💻 computer science

GenDetect: Generalizing Reactive Detection for Resilience Against Imitative DeFi Attack Cascade

GenDetect 는 초기 악용 사례를 일반화 가능한 탐지 규칙으로 자동 추상화하여 모방형 DeFi 공격의 급속한 확산을 해결함으로써 높은 정확도를 달성하고 이전에 탐지되지 않았던 수많은 사건을 드러내는 새로운 시스템입니다.

원저자: Bowen Cai, Weiheng Bai, Youshui Lu, Haoran Xu, Yuannan Yang, Yajin Zhou, Kangjie Lu

게시일 2026-04-30

📖 3 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Bowen Cai, Weiheng Bai, Youshui Lu, Haoran Xu, Yuannan Yang, Yajin Zhou, Kangjie Lu

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

분산 금융 (DeFi) 의 세계를 자동화된 규칙 (스마트 계약) 을 통해 자산을 거래하는 거대하고 분주한 디지털 시장으로 상상해 보세요. 불행히도 도둑들은 이러한 규칙의 자물쇠를 따는 방법을 터득했습니다.

이 논문은 The Copycat Cascade(모방자 연쇄) 라는 특정하고 성가신 도둑질 패턴을 막기 위해 설계된 새로운 보안 시스템 GenDetect을 소개합니다.

간단한 비유를 통해 문제와 해결책을 살펴보겠습니다.

문제: "모방자" 도둑

디지털 세계에서는 도둑이 한 특정 가게 (DeFi 프로토콜) 에 침입하는 방법을 알아내면 한 번만 훔치지 않습니다. 그들은 종종 "방법" 가이드를 게시하거나, 다른 도둑들이 성공을 보고 똑같은 일을 시도합니다.

현실: 저자들은 DeFi 공격의 **69%**가 이전 공격들의 단순한 복사본임을 발견했습니다. 몇 가지 숫자를 바꾸거나 단계의 순서를 바꾸는 정도일 뿐, 핵심 수법은 동일합니다.
과거의 방식: 기존 보안 시스템은 알려진 범죄자의 이름만 아는 경비원들과 같습니다. 다른 모자를 쓴 새로운 범죄자가 나타나면 경비원은 놓쳐버립니다. 설령 경비원이 첫 번째 도둑을 발견하더라도, 두 번째 도둑을 잡기 위해 수사관이 수동으로 새로운 규칙을 작성해야 합니다. 규칙이 작성되는 동안에는 두 번째, 세 번째, 네 번째 도둑이 이미 수백만 달러를 훔쳐버립니다.
간극: 새로운 공격을 발견하고 모방자들을 막을 규칙을 구축하는 사이에는 느리고 수동적인 지연이 존재합니다.

해결책: GenDetect ("패턴 인식기")

GenDetect 는 다음과 같은 시스템입니다: "한 번 도둑을 보면, 그들의 수법을 즉시 이해하고 옷을 갈아입더라도 같은 일을 하려는 누구든 잡아낼 수 있다."

이는 저자들이 Insight I과 Insight II라고 부르는 두 가지 주요 단계로 작동합니다.

1. "언어" 이해하기 (의미 추출)

DeFi 코드는 복잡하고 기술적인 언어로 작성됩니다. 컴퓨터에게 doSwap 이라는 함수와 swapTokensForEth 라는 함수는 완전히 다른 단어로 보입니다. 하지만 인간에게 둘은 같은 의미입니다: "돈을 교환한다."

과거의 방식: 컴퓨터는 함수 이름만 봅니다. 이름이 조금만 바뀌어도 다른 행동이라고 생각합니다.
GenDetect 의 방식: 함수 이름 뒤에 있는 소스 코드(실제 레시피) 를 살펴봅니다. 함수를 그들이 실제로 수행하는 행동 (예: "이건 전송이다", "이건 스왑이다") 에 따라 그룹화합니다.
비유: 책이 표지 제목으로 분류된 도서관을 상상해 보세요. 책 이름을 바꾸면 잘못된 선반으로 가게 됩니다. GenDetect 는 제목을 무시하고 책의 첫 페이지를 읽어서 책이 실제로 어떤 내용인지 파악한 후 올바르게 분류합니다. 이를 통해 겉보기에 다른 두 코드가 실제로는 동일한 금융 수법을 수행하고 있음을 인식할 수 있습니다.

