[论文解读] Towards a First Step to Understand the Cryptocurrency Stealing Attack on Ethereum

Zhen Cheng, Xinrui Hou+5 more|arXiv (Cornell University)|Apr 3, 2019

Blockchain Technology Applications and Security参考文献 16被引用 13

一句话总结

本文通过自定义蜜罐系统，对通过未受保护的JSON-RPC端口进行的以太坊加密货币盗窃行为进行了系统性分析。作者在六个月内捕获了来自1,072个IP地址的3.0866亿条请求，识别出36个攻击者群体，他们通过三步攻击模式和零Gas交易手段窃取以太币及ERC20代币，估计总获利超过100万美元，并已发布数据集供社区使用。

ABSTRACT

We performed the first systematic study of a new attack on Ethereum that steals cryptocurrencies. The attack is due to the unprotected JSON-RPC endpoints existed in Ethereum nodes that could be exploited by attackers to transfer the Ether and ERC20 tokens to attackers-controlled accounts. This study aims to shed light on the attack, including malicious behaviors and profits of attackers. Specifically, we first designed and implemented a honeypot that could capture real attacks in the wild. We then deployed the honeypot and reported results of the collected data in a period of six months. In total, our system captured more than 308 million requests from 1,072 distinct IP addresses. We further grouped attackers into 36 groups with 59 distinct Ethereum accounts. Among them, attackers of 34 groups were stealing the Ether, while other 2 groups were targeting ERC20 tokens. The further behavior analysis showed that attackers were following a three-steps pattern to steal the Ether. Moreover, we observed an interesting type of transaction called zero gas transaction, which has been leveraged by attackers to steal ERC20 tokens. At last, we estimated the overall profits of attackers. To engage the whole community, the dataset of captured attacks is released on https://github.com/zjuicsr/eth-honey.

研究动机与目标

• 了解通过未受保护的JSON-RPC端口对以太坊实施的加密货币盗窃攻击在现实世界中的行为特征。
• 分析攻击者的策略，包括探测、信息收集和利用模式。
• 基于捕获攻击的交易数据，估算攻击者的财务收益。
• 提高公众对未认证以太坊RPC接口广泛存在漏洞的认识。
• 发布真实世界攻击的数据集，以支持进一步研究和社区参与。

提出的方法

• 设计并实现了一个蜜罐系统，使用真实的以太坊客户端（Go-Ethereum）作为后端，模拟一个易受攻击的以太坊节点。
• 监听默认的JSON-RPC端口（8545），并记录所有传入的RPC请求，包括方法调用和参数。
• 将目标为资金转账的账户识别为恶意账户，将从恶意账户接收资金的可疑账户也识别为可疑账户。
• 收集并分析以太坊区块链上的交易，追踪资金流向，并检测如零Gas交易等模式。
• 根据IP地址和目标以太坊账户对攻击者进行分组，识别出36个独立的攻击集群。
• 通过随时间聚合恶意账户和可疑账户接收的资金，估算攻击者的收益。

实验结果

研究问题

• RQ1 攻击者在通过未认证的JSON-RPC端口窃取以太币和ERC20代币时，常用的攻击模式是什么？
• RQ2 未受保护的以太坊RPC接口在现实世界中的利用程度有多广泛？
• RQ3 利用未受保护的以太坊节点的攻击者，其财务收益是多少？
• RQ4 攻击者如何利用特定的交易类型（如零Gas交易）来窃取代币？
• RQ5 攻击者的典型行为特征是什么，包括是否使用Tor等匿名化工具？

主要发现

• 该蜜罐在六个月内捕获了来自1,072个不同IP地址的3.0866亿条RPC请求。
• 九个IP地址发出了所有请求中的83.8%，其中单个IP地址（89.144.25.28）发送了1.0173亿条请求。
• 攻击者使用Tor网络隐藏其真实IP地址，部分隶属于大学的PlanetLab节点则在无恶意意图的情况下探测了蜜罐。
• 攻击者被划分为36个集群，其中34个针对以太币，2个针对ERC20代币。
• 观察到一种三步攻击模式：探测、信息收集，以及对账户的被动轮询或暴力破解尝试。
• 发现了一种新型的零Gas交易模式，攻击者利用该模式从钓鱼账户窃取ERC20代币，并利用空投机制进行攻击。