정규식 패턴매칭 기반 스마트 컨트랙트 수집 및 탐지 자동화 프레임워크 제안 (Proposal of smart contract collection and detection automation framework based on regular expression pattern matching)

서지정보

· 발행기관 : 한국정보통신학회
· 수록지 정보 : 한국정보통신학회논문지 / 28권 / 4호 / 454 ~ 466페이지
· 저자명 : 신미진, 김성민, 유민정, 강서연, 최서우

초록

스마트 컨트랙트는 운영 주체 없이 당사자 간 계약이 이루어지고, 솔리디티를 통해 거래를 코드 형태로 구현 가능하다. 그러나 한번 배포되면 수정 및 삭제가 어렵다는 특성이 있어 기존에 배포된 컨트랙트 내 취약성을 악용하는 공격들이 증가하고 있으며, 피해 규모 또한 상당하다. 본 논문은 정규식 패턴매칭 기반으로 솔리디티 레벨 취약점을 내포한 컨트랙트를 수집, 검출 및 분석하는 자동화된 취약점 분석 프레임워크를 제안한다. 수집단계에서는 최신 이더리움 네트워크에서 발생하는 토큰, 오픈 소스를 대상으로 패턴화한 정규식 매칭을 통해 잠재적인 취약성을 내포한 컨트랙트를 데이터베이스화하여 저장한다. 분석단계에서는 현존하는 스마트 컨트랙트 취약점 분석 도구로 수집한 컨트랙트의 오탐 여부 및 분석 성능을 비교 분석한다. 제안한 프레임워크를 통해, 스마트 컨트랙트 생태계에서의 제로데이 취약점 동향 및 분석 도구의 효용성을 평가할 수 있을 것으로 기대한다.

영어초록

Smart contracts are contracts between parties without an operating entity, and transactions can be implemented in code form through Solidity. However, once deployed, it is difficult to modify or delete, so attacks that exploit vulnerabilities in existing deployed contracts are increasing, and the scale of damage is significant. This paper proposes an automated vulnerability analysis framework that collects, detects, and analyzes contracts containing solidity-level vulnerabilities based on regular expression pattern matching. In the collection stage, contracts containing potential vulnerabilities are stored in a database through regular expression matching patterned against tokens and open sources that occur in the latest Ethereum network. In the analysis stage, the false positives and analysis performance of contracts collected with existing smart contract vulnerability analysis tools are compared and analyzed. Through the proposed framework, we expect to be able to evaluate zero-day vulnerability trends and the effectiveness of analysis tools in the smart contract ecosystem.

참고자료

· 없음