监控逻辑，实现对执行行为的动态分析。
• 系统将状态恢复、交易重放与动态注入整合为统一的流水线，实现以交易为中心的漏洞检测分析。
• 支持分析师提供的脚本扩展检测逻辑，实现对恶意行为的灵活且可扩展的分析。
• 该框架以原型系统 EthScope 的形式实现，并在真实世界攻击模式和大规模交易集上进行了评估。

实验结果

研究问题

• RQ1 如何在不依赖从零开始重新执行完整合约的前提下，高效分析大规模以太坊交易中的恶意行为？
• RQ2 哪些机制能够实现可扩展的、准确的状态恢复与交易重放，以支持安全分析？
• RQ3 如何为分析师提供可扩展的、动态注入的分析能力，以深入观察可疑合约的执行过程？
• RQ4 以交易为中心的框架在性能和检测准确率方面，相较于现有系统能实现多大程度的超越？
• RQ5 该方法在多样化交易工作负载下，能够有效检测哪些类型的智能合约攻击？

主要发现

• 在分析超过 800 万笔交易时，EthScope 相较于 JSTracer 实现了 2,300 倍的性能提升。
• 系统在全面评估中成功检测出六类不同的智能合约攻击。
• 数据聚合组件有效恢复了实现准确交易重放所必需的关键区块链状态。
• 重放引擎实现了大规模交易批次的高吞吐量执行，展现出良好的可扩展性。
• 动态注入框架使分析师能够动态注入监控逻辑，并观察可疑交易的执行流程。
• 该原型系统已发布配套的攻击检测数据集，以支持社区研究与结果复现。