2. 잡음 무시하기 (논리 매칭)

도둑들은 종종 거래에 불필요한 단계를 추가하여 흔적을 숨기려 합니다. 예를 들어, "구매" 단계를 추가한 뒤 "판매" 단계를 거치고, 실제 "도둑질" 단계를 수행할 수 있습니다.

과거의 방식: 기존 시스템은 단계의 순서를 봅니다. 도둑이 순서를 바꾸면 시스템은 "이건 패턴과 일치하지 않는다!"라고 말하고 통과시킵니다.
GenDetect 의 방식: "잡음"을 필터링합니다. 특정 유형의 토큰 (메인 통화 대 특정 프로젝트 토큰 등) 과 관련된 핵심 동작에만 집중합니다. "순서나 불필요한 수식어와 상관없이 도둑질의 필수 단계를 수행했는가?"라고 묻습니다.
비유: 특정 춤 안무를 식별하려 한다고 상상해 보세요. 나쁜 시스템은 "너는 회전, 점프, 미끄러짐을 했어. 원래는 미끄러짐, 회전이었어. 실패야!"라고 말합니다. GenDetect 는 "순서나 네가 추가한 여분의 회전은 상관없어. 너는 핵심 '미끄러짐 - 점프' 동작을 했어. 너는 같은 무용가야"라고 말합니다.

얼마나 잘 작동할까요?

저자들은 GenDetect 를 기존 보안 도구들과 비교하여 테스트했습니다:

정확도: 공격의 **98%**를 정확하게 식별했으며, 오경보를 거의 발생시키지 않았습니다 (거짓 양성 1% 만 발생).
속도: 블록체인에서 거래가 발생하는 실시간으로 확인하기에 충분히 빠릅니다.
발견: 실제 데이터를 실행했을 때, 다른 누구도 아직 발견하지 못한 56 건의 공격을 찾아냈으며, 이는 150 만 달러 이상의 도난 자금이 관련되어 있었습니다. 이들은 표면적으로 약간 다르게 보였기 때문에 다른 경비원들을 속여넘긴 "모방자"들이었습니다.

결론

GenDetect 는 "도둑질 후 인간이 규칙을 작성할 때까지 기다리는" 방식에서 "도둑질의 유형을 즉시 인식하고 모든 모방자를 즉시 막는" 방식으로 게임을 바꿉니다. 이는 느리고 반응적인 과정을 빠르고 일반화된 방어 시스템으로 전환하여, 취약점이 노출된 후에도 도둑들이 그 악용을 계속 복사하는 동안 몇 달 동안 열려있지 않도록 보장합니다.

"GenDetect: Resilience Against Imitative DeFi Attack Cascade 를 위한 일반화 반응형 탐지"에 대한 상세 기술 요약입니다.

1. 문제 정의

이 논문은 탈중앙화 금융 (DeFi) 에서 발생하는 **모방 공격 연쇄 (Imitative Attack Cascades)**라는 치명적인 보안 격차를 다룹니다.

