💻 computer science

GenDetect: Generalizing Reactive Detection for Resilience Against Imitative DeFi Attack Cascade

يُعد GenDetect نظاماً مبتكراً يعالج الانتشار السريع لهجمات التمويل اللامركزي (DeFi) التقليدية من خلال التجريد التلقائي لحالات الاستغلال الأولية إلى قواعد كشف قابلة للتعميم، مما يحقق دقة عالية ويكشف عن العديد من الحوادث التي لم تُكتشف سابقاً.

المؤلفون الأصليون: Bowen Cai, Weiheng Bai, Youshui Lu, Haoran Xu, Yuannan Yang, Yajin Zhou, Kangjie Lu

نُشر 2026-04-30

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Bowen Cai, Weiheng Bai, Youshui Lu, Haoran Xu, Yuannan Yang, Yajin Zhou, Kangjie Lu

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل عالم التمويل اللامركزي (DeFi) كأنه سوق رقمي ضخم وصاخب، حيث يتبادل الناس الأصول باستخدام قواعد مؤتمتة (العقود الذكية). لسوء الحظ، تعلم اللصوص كيفية فك أقفال هذه القواعد.

تقدم الورقة البحثية GenDetect، وهو نظام أمني جديد مصمم لإيقاف نمط معين ومزعج من السرقة: "تتابع النسخ المتكرر" (The Copycat Cascade).

إليك تفصيل المشكلة والحل، باستخدام تشبيهات بسيطة.

المشكلة: اللص "المُقلّد"

في العالم الرقمي، بمجرد أن يكتشف اللص كيفية اقتحام متجر محدد (بروتوكول DeFi)، فإنه لا يكتفي بالسرقة مرة واحدة فقط. بل غالبًا ما ينشر "دليل تعليمات" حول كيفية القيام بذلك، أو يحاول لصوص آخرون القيام بنفس الشيء تمامًا بمجرد رؤية نجاحه.

الواقع: وجد المؤلفون أن 69% من هجمات DeFi هي مجرد نسخ من هجمات سابقة. قد يغيرون بعض الأرقام أو يبدلون ترتيب الخطوات، لكن الخدعة الجوهرية تظل متطابقة.
الطريقة القديمة: أنظمة الأمن الحالية تشبه الحراس الذين يعرفون أسماء معينة لمجرمين معروفين فقط. إذا ظهر مجرم جديد يرتدي قبعة مختلفة، فإن الحارس يخطئه. وحتى لو رصد الحارس اللص الأول، فعليه استدعاء محقق لكتابة قاعدة جديدة يدويًا للإمساك باللص الثاني. وبحلول الوقت الذي تُكتب فيه القاعدة، يكون اللص الثاني والثالث والرابع قد سرقوا الملايين بالفعل.
الفجوة: هناك تأخير يدوي بطيء بين رصد هجوم جديد وبين بناء قاعدة لإيقاف المقلدين.

الحل: GenDetect (المتعرف على الأنماط)

GenDetect هو نظام يقول: "بمجرد أن نرى لصًا واحدًا، سنفهم حيلته فورًا وسيمكننا رصد أي شخص يحاول القيام بنفس الشيء، حتى لو غير ملابسه".

يعمل النظام عبر مرحلتين رئيسيتين، يسميهما المؤلفون Insight I و Insight II.

1. فهم "اللغة" (الاستخراج الدلالي - Semantic Extraction)

تُكتب أكواد DeFi بلغة تقنية معقدة. بالنسبة للكمبيوتر، تبدو الوظيفة المسماة doSwap والوظيفة المسماة swapTokensForEth ككلمتين مختلفتين تمامًا. أما بالنسبة للبشر، فهما تعنيان نفس الشيء: "تبديل الأموال".

الطريقة القديمة: تتعامل الحواسيب فقط مع أسماء الو functions. إذا تغير الاسم قليلاً، تعتقد أنها إجراء مختلف.
طريقة GenDetect: ينظر النظام إلى الكود المصدري (الوصفة الفعلية) وراء أسماء الوظائف. يقوم بتجميع الوظائف بناءً على ما "تفعله حقًا" (مثل: "هذا تحويل"، "هذا تبديل").
التشبيه: تخيل مكتبة حيث تُصنف الكتب حسب عناوين أغلفتها. إذا أعدت تسمية كتاب، فسيذهب إلى الرف الخاطئ. GenDetect يتجاهل العنوان ويقرأ الصفحة الأولى ليعرف موضوع الكتاب الفعلي، ثم يصنفه بشكل صحيح. هذا يسمح له بإدراك أن كودين مختلفين في المظهر يقومان في الواقع بنفس الخدعة المالية.

