論文の概要: Smart Contract Fuzzing Towards Profitable Vulnerabilities
- arxiv url: http://arxiv.org/abs/2501.08834v1
- Date: Wed, 15 Jan 2025 14:38:18 GMT
- ステータス: 翻訳完了
- システム内更新日: 2025-01-16 15:53:30.503553
- Title: Smart Contract Fuzzing Towards Profitable Vulnerabilities
- Title（参考訳）: スマートコントラクトファジングは、利益のある脆弱性に向かっている
- Authors: Ziqiao Kong, Cen Zhang, Maoyi Xie, Ming Hu, Yue Xue, Ye Liu, Haijun Wang, Yang Liu,
- Abstract要約: VERITEは利益中心のスマートコントラクトファジィフレームワークである。
スクラッチから完全に開発され、61個の実世界のDeFiプロジェクトからなるデータセットで評価されている。
検出(29/9)とエクスプロイト(平均利益の58倍)の両方において、最先端のファズー ITYFUZZ よりもはるかに優れている。
- 参考スコア（独自算出の注目度）: 10.908512696717724
- License:
- Abstract: Billions of dollars are transacted through smart contracts, making vulnerabilities a major financial risk. One focus in the security arms race is on profitable vulnerabilities that attackers can exploit. Fuzzing is a key method for identifying these vulnerabilities. However, current solutions face two main limitations: a lack of profit-centric techniques for expediting detection, and insufficient automation in maximizing the profitability of discovered vulnerabilities, leaving the analysis to human experts. To address these gaps, we have developed VERITE, a profit-centric smart contract fuzzing framework that not only effectively detects those profitable vulnerabilities but also maximizes the exploited profits. VERITE has three key features: 1) DeFi action-based mutators for boosting the exploration of transactions with different fund flows; 2) potentially profitable candidates identification criteria, which checks whether the input has caused abnormal fund flow properties during testing; 3) a gradient descent-based profit maximization strategy for these identified candidates. VERITE is fully developed from scratch and evaluated on a dataset consisting of 61 exploited real-world DeFi projects with an average of over 1.1 million dollars loss. The results show that VERITE can automatically extract more than 18 million dollars in total and is significantly better than state-of-the-art fuzzer ITYFUZZ in both detection (29/9) and exploitation (58 times more profits gained on average). Remarkbly, in 12 targets, it gains more profits than real-world attacking exploits (1.01 to 11.45 times more). VERITE is also applied by auditors in contract auditing, where 6 (5 high severity) zero-day vulnerabilities are found with over $2,500 bounty rewards.
- Abstract（参考訳）: 数十億ドルはスマートコントラクトを通じて取引され、脆弱性は金融上の大きなリスクとなる。
セキュリティの武器競争で注目されているのは、攻撃者が悪用できる利益の出る脆弱性だ。
ファジィはこれらの脆弱性を特定するための重要な方法である。
しかしながら、現在のソリューションでは、検出の迅速化のための利益中心のテクニックの欠如と、発見された脆弱性の収益性を最大化するための自動化の不十分、という2つの大きな制限に直面している。
これらのギャップに対処するため、我々は、利益中心のスマートコントラクトファジリングフレームワークであるVERITEを開発した。
VERITEには3つの重要な特徴がある。
1)異なる資金の流れによる取引の探索を促進するためのDeFi行動に基づくミュータ
2) 入出力が試験中に異常な資金流動特性を引き起こしたかどうかを判断する潜在的に有益な候補識別基準
3)これらの特定候補に対する勾配降下に基づく利益の最大化戦略。
VERITEはスクラッチから完全に開発され、61個の実世界のDeFiプロジェクトからなるデータセットで評価され、平均で1100万ドル以上の損失がある。