현상: 성공적인 악용 사례가 발견되면, 공격자 (또는 모방자) 가 매개변수 변경, 호출 순서 재배열, 또는 난독화와 같은 사소한 수정을 통해 공격 로직을 신속하게 복제합니다. 실증 분석에 따르면 DeFi 공격의 69% 이상이 이전 사건의 모방이며, 이로 인해 20 억 달러 이상의 손실이 발생했습니다.
현재 시스템의 한계: 기존 탐지 방법은 다음과 같은 한계를 가집니다.
- 휴리스틱 기반: 알려진 악용자 주소나 Tornado Cash 사용과 같은 정적 신호에 의존하여 새로운 변형을 탐지하지 못합니다.
- 취약점 특화: 재진입 (reentrancy) 또는 플래시 론 (flash loans) 과 같은 특정 버그 유형에 초점을 맞추어 일반적인 행동 패턴을 다루지 못합니다.
- 수동/반응형: 새로운 탐지 규칙을 만들기 위해 느린 수동 추적 분석이 필요하여, 방어 수단이 배포되기 전에 후속 공격이 성공하는 용납할 수 없는 지연을 초래합니다.
목표: 단일 관찰된 공격 사례를 받아 자동으로 강력하고 재사용 가능한 탐지 규칙으로 일반화하여, 이후의 모방 공격을 실시간으로 포착할 수 있는 시스템을 개발하는 것입니다.

2. 방법론: GenDetect 프레임워크

GenDetect 는 문제를 (C1) 다양한 함수 시그니처의 의미적 추상화와 (C2) 노이즈가 포함된 추적에서의 강력한 로직 매칭이라는 두 가지 핵심 과제로 분해합니다. 이는 네 가지 기술 구성 요소를 통해 해결됩니다.

A. 소스 기반 의미 추출 (통찰 I)

오해의 소지가 있을 수 있는 피상적인 함수 이름 대신, GenDetect 는 DeFi 프로토콜의 오픈 소스 특성을 활용하여 실제 코드 동작을 이해합니다.

T1: 함수 시그니처 치트시트: 저자들은 CodeBERT를 사용하여 소스 코드를 클러스터링하고 인간 전문가가 검증함으로써, 1,272 개의 고유한 함수 시그니처를 122 개의 의미 범주 (예: swap, mint, transfer) 로 매핑하는 큐레이션된 데이터베이스를 구축했습니다.
T2: 자동 분류 파이프라인: 보이지 않는 시그니처의 경우, 시스템은 소스 코드를 가져와 CodeBERT 를 사용하여 참조 데이터베이스에서 가장 유사한 함수를 찾고, **LLM 기반 추론 (GPT-4.1)**을 통해 분류를 검증합니다. 이를 통해 시스템은 수동 재학습 없이도 새로운 계약에 적응할 수 있습니다.

B. 계약 레이블 기반 로직 추출 (통찰 II)

DeFi 트랜잭션 추적에는 많은 benign 내부 호출이 포함되어 있어 노이즈가 많습니다. GenDetect 는 이를 필터링하여 공격자의 의도를 격리합니다.

T3: 로직 추출: 시스템은 공격자 (외부 소유 계정 또는 공격자가 제어하는 스크립트) 로부터의 직접 호출만 유지하도록 트랜잭션 추적을 필터링합니다. 재귀적 프로토콜 호출과 "래퍼" 레이어를 제거하여 추적을 필수 작업의 평탄화된 시퀀스로 축소합니다.
T4: 토큰 유형 인식 로직 매칭: 추출된 로직은 대상 토큰에 따라 두 가지 범주로 나뉩니다.
1. 핵심 자산 작업: (예: ETH, USDT) 가치 추출을 나타냅니다.
2. 프로토콜 특정 작업: (예: 거버넌스 토큰, LP 토큰) 악용 메커니즘을 나타냅니다.
- 지표: 재순서에 실패하는 최장 공통 부분 수열 (Longest Common Subsequence) 과 같은 시퀀스 기반 매칭 대신, GenDetect 는 **비대칭 정규화 집합 차이 (Asymmetrical Normalized Set Difference, ANSD)**를 사용합니다.
- 공식: $Sim(A, B) = 1 - \frac{|A \setminus B|}{|A|}$ , 여기서 $A$ 는 알려진 공격 패턴입니다. 이는 새로운 트랜잭션 $B$ 에서 확인된 공격 로직의 얼마나 많은 부분이 보존되었는지를 측정하며, $B$ 의 관련 없는 노이즈나 재순서를 무시합니다.

