Malicious Code Detection in Smart Contracts via Opcode Vectorization

기술 요약: 오프코드 벡터화를 통한 스마트 컨트랙트의 악성 코드 탐지

문제 정의
금융, 공급망, 사물인터넷(IoT) 분야에서 스마트 컨트랙트의 급격한 확산은 심각한 보안 리스크를 초래했습니다. Parity 멀티시그 지갑 동결 사건이나 BEC 정수 오버플로 취약성과 같은 과거 사례들은 악성 코드로 인해 발생할 수 있는 막대한 재정적 손실의 잠재력을 보여줍니다. 기존의 정적 및 동적 분석 방법들이 존재하지만, 이들은 낮은 효율성, 높은 오탐률, 그리고 새로운 유형이나 복잡한 취약점을 탐지하지 못하는 한계를 가지고 있습니다. 더욱이 소스 코드가 제공되지 않는 경우가 많아(이더리움 컨트랙트의 약 1%만이 검증된 소스 코드를 보유), 바이트코드 또는 오프코드 수준에서의 분석이 필수적입니다. 본 논문이 다루는 핵심 과제는 머신러닝을 활용하여 스마트 컨트랙트의 악성 코드를 효과적으로 탐지하는 것이며, 특히 특징 추출 및 오프코드 시퀀스로부터의 벡터화라는 결정적인 단계에 집중합니다.

방법론
제안된 접근 방식은 스마트 컨트랙트 텍스트로부터 도출된 오프코드 벡터화를 중심으로 하는 머신러닝 파이프라인을 활용합니다. 방법론은 다음 단계들을 거쳐 진행됩니다:

1. 오프코드 분류 및 단순화:
   "차원의 저주"와 의미론적 손실을 완화하기 위해, 저자들은 먼저 이더리움 가상 머신(EVM) 오프코드를 그들의 의미론적 역할에 따라 분류합니다. 오프코드는 Operational, Predictable Variable, Logic, Arithmetic, Comparison, Address/Balance, CALL-family, SSTORE-family, Termination, 그리고 Jump instruction과 같은 클래스로 그룹화됩니다. 특정 단순화 규칙이 적용되어(예: PUSH1–PUSH32를 단일 PUSH 토큰으로 매핑), 오프코드 어휘를 35개의 고유한 단순화된 토큰으로 축소합니다.

2. 벡터화 전략:
   본 논문은 두 가지 특징 추출 방법을 비교합니다:

• 방법 1 (직접 정량화): 추가적인 구조적 고려 없이 원시 또는 단순화된 오프코드에 N-Gram (N=2) 및 TF-IDF 알고리즘을 직접 적용합니다.
• 방법 2 (제안된 텍est 기반 벡터화): 단순화된 오프코드를 먼저 순차적 관계를 포착하기 위해 바이그램(2-Gram)으로 변환하는 2단계 프로세스입니다. 이후 이 바이그램들은 TF-IDF 알고리즘을 사용하여 가중치가 부여됩니다. 이 방법은 프로그램의 문맥을 보존하고 중요한 행동적 영향을 미치는 오프코드를 강조하는 것을 목표로 하며, 35개의 단순화된 오프코드 조합을 기반으로 벡터 차원을 1225로 표준화합니다.

3. 모델 학습 및 평가:
   벡터화된 특징들은 다섯 가지 머신러닝 분류기인 SVM, Decision Tree, Random Forest, KNN, 그리고 Logistic Regression에 입력됩니다. 또한 본 연구는 멀티 레이블 탐지(재진입성 및 액세스 제어 문제와 같이 여러 취약성 유형을 동시에 식별)를 처리하기 위한 Classifier Chain 모델을 탐구합니다.

4. 데이터셋 및 레이블링:
   데이터셋은 Etherscan에서 가져온 500개의 스마트 컨트랙트로 구성됩니다. 취약점은 정적 분석 도구인 Slither를 사용하여 레이블링되었으며, 80개의 취약한 컨트랙트(액세스 제어 37개, 재진입성 58개)를 식별했습니다. 데이터는 70%의 훈련 세트와 30%의 테스트 세트로 분할되었습니다.