その結果、VERITEは1800万ドル以上の自動抽出が可能であり、検出(29/9)と利用(平均利益の58倍)の両方において最先端のファズーであるITYFUZよりはるかに優れていることがわかった。
注目すべきは、12のターゲットにおいて、実世界の攻撃的攻撃(1.01から11.45倍)よりも利益を得ることだ。
VERITEはまた、契約監査の監査者によって適用され、6(5つの高い重大な)ゼロデイ脆弱性が2500ドル以上の報奨金で見つかる。
関連論文リスト
- Retrieval Augmented Generation Integrated Large Language Models in Smart Contract Vulnerability Detection [0.0]
分散ファイナンス(DeFi)には、スマートコントラクトの脆弱性による大きな損失が伴っている。
攻撃が頻発するにつれて、監査サービスの必要性と需要が高まっている。
本研究では,大規模言語モデル(LLM)とRAG(Retrieval-Augmented Generation)を統合することにより,既存のフレームワークを構築する。
論文 参考訳（メタデータ） (2024-07-20T10:46:42Z) - All Your Tokens are Belong to Us: Demystifying Address Verification Vulnerabilities in Solidity Smart Contracts [24.881450403784786]
検証のプロセスにおける脆弱性は、大きなセキュリティ問題を引き起こす可能性がある。
静的EVMオペコードシミュレーションに基づく軽量なテナントアナライザであるAVVERIFIERの設計と実装を行う。
500万以上のスマートコントラクトを大規模に評価した結果,コミュニティが公表していない812の脆弱性のあるスマートコントラクトを特定しました。
論文 参考訳（メタデータ） (2024-05-31T01:02:07Z) - Intention Analysis Makes LLMs A Good Jailbreak Defender [79.4014719271075]
我々は,シンプルかつ高能率な防衛戦略,すなわち意図分析(mathbbIA$)を提示する。
$mathbbIA$ は LLM 固有の自己修正をトリガーし、2段階のプロセスを通じて能力を向上させる。
さまざまなjailbreakベンチマークの実験によると、$mathbbIA$は一貫して応答の有害性を著しく低減できる。
論文 参考訳（メタデータ） (2024-01-12T13:15:05Z) - Vulnerability Scanners for Ethereum Smart Contracts: A Large-Scale Study [44.25093111430751]
2023年だけでも、そのような脆弱性は数十億ドルを超える巨額の損失をもたらした。
スマートコントラクトの脆弱性を検出し、軽減するために、さまざまなツールが開発されている。
本研究では,既存のセキュリティスキャナの有効性と,現在も継続している脆弱性とのギャップについて検討する。
論文 参考訳（メタデータ） (2023-12-27T11:26:26Z) - G$^2$uardFL: Safeguarding Federated Learning Against Backdoor Attacks
through Attributed Client Graph Clustering [116.4277292854053]
Federated Learning (FL)は、データ共有なしで協調的なモデルトレーニングを提供する。
FLはバックドア攻撃に弱いため、有害なモデル重みがシステムの整合性を損なう。
本稿では、悪意のあるクライアントの識別を属性グラフクラスタリング問題として再解釈する保護フレームワークであるG$2$uardFLを提案する。
論文 参考訳（メタデータ） (2023-06-08T07:15:04Z) - Smart Contract and DeFi Security Tools: Do They Meet the Needs of
Practitioners? [10.771021805354911]
スマートコントラクトを狙った攻撃は増加しており、推定645億ドルの損失を生んでいる。
私たちは、目立った攻撃につながる可能性のある脆弱性を特定するために、自動セキュリティツールの有効性に光を当てることを目指しています。
このツールは、われわれのデータセットにおける攻撃のわずか8%を防げた可能性があり、23億ドルの損失のうち1億4900万ドルに相当する。
論文 参考訳（メタデータ） (2023-04-06T10:27:19Z) - ESCORT: Ethereum Smart COntRacTs Vulnerability Detection using Deep
Neural Network and Transfer Learning [80.85273827468063]
既存の機械学習ベースの脆弱性検出方法は制限され、スマートコントラクトが脆弱かどうかのみ検査される。
スマートコントラクトのための初のDeep Neural Network(DNN)ベースの脆弱性検出フレームワークであるESCORTを提案する。
ESCORTは6種類の脆弱性に対して平均95%のF1スコアを達成し,検出時間は契約あたり0.02秒であることを示す。
論文 参考訳（メタデータ） (2021-03-23T15:04:44Z) - Online Adversarial Attacks [57.448101834579624]
我々は、実世界のユースケースで見られる2つの重要な要素を強調し、オンライン敵攻撃問題を定式化する。
まず、オンライン脅威モデルの決定論的変種を厳格に分析する。
このアルゴリズムは、現在の最良の単一しきい値アルゴリズムよりも、$k=2$の競争率を確実に向上させる。
論文 参考訳（メタデータ） (2021-03-02T20:36:04Z) - Cost-Sensitive Portfolio Selection via Deep Reinforcement Learning [100.73223416589596]
深層強化学習を用いたコスト依存型ポートフォリオ選択手法を提案する。
具体的には、価格系列パターンと資産相関の両方を抽出するために、新しい2ストリームポートフォリオポリシーネットワークを考案した。
蓄積したリターンを最大化し、強化学習によるコストの両立を抑えるため、新たなコスト感受性報酬関数が開発された。
論文 参考訳（メタデータ） (2020-03-06T06:28:17Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。