3. 주요 기여

최초의 반응형 일반화 시스템: 단일 관찰된 악용 사례를 일반화 가능한 탐지 규칙으로 변환하여 발견과 확장 가능한 방어 사이의 격차를 해소하는 프레임워크입니다.
의미 및 로직 프레임워크: 소스 코드 기반 의미 분류와 토큰 유형 인식 집합 기반 매칭을 결합한 새로운 접근 방식으로, 난독화된 benign 트랜잭션으로 인한 오탐과 변형된 공격 패턴으로 인한 미탐을 줄입니다.
고성능 파이프라인: 주요 블록체인들의 지연 시간 요구 사항을 충족하는 실시간 분석이 가능한 병렬화 가능한 탐지 파이프라인입니다.
실제 발견: 이 시스템은 150 만 달러 이상의 가치가 관련된 56 개의 이전에 공개되지 않은 공격을 현장에서 성공적으로 식별하여 알려진 벤치마크를 넘어선 실용성을 입증했습니다.

4. 평가 결과

이 시스템은 벤치마크 및 실제 세계 데이터셋에서 최신 도구 (Forta, DeFiRanger, TxSpector, POMABuster) 와 비교하여 평가되었습니다.

정확도 (교차 검증):
- F1-점수: 98% (Forta 의 91%, DeFiRanger 의 77% 대비).
- 거짓 양성률 (FPR): 1% (Forta 의 16% 대비).
- 거짓 음성률 (FNR): 3%.
Zero-Shot 일반화:
- 해당 특정 사건에 대한 사전 학습 없이 보이지 않는 데이터셋 (Phalcon 및 DeFiHackLab) 에서 테스트되었습니다.
- 커버리지: GenDetect 는 공격의 **76%**를 탐지하여 Forta(65%) 와 DeFiRanger(44%) 를 크게 능가했습니다.
효율성:
- 처리량: 96 코어에서 초당 **2,000 개 이상의 트랜잭션 (TPS)**을 처리할 수 있어 이더리움 및 BNB 체인의 실시간 요구 사항을 충족합니다.
- 지연 시간: 트랜잭션당 평균 처리 시간은 0.1 초 미만이며, 최악의 시나리오 (긴 추적) 도 0.7 초 이내에 완료됩니다.
절제 연구: 의미 추출 모듈을 제거하면 F1-점수가 50% 이상 하락하여, 단순 키워드 매칭보다 소스 코드 기반 이해의 중요성을 입증했습니다.

5. 의의

패러다임 전환: DeFi 보안을 "반응형 수동 규칙 생성"에서 "자동화된 의미 일반화"로 전환합니다. 새로운 취약점은 예측하기 어렵지만, 근본적인 로직이 올바르게 추상화된다면 모방 공격은 예측 가능하다는 점을 인정합니다.
회피에 대한 복원력: 시퀀스 기반 매칭 대신 집합 기반 유사도 (ANSD) 를 사용하여, 탐지를 회피하기 위해 호출 순서를 재배열하거나 노이즈를 삽입하는 공격자에 대해 시스템이 강력합니다.
실질적 영향: 56 개의 숨겨진 공격을 발견한 것은 현재 모니터링 도구가 위협 환경의 상당 부분을 놓치고 있음을 증명합니다. GenDetect 는 이 격차를 해소할 확장 가능하고 자동화된 메커니즘을 제공하여, 모방 공격의 "연쇄" 효과를 방지함으로써 향후 수십억 달러의 손실을 예방할 수 있습니다.

한계점: 현재 시스템은 공개 메모풀 모니터에 트랜잭션이 보이지 않는 프라이빗 릴레이 (다크 풀) 를 통해 시작된 공격에는 어려움을 겪으며, 솔라나의 65k TPS 와 같은 극단적인 처리량 요구 사항은 상당한 수평 확장 또는 사전 필터링이 필요할 수 있습니다.