이더리움 프록시 스마트 계약 숨겨진 취약점 발견을 위한 Proxion

Основные понятия

Proxion은 이더리움 프록시 스마트 계약을 자동으로 식별하고 함수 및 저장소 충돌 취약점을 효과적으로 탐지한다.

Аннотация

Proxion은 이더리움 프록시 스마트 계약을 자동으로 식별하고 관련 로직 계약을 찾아내며, 이들 간의 함수 및 저장소 충돌 취약점을 탐지한다.

• 프록시 계약 식별: Proxion은 계약 바이트코드 분석과 에뮬레이션을 통해 프록시 계약을 식별한다. 이를 통해 소스 코드나 과거 거래 내역이 없는 숨겨진 프록시 계약도 찾아낼 수 있다.
• 로직 계약 식별: Proxion은 프록시 계약에 저장된 로직 계약 주소를 추적하여 관련 로직 계약들을 찾아낸다.
• 함수 충돌 탐지: Proxion은 프록시와 로직 계약의 함수 시그니처를 비교하여 충돌을 탐지한다. 소스 코드가 없는 경우에도 바이트코드 분석을 통해 함수 시그니처를 추출한다.
• 저장소 충돌 탐지: Proxion은 CRUSH 기법을 활용하여 프록시와 로직 계약 간 저장소 충돌을 식별한다.

Proxion은 기존 도구들보다 효율적이고 정확하며, 숨겨진 계약까지 포괄적으로 분석할 수 있다. 이를 통해 이더리움 생태계의 프록시 계약 취약점을 더 폭넓게 발견할 수 있다.

Статистика

프록시 계약은 이더리움 전체 계약의 54.2%를 차지한다.
약 150만 개의 계약에서 최소 1개 이상의 충돌 취약점이 발견되었다.

Цитаты

"프록시 설계 패턴은 이더리움 스마트 계약의 불변성과 업그레이드 가능성을 동시에 제공한다."
"함수 충돌과 저장소 충돌은 프록시 아키텍처의 주요 보안 문제로, 실제 사례에서 수백만 달러 규모의 자산 탈취로 이어졌다."

Ключевые выводы из

Proxion: Uncovering Hidden Proxy Smart Contracts for Finding Collision Vulnerabilities in Ethereum

by Cheng-Kang C... в arxiv.org 09-23-2024

https://arxiv.org/pdf/2409.13563.pdf

Дополнительные вопросы

프록시 계약의 보안 문제를 해결하기 위해 어떤 새로운 설계 패턴이나 기술적 접근법이 제안될 수 있을까?

프록시 계약의 보안 문제를 해결하기 위해 여러 가지 새로운 설계 패턴과 기술적 접근법이 제안될 수 있다. 첫째, 투명한 업그레이드 가능한 프록시(Transparent Upgradeable Proxy) 설계 패턴이 있다. 이 패턴은 호출자와 다른 사용자 간의 권한을 구분하여, 호출자가 모든 기능을 실행할 수 있도록 하면서도 다른 사용자는 항상 delegate call을 통해 기능을 호출하도록 설계되어 있다. 이를 통해 의도치 않은 함수 실행을 방지하고, 함수 충돌을 본질적으로 회피할 수 있다.
둘째, 정적 분석 도구의 활용이 중요하다. 예를 들어, Proxion과 같은 도구는 프록시 계약과 로직 계약 간의 함수 및 저장소 충돌을 자동으로 탐지할 수 있다. 이러한 도구는 소스 코드가 없는 계약에서도 동작할 수 있도록 설계되어, 더 많은 계약을 분석하고 잠재적인 취약점을 조기에 발견할 수 있다.
셋째, 가변적인 저장소 슬롯 관리를 통해 저장소 충돌을 방지할 수 있다. 계약의 저장소 슬롯을 동적으로 관리하여, 서로 다른 계약 간의 변수 충돌을 피할 수 있는 방법이 필요하다. 예를 들어, 각 계약이 사용하는 저장소 슬롯을 명시적으로 정의하고, 충돌 가능성을 사전에 차단하는 방식이다.

프록시 계약의 취약점이 발견되었을 때 개발자와 사용자가 취할 수 있는 대응 방안은 무엇일까?

프록시 계약의 취약점이 발견되었을 때, 개발자와 사용자는 다음과 같은 대응 방안을 취할 수 있다. 첫째, 즉각적인 계약 업데이트가 필요하다. 개발자는 취약점이 발견된 계약의 로직 계약을 새로운 버전으로 교체하고, 프록시 계약에 새로운 로직 계약의 주소를 업데이트해야 한다. 이를 통해 기존의 취약점을 신속하게 해결할 수 있다.
둘째, 사용자 교육 및 경고 시스템을 구축해야 한다. 사용자는 프록시 계약과 상호작용하기 전에 해당 계약의 소스 코드와 기능을 검토해야 하며, 의심스러운 계약에 대해서는 상호작용을 피하는 것이 좋다. 이를 위해, 개발자는 사용자에게 계약의 안전성을 알리는 경고 시스템을 도입할 수 있다.
셋째, 감사 및 보안 점검을 정기적으로 수행해야 한다. 개발자는 계약 배포 후에도 지속적으로 보안 점검을 실시하고, 외부 감사 기관에 의뢰하여 계약의 보안성을 검증받는 것이 중요하다. 이를 통해 잠재적인 취약점을 사전에 발견하고 대응할 수 있다.

프록시 계약의 보안 문제가 해결된다면 이더리움 생태계에 어떤 긍정적인 영향을 미칠 수 있을까?

프록시 계약의 보안 문제가 해결된다면 이더리움 생태계에 여러 가지 긍정적인 영향을 미칠 수 있다. 첫째, 신뢰성 향상이다. 사용자와 개발자는 프록시 계약을 안전하게 사용할 수 있게 되어, 이더리움 플랫폼에 대한 신뢰가 높아질 것이다. 이는 더 많은 사용자와 개발자가 이더리움 생태계에 참여하도록 유도할 수 있다.
둘째, 자산 보호가 강화된다. 프록시 계약의 취약점으로 인해 발생할 수 있는 자산 도난 사건이 줄어들어, 사용자들이 자신의 디지털 자산을 보다 안전하게 보호할 수 있게 된다. 이는 이더리움 기반의 디파이(DeFi) 및 NFT 시장의 성장에도 기여할 것이다.
셋째, 개발자 생태계의 활성화가 이루어질 수 있다. 보안 문제가 해결되면 개발자들은 더 많은 혁신적인 기능과 서비스를 개발하는 데 집중할 수 있으며, 이는 이더리움 생태계의 전반적인 발전을 촉진할 것이다. 또한, 안전한 프록시 계약을 통해 다양한 업그레이드 가능한 계약이 활성화되어, 사용자 경험이 개선될 것이다.