**차오판 쇼우(Chaofan Shou)**는 스마트 계약을 위한 자동화된 테스트 도구를 전문으로 하는 블록체인(blockchain) 보안 회사인 퍼즐랜드(Fuzzland)의 공동 설립자이자 CTO이며, 솔레이어(Solayer)의 개발자이기도 합니다. 그는 또한 UC 버클리(UC Berkeley) 스카이 컴퓨팅 연구소(Sky Computing Lab)의 박사 과정 학생으로, 그의 연구는 프로그램 분석, 보안 및 분산 시스템에 중점을 두고 있습니다. ^{[1] [2] [3] [4]}

개요

차오판 쇼우(Chaofan Shou)는 블록체인(blockchain) 보안 및 프로그램 분석 분야에서 주목할 만한 인물로 자리매김했습니다. 그의 연구는 학술 연구, 기업가 정신 및 보안 엔지니어링에 걸쳐 있으며, 스마트 계약(smart contract) 보안 및 자동화된 테스트 방법론에 대한 중요한 기여를 했습니다. 쇼우(Shou)는 보안 취약성을 식별하고 해결하는 전문 지식을 통해 다양한 플랫폼에서 수많은 중요한 문제를 발견했으며, 보고된 보상금은 약 190만 달러에 달합니다. 그의 연구는 권위 있는 학술 회의에서 발표되었으며, 그는 블록체인 보안 및 퍼징 기법에 중점을 둔 업계 행사에서 강연을 했습니다. ^{[1] [2] [3] [4]}

교육

쇼우(Shou)는 현재 캘리포니아 대학교 버클리(University of California, Berkeley)에서 쿠시크 센(Koushik Sen) 교수의 지도하에 스카이 컴퓨팅 연구소(Sky Computing Lab)에서 박사 과정을 밟고 있습니다. 그의 박사 연구는 프로그램 분석, 보안 및 분산 시스템에 집중되어 있습니다. 박사 과정 이전에는 캘리포니아 대학교 산타바바라(University of California, Santa Barbara)에 다녔습니다. ^{[1] [4]}

경력

쇼우(Shou)의 직업 경력에는 Salesforce에서 보안 엔지니어로 근무한 경력이 포함되어 있으며, 여기서 그는 정적 애플리케이션 보안 테스트(SAST) 솔루션, 내부 네트워크 스캐닝 서비스 및 데이터 파이프라인에 기여했습니다. 이 기간 동안 그는 다양한 플랫폼에서 보안 취약성을 식별하는 전문 지식을 개발했으며, 이는 나중에 블록체인(blockchain) 기술과의 작업의 기반이 되었습니다.

Salesforce에서 근무한 후, 쇼우(Shou)는 블록체인(blockchain) 보안 스타트업인 Veridise의 창립 엔지니어가 되었습니다. Veridise에서 그는 스마트 계약(smart contracts) 및 블록체인을 위해 특별히 설계된 여러 자동화된 테스트 도구의 개발을 주도했습니다. Veridise에서 그의 작업에는 커버리지 기반 퍼징을 사용하여 블록체인을 해킹하는 도구인 Chainsaw의 개발이 포함되었으며, 그는 2022년 스마트 계약 정상 회의(SBC)에서 이를 발표했습니다.

쇼우(Shou)는 퍼즐랜드(Fuzzland)를 공동 설립했으며, 현재 CTO를 역임하고 있습니다. 퍼즐랜드(Fuzzland)는 블록체인(blockchain) 보안, 특히 스마트 계약을 위한 자동화된 테스트 도구 개발에 중점을 두고 있습니다. 2024년 2월, 퍼즐랜드(Fuzzland)는 쇼우(Shou)의 Medium 게시물에서 보도된 바와 같이 300만 달러의 시드 펀딩 라운드를 마감했다고 발표했습니다. 퍼즐랜드(Fuzzland)에서 쇼우(Shou)는 블록체인 보안을 위한 퍼징 기법에 대한 연구를 계속하여 2023년 BuildETH에서 "MEV + Fuzzing = DeFi Firewall"을 발표했습니다. ^{[1] [2] [3] [4] [5] [6] [7] [8] [9]}

연구 및 출판물

쇼우(Shou)는 스마트 계약(smart contract) 보안, 프로그램 분석 및 분산 시스템 분야에서 여러 편의 학술 논문을 저술하고 공동 저술했습니다. 그의 주목할 만한 출판물에는 다음이 포함됩니다.

• "ItyFuzz: 온체인 스마트 계약 감사를 위한 스냅샷 기반 퍼저(ISSTA '23)", 상인 탄(Shangyin Tan)과 쿠시크 센(Koushik Sen)과 공동 저술;
• "강력하고 확장 가능한 하이브리드 네트워크 원격 측정 시스템을 위한 쿼리 계획(CoNext '24)", 여러 공동 저자와 함께;
• "공모 기반 광고 속성 세탁 사기 밝히기: 탐지, 분석 및 보안 영향(CCS '24)";
• "CorbFuzz: 퍼징을 사용한 브라우저 보안 정책 확인(ASE '21)". ^[1]

쇼우(Shou)는 그의 경력 전반에 걸쳐 다양한 플랫폼에서 수많은 보안 취약성을 식별하고 보고했습니다. 2020년부터 2022년까지 버그 바운티 프로그램에 대한 그의 기여는 잠긴 토큰을 포함하여 약 190만 달러의 보상금을 가져왔습니다. 그의 주목할 만한 보안 발견 중 일부는 다음과 같습니다.

• RisingWave의 원격 코드 실행(RCE) 취약성(2024);
• Devin.ai의 서버측 요청 위조(SSRF) 문제로 인한 사용자 정보 유출(2024);
• 계정 인수로 이어질 수 있는 Twitter의 크로스 사이트 스크립팅(XSS) 및 크로스 사이트 요청 위조(CSRF) 취약성(2023);
• Polygon Edge 및 DogeChain과 같은 블록체인(blockchain) 플랫폼의 여러 검증자(validator) 서비스 거부(DoS) 취약성(2022). ^[1]

쇼우(Shou)는 GitHub에서 활동적인 활동을 유지하며, 수많은 저장소에 기여했습니다. 그의 고정 프로젝트에는 스마트 계약(smart contracts)을 위한 바이트코드 수준 하이브리드 퍼저인 ItyFuzz와 하이브리드 퍼징을 위한 확률적 경로 우선 순위 지정 구현인 digfuzz가 포함됩니다. 그는 또한 LibAFL 및 Facebook의 Hermes JavaScript 엔진과 같은 주요 오픈 소스 프로젝트에 기여했습니다. ^{[1] [3] [5] [5]}

강연

쇼우(Shou)는 다음을 포함한 다양한 업계 행사에서 그의 연구를 발표했습니다.

• 2023년 BuildETH에서 퍼즐랜드(Fuzzland)를 대표하여 "MEV + Fuzzing = DeFi Firewall" 발표;
• 2022년 스마트 계약 정상 회의(SBC)에서 Veridise를 대표하여 "Chainsaw: 커버리지 기반 퍼징을 사용한 블록체인 해킹" 발표. ^{[1] [4]}

인터뷰