2. تجاهل الضجيج (مطابقة المنطق - Logic Matching)

غالبًا ما يحاول اللصوص إخفاء آثارهم عن طريق إضافة خطوات إضافية غير ضرورية إلى معاملاتهم. قد يضيفون خطوة "شراء"، ثم خطوة "بيع"، ثم خطوة "السرقة" الفعلية.

الطريقة القديمة: تنظر الأنظمة التقليدية إلى ترتيب الخطوات. إذا غير اللص الترتيب، يقول النظام: "هذا لا يطابق النمط!" ويسمح له بالمرور.
طريقة GenDetect: يقوم النظام بتصفية "الضجيج". فهو يركز فقط على التحركات الحاسمة التي تتضمن أنواعًا معينة من الرموز (مثل العملة الرئيسية مقابل رموز مشاريع محددة). ويتساءل: "هل قاموا بالخطوات الأساسية للسرقة، بغضًا عن الترتيب أو الإضافات غير الضرورية؟"
التشبيه: تخيل محاولة تحديد رقصة معينة. النظام السيئ يقول: "لقد قمت بدورة، ثم قفزة، ثم انزلاق. الأصل كان انزلاقًا، ثم دورة، ثم قفزة. لقد فشلت!". أما GenDetect فيقول: "لا يهمني الترتيب أو الدورات الإضافية التي أضفتها. لقد قمت بحركة 'الانزلاق والقفز' الأساسية. أنت نفس الراقص".

ما مدى فعالية ذلك؟

اختبر المؤلفون GenDetect مقابل أدوات الأمن الحالية:

الدقة: حدد الهجمات بدقة بلغت 98% مع ندرة في الإنذارات الكاذبة (1% فقط من الإنذارات الكاذبة).
السرعة: هو سريع بما يكفي لفحص المعاملات في الوقت الفعلي أثناء حدوثها على البلوكشين.
الاكتشاف: عندما قاموا بتشغيله على بيانات من العالم الحقيقي، وجد 56 هجومًا لم يلاحظها أحد غيرهم، والتي تضمنت أكثر من 1.5 مليون دولار من الأموال المسروقة. كانت هذه هجمات "مقلدة" أفلتت من الحراس الآخرين لأنها بدت مختلفة قليلاً في مظهرها الخاري.

الخلا-صة

يغير GenDetect قواعد اللعبة من "انتظار إنسان لكتابة قاعدة بعد وقوع السرقة" إلى "التعرف الفوري على نوع السرقة وإيقاف جميع المقلدين فورًا". إنه يحول عملية بطيئة وتفاعلية إلى نظام دفاع عام وسريع، مما يضمن أنه بمجرد كشف ثغرة ما، لن تظل مفتوحة لشهور بينما يستمر اللصوص في نسخ الاستغلال.

إليك ملخص تقني مفصل لورقة البحث بعنوان "GenDetect: تعميم الكشف التفاعلي من أجل الصمود ضد سلسلة الهجمات التقليدية في التمويل اللامركزي (DeFi)."

1. تعريف المشكلة

تتناول الورقة الفجوة الأمنية الحرجة في التمويل اللامركزي (DeFi) حيث تحدث سلاسل الهجمات التقليدية (Imitative Attack Cascades).

الظاهرة: بمجرد اكتشاف ثغرة ناجحة، يقوم المهاجمون (أو المقلدون) بسرعة بتكرار منطق الهجوم مع تعديلات طفيفة (مثل تغيير المعلمات، أو إعادة ترتيب الاستدعاءات، أو التمويه). وتظهر التحليلات التجريبية أن أكثر من 69% من هجمات DeFi هي عمليات تقليد لحوادث سابقة، مما تسبب في خسائر تتجاوز 2 مليار دولار.
قصور الأنظمة الحالية: تعتمد طرق الكشف الحالية إما على:
- القواعد الاستدلالية (Heuristic-based): الاعتماد على إشارات ثابتة مثل عناوين المهاجمين المعروفة أو استخدام Tornado Cash، والتي تفشل في اكتشاف المتغيرات الجديدة.
- التركيز على ثغرات محددة: التركيز على أنواع معينة من الأخطاء البرمجية (مثل إعادة الدخول Reentrancy، أو القروض الخاطفة Flash Loans) بدلاً من الأنماط السلوكية العامة.
- العمل اليدوي/التفاعلي: يتطلب تحليلاً يدوياً بطيئاً لتتبع المسارات (Traces) لإنشاء قواعد كشف جديدة، مما يؤدي إلى زمن استجابة غير مقبول حيث تنجح الهجمات اللاحقة قبل نشر الدفاعات.
الهدف: تطوير نظام يمكنه أخذ حالة هجوم واحدة مرصودة وتعميمها تلقائياً إلى قاعدة كشف قوية وقابلة لإعادة الاستخدام للإمساك بالهجمات التقليدية اللاحقة في الوقت الفعلي.

