Security Analysis of Oracle Vulnerabilities in Ethereum Smart Contracts

Bc. Ondřej Tatýrek

Bachelor's thesis

Abstract:

Chytré kontrakty čelí omezením při přístupu k externím informacím z důvodu uzavřenosti blockchainů. Toto omezení je řešeno pomocí oracles, které umožnují zprostředkovat externí data do blockchainu. Chytré kontrakty mohou volat API oracles a obdržet širokou škálu informací, především data o cenách, která jsou poté využívána chytrými kontrakty. Nicméně nesprávná integrace oracles v chytrých kontraktech může vytvořit zranitelnosti. V této práci jsem charakterizoval specifické problémy spojené s integrací oracles a vyvinul čtyři detektory statické analýzy v rámci nástroje Slither pro identifikaci těchto zranitelností. Poté jsem vyhodnotil dva z mých detektorů na sadě chytrých kontraktů nasazených na hlavní síti Ethereum, což odhalilo zajímavé poznatky. Zejména jeden z detektorů ukázal, že přibližně 50 % testovaných kontraktů využívajících Chainlink oracle nedodržuje osvědčené postupy pro jejich použití. Druhý detektor navíc pomohl objevit devět kontraktů, které jsou pravděpodobně zranitelné vůči zmanipulování dat z oracles. Pro jeden z nich jsem vytvořil proof of concept, který simuloval tento útok. Vyhodnocení potvrdilo, že mé detektory jsou schopny nalézt problémy v aktivně používaných kontraktech, a tudíž jsou cenným přínosem pro bezpečnostní analýzu chytrých kontraktů.

Abstract:

Smart contracts face limitations in accessing external information due to the closed nature of blockchains. This limitation is addressed by oracles, which serve as intermediary entities that facilitate the integration of external data into the blockchain. Smart contracts are able to call oracle API and access a wide array of information, mainly price data, which is then utilised by the smart contracts. However, incorrect utilisation of oracles within smart contracts may introduce vulnerabilities. In this thesis, I characterised specific issues associated with oracle incorporation and developed four static analysis detectors within Slither's tool to identify these vulnerabilities. Then, I evaluated two of my detectors on a set of smart contracts deployed on Ethereum's main network, revealing compelling insights. Notably, one detector highlighted that around 50% of tested contracts utilising Chainlink's oracle fail to adhere to best practices. Moreover, the second detector helped discover nine contracts likely vulnerable to manipulation attacks of data provided by oracles. For one of them, I created a proof of concept that simulated such an attack. The evaluation confirmed that my detectors are able to find real issues in the deployed and actively used smart contracts and, therefore, are valuable additions to the security analysis of smart contracts.

Keywords

smart contract, Ethereum, oracle vulnerability, static analysis, Slither, security analysis, chytrý kontrakt, oracle zranitelnost, statická analýza, bezpečnostní analýza

Language used: English

Date on which the thesis was submitted / produced: 23. 5. 2024

Thesis defence

• Date of defence: 26. 6. 2024
• Supervisor: Mgr. Jan Kvapil
• Reader: RNDr. Antonín Dufka

Masaryk University

Faculty of Informatics

Bachelor programme / field:
Cybersecurity / Cybersecurity