주요 기여

• 오프코드 벡터화 프레임워크: 본 논문은 의미론적 분류, 단순화, N-Gram 시퀀싱, 그리고 TF-IDF 가중치를 결합하여 스마트 컨트랙트 오프코드를 기계 판독 가능한 벡터로 변환하는 구체적인 워크플로우를 제안합니다.
• 비교 분석: 다양한 머신러닝 모델에 걸쳐 직접적인 오프코드 정량화와 제안된 텍스트 기반 벡터화 방법 간의 비교 평가를 제공합니다.
• 멀티 레이블 탐지 접근 방식: 서로 다른 취약성 레이블 간의 상호 의존성을 인정하며, 여러 취약성 유형을 동시에 탐지하기 위한 Classifier Chain의 적용을 조사합니다.

실험 결과
실험 결과는 데이터셋의 한계로 인해 엇갈린 결과를 보여주었습니다:

• 데이터셋 제약: 작은 샘플 크기(500개 컨트랙트)와 심각한 클래스 불균형(악성 컨트랙트가 80개뿐임)이 모델 성능에 큰 영향을 미쳤습니다. 특히, "Access Control" 취약성 카테고리는 데이터 부족으로 인해 모든 모델에서 결과를 생성하지 못했습니다.
• 방법론 비교:
  • 방법 1은 모든 5개 모델에서 동일한 성능 지표(정확도: 0.583, F1: 0.737)를 나타냈으며, 이는 모델이 이 방식으로 특징을 효과적으로 구분하지 못했음을 시사합니다.
  • 방법 2는 다양한 성능을 보였습니다. Decision Tree 모델이 이 방법에서 가장 좋은 결과(정확도: 0.667, F1: 0.765)를 얻었으며, 방법 1보다 우수한 성능을 보였습니다. 그러나 Random Forest 모델은 방법 2보다 방법 1에서 더 나은 성능을 보였습니다.
• Classifier Chain: 여러 취약성을 동시에 탐지하도록 학습된 Classifier Chain 모델은 하위 수준의 성능(정확도: 0.333, F1: 0.343)을 기록했습니다. 저자들은 이 낮은 성능의 원인을 불균형한 데이터셋과 제한된 양성 샘플로 인한 레이블 간 상관관계 학습의 어려움으로 돌렸습니다.

의의 및 주장
본 논문은 자신의 주요 기여가 오프코드 벡터화 기술에 대한 탐색에 있다고 겸허히 주장합니다. 저자들은 머신러닝이 자동화된 감사를 위한 유망한 경로를 제공하지만, 이러한 시스템의 효과는 현재 데이터의 질과 양에 의해 병목 현상이 발생하고 있다고 상정합니다.

저자들은 다음을 강조합니다:

1. 특징 처리가 결정적임: 오프코드가 어떻게 단순화되고 벡터화되는지가 탐지 결과에 직접적이고 상당한 영향을 미칩니다.
2. 데이터 희소성이 주요 장애물임: 검증된 악성 컨트랙트 샘플의 희소성과 정상 컨트랙트와 악성 컨트랙트 사이의 불균형은 편향과 분산을 유발하여 현재 모델의 일반화 능력을 제한합니다.
3. 향후 방향: 향후 연구는 대규모의 대표성 있는 데이터셋 구축(잠재적으로 자동화된 웹 크롤링을 통해)과 레이블이 없는 데이터를 활용하기 위한 준지도 학습 또는 비지도 학습의 탐색을 우선시해야 합니다.

결론적으로, 본 논문은 오프코드 기반 벡터화가 스마트 컨트랙트 분석에 있어 실현 가능하다는 것을 입증하는 기초 연구 역할을 하는 동시에, 데이터 희소성으로 인한 현재의 한계와 이러한 머신러닝 접근 방식을 검증하기 위한 더 강력한 데이터셋의 필요성을 솔직하게 밝히고 있습니다.