[论文解读] SoK: Decentralized Finance (DeFi) Attacks

Liyi Zhou, Xihan Xiong+8 more|arXiv (Cornell University)|Aug 27, 2022

Blockchain Technology Applications and Security被引用 4

一句话总结

本文提出一个全面的参考框架，系统性地分析和比较DeFi事件，识别关键攻击模式与防御机制。研究发现56%的攻击为非原子性，存在救援窗口；通过字节码相似性分析可检测出31个存在漏洞的合约与23个恶意合约，且15.3%的攻击者通过中心化交易所泄露可识别痕迹。

ABSTRACT

Within just four years, the blockchain-based Decentralized Finance (DeFi) ecosystem has accumulated a peak total value locked (TVL) of more than 253 billion USD. This surge in DeFi's popularity has, unfortunately, been accompanied by many impactful incidents. According to our data, users, liquidity providers, speculators, and protocol operators suffered a total loss of at least 3.24 billion USD from Apr 30, 2018 to Apr 30, 2022. Given the blockchain's transparency and increasing incident frequency, two questions arise: How can we systematically measure, evaluate, and compare DeFi incidents? How can we learn from past attacks to strengthen DeFi security? In this paper, we introduce a common reference frame to systematically evaluate and compare DeFi incidents, including both attacks and accidents. We investigate 77 academic papers, 30 audit reports, and 181 real-world incidents. Our data reveals several gaps between academia and the practitioners' community. For example, few academic papers address "price oracle attacks" and "permissonless interactions", while our data suggests that they are the two most frequent incident types (15% and 10.5% correspondingly). We also investigate potential defenses, and find that: (i) 103 (56%) of the attacks are not executed atomically, granting a rescue time frame for defenders; (ii) SoTA bytecode similarity analysis can at least detect 31 vulnerable/23 adversarial contracts; and (iii) 33 (15.3%) of the adversaries leak potentially identifiable information by interacting with centralized exchanges.

研究动机与目标

• 建立标准化框架，用于在不同协议、智能合约和攻击向量之间对DeFi事件进行分类与比较。
• 识别学术研究与现实世界攻击模式之间的关键差距，尤其关注价格预言机攻击和无权限交互等研究不足的领域。
• 评估实用防御机制，包括合约相似性分析与攻击前资金追踪，以提升事件响应与缓解能力。
• 量化DeFi事件的财务影响，显示2018至2022年间总损失达32.4亿美元，并评估主动检测的可行性。

提出的方法

• 构建一个涵盖网络、共识、智能合约、协议及辅助服务（如预言机、跨链桥）的五层DeFi参考框架，以实现事件分类的标准化。
• 收集并分析2018年4月至2022年4月期间在以太坊和BNB智能链上发生的181起真实DeFi事件，与77篇学术论文及30份审计报告交叉比对。
• 应用字节码相似性分析，通过将交易级字节码与先前观察到的攻击模式进行比对，检测已知恶意或存在漏洞的合约。
• 利用攻击前交易足迹追踪恶意资金流动，识别与中心化交易所及受制裁的混币器（如Tornado Cash）的关联。
• 通过判断攻击是否为原子性执行，量化攻击时间范围，从而识别潜在的救援时机。
• 采用累计异常收益（CAR）分析评估市场影响，CAR通过基于回归的预期收益计算与异常收益推导得出。

实验结果

研究问题

• RQ1 如何在不同系统层级与威胁模型之间，系统性地对DeFi事件进行分类与比较？
• RQ2 实际中最常见的攻击类型是什么？它们与学术文献中强调的攻击类型有何不同？
• RQ3 现有防御机制（如字节码相似性分析与资金追踪）在多大程度上可检测或缓解真实世界的DeFi攻击？
• RQ4 有多少比例的攻击是非原子性的？这是否能为及时防御干预提供可能？
• RQ5 攻击者如何获取并洗钱资金？其身份是否可通过链上分析进行关联？

主要发现

• 在分析的181起事件中，103起（56%）未以原子性方式执行，为防御者在最终结算前干预创造了潜在窗口。
• 字节码相似性分析成功识别出31个已知存在漏洞的合约与23个恶意合约，相似度得分为100%，表明其在自动化检测方面具有强大潜力。
• 15.3%的攻击者通过与中心化交易所交互泄露了可识别信息，其中分别有12名和21名攻击者在以太坊和BNB智能链上直接从交易所钱包提取资金。
• 33名攻击者（15.3%）与美国制裁的Tornado Cash混币器相关联，其中55起和12起攻击资金分别源自以太坊和BNB智能链上的Tornado Cash。
• 价格预言机攻击与无权限交互是两类最频繁的事件类型（分别占15%和10.5%），但在学术文献中却显著被低估。
• 2018年4月至2022年4月间，DeFi事件造成的总财务损失至少达到32.4亿美元，凸显了安全挑战的严重规模。