Assessing Vulnerability in Smart Contracts: The Role of Code Complexity Metrics in Security Analysis

기술 요약: 코드 복잡도 지표를 통한 스마트 컨트랙트의 취약성 평가

문제 정의
이더리움과 같은 블록체인 플랫폼에 배포되는 스마트 컨트랙트는 불변성을 가지며 종종 높은 가치의 금융 거래를 처리하므로 보안 보장이 매우 중요하다. 기초가 되는 블록체인은 안전하지만, 스마트 컨트랙트 자체는 프로그래머의 부주의나 코딩 오류로 인한 취약점에 노출될 수 있다. 전통적인 정적 분석 도구는 특정 취약 유형을 탐지하기 위해 패턴 매칭에 의존하는 경우가 많다. 그러나 코드의 구조적 특성, 즉 소프트웨어 복잡도가 취약한 영역을 식출하는 보완적인 지표로서 역할을 할 수 있는지에 대한 이해가 필요하다. 저자들은 기존의 모범 사례에서 벗어난 코드(즉, 높은 복정도를 가진 코드)가 보안 결함에 더 많이 노출될 수 있다고 가정하지만, 복잡도 지표와 솔리디티(Solidity) 스마트 컨트랙트 취약성 사이의 구체적인 관계는 경험적 검증이 필요한 미결 과제로 남아 있다.

연구 방법론
본 연구는 21가지의 서로 다른 소프트웨어 복잡도 지표와 솔리디티 스마트 컨트랙트 내 취약점 존재 여부 간의 관계를 분석하기 위해 정량적, 경험적 접근 방식을 채택한다.

• 데이터셋: 본 연구는 Liu 등이 추출한 데이터셋을 활용하며, 이는 Etherscan에서 크롤링한 16,239개의 개별 컨트랙트(취약한 컨트랙트 258개, 중립적 컨트랙트 15,981개)로 구성된다. 취약한 컨트랙트는 정수 언더플로우/오버플로우(Integer Underflow/Overflow), 위험한 이더 엄격 동등성(Dangerous Ether Strict Equality), 재진입성(Reentrancy), 타임스탬프 의존성(Timestamp Dependency), 블록 번호 의존성(Block Number Dependency), 위험한 델리게이트콜(Dangerous Delegatecall), 이더 동결(Ether Frozen), 확인되지 않은 외부 호출(Unchecked External Call)의 8가지 특정 취약 유형을 기준으로 라벨링되었다.
• 지표 추출: 정적 분석 도구인 Solmet을 사용하여 각 컨트랙트에 대해 21개의 복잡도 지표를 추출하였다. 여기에는 크기 지표(SLOC, LLOC, CLOC), 구조적 지표(NF, WMC, NOS), 중첩 지표(NL, NLE), 상속 지표(DIT, NOA, NOD), 결합도 지표(CBO, NOI, NA), 그리고 이러한 지표들의 평균값이 포함된다.
• 통계 분석:
  • 상관관계 분석: 지표 간의 단조적 관계를 평가하고 지표 간의 중복성을 식별하기 위해 스피어만 순위 상관계수(Spearman's rank correlation coefficient)를 사용하였다.
  • 그룹 비교: 지표 값의 분포가 취약한 컨트랙트와 중립적 컨트랙트 간에 유의미하게 다른지 결정하기 위해 맨-휘트니 U 검정(Mann-Whitney U test)을 사용하였다.
  • 효과 크기: 두 그룹 간 차이의 크기를 정량화하기 위해 클리프 델타(Cliff's Delta, $\delta$)를 계산하였다.
  • 신뢰 구간: 두 그룹 간 지표의 중심 경향성(평균)을 비교하기 위해 신뢰 구간을 사용하였다.

