[论文解读] Smart Contract Vulnerabilities: Does Anyone Care?

Daniel Pérez, Benjamin Livshits|arXiv (Cornell University)|Feb 18, 2019

Blockchain Technology Applications and Security参考文献 15被引用 30

一句话总结

本文分析了六项学术项目识别出的21,270个智能合约漏洞，发现仅有504个合约——不足2.4%——实际遭到利用，导致最多9,066 ETH（约180万美元）。该研究挑战了智能合约漏洞普遍带来金融风险的观念，表明其真实影响被显著高估。

ABSTRACT

In the last year we have seen a great deal of both academic and practical interest in the topic of vulnerabilities in smart contracts, particularly those developed for the Ethereum blockchain. In this paper we survey the 21,270 vulnerable contracts reported by six recent academic projects. Contrary to what might have been believed given the reported number of vulnerable contracts, there has been precious little in terms of actual exploitation when it comes to these vulnerabilities. We find that at most 504 out of 21,270 contracts have been subjected to exploits. This corresponds to at most 9,066 ETH (~1.8 million USD), or only 0.29% of the 3 million ETH (600 million USD) claimed in some of the papers. While we are certainly not implying that smart contract vulnerability research is without merit, our results suggest that the potential impact of vulnerable code had been greatly exaggerated.

研究动机与目标

• 评估学术研究中报告的智能合约漏洞在现实世界中的实际利用比例。
• 评估对智能合约漏洞的广泛担忧是否由实际财务损失所证实。
• 将漏洞的理论风险与生产环境中观察到的实际利用情况进行比较。
• 探究在以太坊生态系统中，报告的漏洞数量与实际攻击事件之间的差异原因。

提出的方法

• 收集了六项近期学术漏洞检测项目报告的21,270个智能合约漏洞。
• 通过区块链分析追踪这些合约的链上活动，以识别任何利用事件。
• 通过计算漏洞合约在利用尝试期间被提取的总ETH数量，衡量财务损失。
• 将报告的总潜在风险价值（300万ETH）与实际观察到的损失（约9,066 ETH）进行比较。

实验结果

研究问题

• RQ1 在报告的21,270个智能合约漏洞中，实际在生产环境中被利用的比例是多少？
• RQ2 这些报告漏洞的实际利用导致了多少财务损失？
• RQ3 学术报告在多大程度上高估了智能合约漏洞的真实世界影响？
• RQ4 为何报告漏洞数量与实际利用事件之间存在如此巨大的差距？

主要发现

• 在报告的21,270个智能合约漏洞中，仅有504个被实际利用，利用率为2.37%。
• 利用导致的总财务损失最多为9,066 ETH，按研究时的汇率折算约为180万美元。
• 这仅占部分学术论文声称的潜在风险金额（300万ETH，约合6亿美元）的0.29%。
• 本研究得出结论：学术论述中对智能合约漏洞实际财务影响的评估被严重夸大。
• 尽管学术界广泛关注，但报告漏洞在现实世界中的利用仍然极为罕见且影响有限。