스마트 컨트랙트 공격 벡터

이 저장소의 목표는 가능한 모든 스마트 컨트랙트 취약점과 이를 학습하기 위한 자료를 한곳에 모아 정리하는 것입니다.

문서의 사소한 수정부터 문서나 도구 추가까지 무엇이든 풀 리퀘스트(Pull Request)를 자유롭게 제출해 주세요.

보안 취약점 목록

• 접근 제어
  • tx.origin을 사용한 인증
  • 기본 가시성
  • 서명 검증
  • 보호되지 않은 Ether 출금
  • 보호되지 않은 SELFDESTRUCT 명령
  • 누락된 수정자(Modifier)
  • 잘못된 수정자 이름
  • 과도한 권한을 가진 역할
• 저수준 호출을 위한 계정 존재 확인
• 함수 변수를 사용한 임의 점프
• Assert 위반
• 컨트랙트 크기 확인 우회
• 효과가 없는 코드
• 복잡한 수정자(Modifier)
• DoS(서비스 거부)
  • 예기치 않은 Revert
  • 블록 가스 한도
  • 가스 스티펜드가 없는 외부 호출
• 오염된 상위 비트
• 엔트로피 착각 / 안전하지 않은 난수 생성
• 실험적 언어 기능
• 외부 컨트랙트 참조
• 플래시 론 공격
• 부동 소수점 산술
• 프론트엔드(오프체인) 공격
  • 짧은 주소 공격
• 강제 입금(Force Feeding)
• 함수 선택자 악용
• 그리핑(Griefing)
• 악성 코드 숨기기
• 역사적 공격
  • 생성자 이름
  • 호출 깊이 공격
  • Solidity ABI 인코더 v2 버그
• 잘못된 배열 삭제
• 잘못된 인터페이스
• 가스 부족 공격
• 정수 산술
• 긴 배열 순회
• 하드코딩된 가스량을 사용한 메시지 호출
• 채굴자 공격
  • 트랜잭션 순서 조작 / 프론트러닝
  • 타임스탬프 조작
• 오프라인 소유자
• 오라클 조작
• 오래된 컴파일러
• Payable 멀티콜
• 계산의 정밀도 손실
• 프라이버시 착각
• 프록시 저장소 충돌
• 재진입
• 오른쪽에서 왼쪽 재정의 제어 문자(U+202E)
• 샌드위치 공격
• 서명 재사용
• 확인되지 않은 외부 호출
• 초기화되지 않은 저장소 포인터
• 보호되지 않은 업그레이드
• 안전하지 않은 Delegatecall
• 사용되지 않는 변수
• 더 이상 사용되지 않는 Solidity 함수 사용
• 변수 섀도잉
• 임의 저장소 위치에 쓰기
• 잘못된 상속

CTFs

보안 도구

읽어볼 기사 / 논문

• 블록체인 보안 로드맵 - https://lnkd.in/gPw7Nf4J

• 호루스의 눈: 이더리움 스마트 컨트랙트 공격 탐지 및 분석 - https://lnkd.in/gnzDrXaH

• BLOCKEYE - 블록체인의 DeFi 공격 헌팅 - https://lnkd.in/gvxmW8Hu

• 동적 다계층 블록체인 네트워크의 위상 기반 이상 탐지 - https://lnkd.in/gPG6vrAM

• Dafny를 사용한 증분 Merkle 트리 알고리즘 검증 - https://lnkd.in/gfk3YrEd

• GoHammer 블록체인 성능 테스트 도구 - https://lnkd.in/gHhjWdHj

• EtherClue: 이더리움 스마트 컨트랙트 공격에 대한 디지털 조사 - https://lnkd.in/gvuaaKaT

• 가능한 사용 사례별 블록체인 플랫폼 요구사항 분석 및 평가 - https://lnkd.in/g7G9Rpxj

• 상수 함수 마켓 메이커의 프라이버시에 관한 고찰 - https://lnkd.in/guEEV7Gm

• 이더리움 스마트 컨트랙트의 서비스 거부(DoS) 취약점 탐지 접근법 - https://lnkd.in/gT3C-9fq

• AGSolT: Solidity 스마트 컨트랙트용 자동 테스트 케이스 생성 도구 - https://lnkd.in/gYDvEndF

• 이더리움 스마트 컨트랙트의 재진입 취약점 식별 - https://lnkd.in/g6EVMjpg

• Coinbugs: 일반적인 블록체인 구현 수준 취약점 열거 - https://lnkd.in/gqTS47JW

• SuMo: Solidity 스마트 컨트랙트를 위한 변형 테스트 전략 - https://lnkd.in/gm_ut_ev

• 이더리움 스마트 컨트랙트 버그를 위한 프레임워크 및 데이터셋 - https://lnkd.in/gGNzC8iz

• Coq에서 테스트 및 검증된 스마트 컨트랙트 추출 - https://lnkd.in/gYv2VgFJ

• 무신뢰(Trustless), 프라이버시 보존 블록체인 브리지 - https://lnkd.in/gxzndTd2

• 이더리움 스마트 컨트랙트 개발을 위한 보안 체크리스트: 패턴 및 모범 사례 - https://lnkd.in/grF8DuMU

기타 유용한 자료

• The Auditors Book

• CryptoFin Solidity Auditing Checklist

• SWC Registry

• Trail of Bits 참고 자료 목록

후원하기

여러분의 후원은 제가 사랑하는 일, 즉 DeFi 및 Crypto 사용자 교육을 계속하는 데 매우 중요합니다.

제 작업에 가치를 느끼시고 후원하고자 하신다면 다음 주소로 기부를 보내주실 수 있습니다 -

• 이더리움/폴리곤/BSC/Arbiturm 등 주소 – 0xB8B14B7f0E4dF000f0654aF98498d52e567F2bfE

• 솔라나 주소 – 2fM5d1cupj2Mceh1wSYTrq1PSz2JbTbcYipJ4RxRSgMB

• 비트코인 – bc1q5nmjw8x40upjd3k9akpmtj682xa3zus7sr7rm3

• 도지코인 - DPFhZeZkybzLZj3ReJPdWHnDzv1zU5pugA

• 라이트코인 - ltc1qzs3tj276zdjtuv5qy7aww3cc3frus8yvjdukln

• 바이낸스 추천 링크

여러분 모두에게 정말 정말 감사드립니다! 여러분의 후원 덕분에 더 많은 콘텐츠를 만들고, 작업의 질을 향상시키며, 궁극적으로 커뮤니티에 긍정적인 영향을 미칠 수 있습니다.

질문이 있거나 도움이 필요하면 LinkedIn으로 메시지를 보내 주세요 -

Linktree

감사합니다! 안전하세요!