Smart Contract Security Newsletter #43(Korea Ver)
이 게시물은 Smart Contract Security Newsletter의 Author인 Shayan Eskandari님에게 공식적으로 허가를 받아 작업하는 번역본입니다.
출처: https://medium.com/consensys-diligence/smart-contract-security-newsletter-43-bd0281a0a25a
최근 이더리움 사용자들을 위한 새로운 VSCode Extension의 ETHover가 출시되었습니다. ETHover는 모든 이더리움 주소의 밸런스, 바이트 코드 및 검증된 소스 코드를 조회할 수 있게 해 줄 뿐만 아니라 다양한 도구를 사용하여 바이트 코드를 디컴파일할 수 있게 해줍니다.
혹시 smart contract에 대해 깊게 공부하고 계신거나 주위에서 열심히 연구하고 있는 사람이 있다면 컨센시스에서 채용을 하고 있다는 좋은 소식이 있습니다.
최근 뉴스
Back-running
지난 뉴스레터에서 BzX가 토큰(BZRX)을 유니스왑(Uniswap)에 상장했을 때 백만 달러를 벌어들인 거래를 다루었습니다. 이번 현상은 특정 트랜잭션이 블록에 포함되자마자 정보를 가져오는 행위인 Back-running(Front-running의 반대말) 기법을 이용하였습니다. 이러한 기법을 사용하고 mempool을 채우는 봇들이 많아짐에 따라, 이더리움 네트워크 내에서 Gas Auction 전쟁과 높은 Gas 가격을 형성하도록 만드는 원인이 되고있습니다.
Geth (대부분 마이너들이 사용하는 툴) Gas 가격에 따라 트랜잭션들을 분류하지만, 동일한 gas 가격을 가지는 트랜잭션들에 대해서는 무작위로 정렬합니다. 따라서 특정 트랜잭션 T를 생성한 직후에, 여러 계좌를 이용해 동일한 gas 가격을 가진 스팸 트랜잭션들을 생성할 수 있으며 그 중 하나가 트랜잭션 T 이후로 포함될 것입니다. -Philippe Castonguay-
해당하는 부분을 요약하자면, 동일한 Gas 가격 거래의 무작위 정렬(Ordering)은 스팸 트랜잭션들을 유도합니다[구체적인 Github 이슈]. 제안된 해결책은 거래를 nonce와 gasPrice 이외의 도착 시간별로 분류하는 것이지만, 분산형 네트워크에서 FIFO는 각 노드에 대해 동일한 순서를 가져오지 않는다는 문제점이 있습니다.
Opyn ETH Put Exploit
이번주는 또다른 흥미로운 해킹 사건이 Defi에서 발생하였습니다.
Opyn은 당신의 DeFi 예치금과 ETH에 대한 리스크를 헷지(Hedge)할 수 있게 해준다.
문제의 세부사항은 아직 작성 당시 분석 대상이지만, 공격자가 담보물을 추가하고 oToken들을 mint하는 워크플로우를 ETH를 통해 2번 정도 시나리오를 연습한 것으로 보입니다. Contract들은 공격의 영향을 받았으며 대부분의 자금 (572,165 USDC)은 초기 익스플로잇 (371,260 USDC) 이후 화이트 햇 해커에 의해 확보되었습니다.
Eth2.0 Attacknets
Eth2.0이 코앞에 다가왔지만 너무 복잡해서 스트레스 테스트가 더 많이 필요합니다. 이 리포지토리에서 다중 클라이언트 및 단일 클라이언트 공격 네트워크 구성과 이러한 프로젝트를 탐색하는 방법을 찾을 수 있습니다.
현재 바그바운티에 대한 보상금이 지급되고 있습니다. 또한 자동으로 버그를 찾는 Sigma Prime의 Beacon Fuzzer와 같이 도움이 될 수 있는 도구들이 있습니다. 더 깊이 관여하고 싶다면, 이더리움 재단은 Eth2 전담 내부 보안팀을 만들고 있다는 점을 참고하시면 좋습니다.
리서치 문서 리스트
- Model Checking Bitcoin and other Proof-of-Work Consensus Protocols
- STAN: Towards Describing Bytecodes of Smart Contract
- A Blockchain-based Iterative Double Auction Protocol using Multiparty State Channels
- Denial-of-Service Vulnerability of Hash-based Transaction Sharding: Attacks and Countermeasures
- Wendy, the Good Little Fairness Widget
- Phishing Scam Detection on Ethereum: Towards Financial Security for Blockchain Ecosystem
- Linux Security using Blockchain
- EShield: Protect Smart Contracts against Reverse Engineering
- WANA: Symbolic Execution of Wasm Bytecode for Cross-Platform Smart Contract Vulnerability Detection
- A Gas-Efficient Superlight Bitcoin Client in Solidity
참고 링크 리스트
- Solidity 0.6.12 — Solidity Blog
- Solidity 0.7.0 — Solidity Blog
- Ethereum 2.0 Economic Review
- ETH2.0 Specs v0.12.2
- Protecting Validator Keys — Attestant
- Symbolic execution for hevm — Formal Verification Blog
- Evidence of Mempool Manipulation on Black Thursday: Hammerbots, Mempool — blocknative
- Ledger App Isolation Bypass — Monokh
- Working With Binance to Return $10,000 of Stolen Crypto to a Victim — MyCrypto Harry
- Compression, and Spontaneous Stuck Transactions — Blocknative
- Exploring Fully Homomorphic Encryption — Vitalik Buterin
- A mathematical model of a DGTX cryptocurrency exchange. Part 1 — SmartDec
- More than 1,000 people at Twitter had ability to aid hack of accounts — Reuters
- Elliptic Identifies Likely Use of Wasabi Wallet Service to Launder Twitter Hack Bitcoins — Elliptic
- Three people have been charged for Twitter’s huge hack, and a Florida teen is in jail — The Verge
- Bitcoin Softfork Activation Methodology — BitMex
- Accidentally stepping on a DeFi lego — Trail of Bits
- How to protect yourself against hacks with Nexus Mutual — Bankless
- Augur v2 Launches
- Lightning Sucks 2: Electric Boogaloo — Elias Rohrer Talks Timing Attacks
- Attacker Stole 807K ETC in Ethereum Classic 51% Attack — Bitquery
- Can GPT-3 develop or audit smart contracts? — Peteris Erins Twitter Thread
- Philippines’ SEC just denounced the top Ethereum dapp as a Ponzi — Decrypt
- How hackers laundered $3.4 million Bitcoin in plain sight — Decrypt
- 4bytes.info is back up again
- Tor 0day: Stopping Tor Connections — The Hacker Factor Blog
만약 이 뉴스 레터가 유익했다면 주위 사람들에게 공유해주거나 뉴스 레터에 구독하주시길 바랍니다.