주요 기여
본 논문은 복잡도 지표의 유용성을 평가하기 위해 네 가지 구체적인 연구 질문(RQ)을 다룬다:

1. RQ1 (지표 간 상호 의존성): 본 연구는 특정 지표들 사이의 유의미한 중복성을 식별하였다. 예를 들어, SLOC는 NOI, NOS, WMC, NF와 강하게 상관되어 있다. 마찬가지로, 중첩 지표(NL, NLE)와 그 평균값은 높은 상관관계를 보여, 21개의 모든 지표가 취약점 탐지를 위해 고유한 정보를 제공하는 것은 아님을 시사한다.
2. RQ2 (지표-취약성 상관관계): 분석 결과, 21개 지표 모두 취약성 존재 여부와 통계적으로 유의미한 상관관계($p < 0.05$)를 보였으나, 이러한 상관관계의 강도는 일반적으로 약한 수준(대부분 계수가 0.3 미만)이었다. 이는 상관관계가 흔히 더 강하게 나타나는 전통적인 프로그래밍 언어에서의 결과와 대조적이다. 결과적으로, 단일 지표가 독자적으로 강력한 예측 인자로 작용하지는 못한다.
3. RQ3 (판별력): 약한 개별 상관관계에도 불구하고, 맨-휘트니 U 검정은 모든 지표가 취약한 코드와 중립적 코드를 통계적으로 구분할 수 있음을 확인하였다 ($p < 0.05$). 대부분의 지표는 큰 효과 크기(예: SLOC, LLOC, NF, WMC, NL, NOS, CBO, NA, NOI)를 나타내며, 이는 두 그룹 간의 지표 분포가 실질적으로 다름을 의미한다.
4. RQ4 (차이의 방향성): 본 연구는 취약한 컨트랙트가 대부분의 지표에서 중립적 컨트랙트보다 일반적으로 높은 평균 복잡도 점수를 보인다는 것을 발견하였다. 그러나 취약한 컨트랙트가 더 낮은 값을 보이는 세 가지 주목할 만한 예외가 있었다:
   • CLOC (주석 라인): 중립적 컨트랙트가 더 많은 주석을 보유하고 있으며, 이는 문서화가 취약성을 완화할 수 있음을 시사한다.
   • NOD (자손 수): 취약한 컨트랙트는 자손 수가 더 적다.
   • Avg. NUMPAR (평균 파라미터 수): 취약한 컨트랙트는 평균적으로 파라미터 수가 더 적다.

결과 및 의의
본 논문은 복잡도 지표가 취약성의 직접적인 원인이 아니라 **지표(indicator)**라고 결론짓는다. 연구 결과의 주요 의의는 다음 사항들에 있다:

• 집단적 유용성: 개별 지표는 약한 예측력을 가지지만, 본 연구는 복잡도 지표를 집단적으로 분석했을 때 강력한 판별 능력을 갖추고 있음을 입증하였다. 이는 자동화된 취약점 탐지 도구에서 보완적인 특징(feature)으로 사용될 수 있음을 뒷받침한다.
• 중복성 관리: 높은 상관관계를 가진 지표들(예: SLOC vs. WMC vs. NF)을 식별한 것은, 정확도를 희생하지 않으면서 효율성을 높이기 위해 비중복적인 특징 부분 집합을 선택함으로써 취약점 예측 모델을 최적화할 수 있음을 시사한다.
• 맥락적 뉘앙스: 본 연구의 결과는 전통적인 소프트웨어와 비교하여 솔리디티만의 고유한 특성을 강조한다. 예를 들어, 주석 밀도(CLOC)와의 역관계는 스마트 컨트랙트 맥락에서 문서화의 부족이 특정 위험 마커가 될 수 있음을 보여준다.
• 실제 적용: 저자들은 이러한 지표들이 감사(audit) 노력을 우선순위화하기 위해 기존 정적 분석 도구에 통합될 수 있다고 제안한다. 복잡도 점수가 높은 컨트랙트는 심층적인 수동 검토 대상으로 분류될 수 있으며, 개발자들은 중첩을 최소화하고, 결합도를 줄이며, 적절한 문서화를 보장하는 등의 모범 사례를 준수하기 위해 이러한 통찰력을 활용할 수 있다.

저자들은 관찰된 관계가 통계적 연관성임을 강조하며 신중한 입장을 유지한다. 그들은 높은 복잡도가 종종 더 큰 "문제 영역"(예: 복잡한 DeFi 프로토콜은 자연스럽게 더 많은 코드를 필요로 함)과 상관관계가 있으며, 이것이 복잡도 지표 자체가 유일한 인과 기제라기보다는 증가된 취약성 위험을 유발하는 근본적인 동인일 수 있음을 인정한다. 향후 연구로는 도메인 특화 층화 분석 및 인지 복잡도(cognitive complexity) 지표의 탐색이 제안된다.