2. المنهجية: إطار عمل GenDetect

يقسم GenDetect المشكلة إلى تحديين جوهريين: (C1) التجريد الدلالي (Semantic Abstraction) لتواقيع الدوال المتنوعة و**(C2) مطابقة المنطق القوية (Robust Logic Matching)** في المسارات المشوشة. ويعالج ذلك عبر أربعة مكونات تقنية:

أ. الاستخراج الدلالي القائم على المصدر (رؤية I)

بدلاً من الاعتماد على أسماء الدوال السطحية (التي قد تكون مضللة)، يستفيد GenDetect من الطبيعة مفتوحة المصدر لبروتوكولات DeFi لفهم سلوك الكود الفعلي.

T1: قائمة مرجعية لتواقيع الدوال: قام المؤلفون ببناء قاعدة بيانات منسقة تربط 1,272 توقيع دالة فريد بـ 122 فئة دلالية (مثل swap و mint و transfer) عن طريق تجميع الكود المصدري باستخدام CodeBERT والتحقق منها بواسطة خبراء بشريين.
T2: خط أنابيب التصنيف التلقائي: بالنسبة للتواقيع غير المرئية سابقاً، يقوم النظام بجلب الكود المصدري، وإيجاد الوظيفة الأكثر تشابهاً في قاعدة البيانات المرجعية باستخدام CodeBERT، والتحقق من التصنيف باستخدام الاستنتاج القائم على النماذج اللغوية الكبيرة (GPT-4.1). يضمن ذلك قدرة النظام على التكيف مع العقود الجديدة دون الحاجة لإعادة تدريب يدوي.

ب. استخراج المنطق القائم على تسمية العقود (رؤية II)

مسارات معاملات DeFi مليئة بالضجيج، حيث تحتوي على العديد من الاستدعاءات الداخلية الحميدة. يقوم GenDetect بتصفيتها لعزل نية المهاجم.

T3: استخراج المنطق: يقوم النظام بتصفية مسار المعاملة للاحتفاظ فقط بـ الاستدعاءات المباشرة من المهاجم (الحسابات المملوكة خارجياً EOAs أو السكربتات التي يتحكم فيها المهاجم). ويقوم بإزالة استدعاءات البروتوكول المتكررة وطبقات "الغلاف" (Wrapper layers)، مما يؤدي إلى ضغط المسار في تسلسل مسطح من العمليات الأساسية.
T4: مطابقة المنطق المدركة لنوع الرمز (Token Type-Aware): يتم تقسيم المنطق المستخرج إلى فئتين بناءً على الرمز المستهدف:
1. عمليات الأصول الأساسية: (مثل ETH و USDT) والتي تمثل استخراج القيمة.
2. العمليات الخاصة بالبروتوكول: (مثل رموز الحوكمة، ورموز LP) والتي تمثل آليات الاستغلال.
- المقياس: بدلاً من المطابقة القائمة على التسلسل (مثل أطول سلسلة مشتركة LCS)، والتي تفشل أمام إعادة الترتيب، يستخدم GenDetect فرق المجموعة غير المتماثل المعياري (ANSD).
- الصيغة: $Sim(A, B) = 1 - \frac{|A \setminus B|}{|A|}$ ، حيث $A$ هو نمط الهجوم المؤكد. يقيس هذا مدى الحفاظ على منطق الهجوم المؤكد في المعاملة الجديدة $B$ ، متجاهلاً الضجيج غير ذي الصلة أو إعادة الترتيب في $B$ .

3. المساهمات الرئيسية

أول نظام تعميم تفاعلي: إطار عمل يترجم عملية استغلال واحدة مرصودة إلى قاعدة كشف قابلة للتعميم، مما يسد الفجوة بين الاكتشاف والدفاع القابل للتوسع.
إطار عمل دلالي ومنطقي: نهج مبتكر يجمع بين التصنيف الدلالي القائم على الكود المصدري والمطابقة القائمة على المجموعات المدركة لنوع الرمز، لتقليل الإيجابيات الكاذبة من المعاملات الحميدة المموهة والسلبيات الكاذبة من أنماط الهجوم المتحورة.
خط أنابيب عالي الأداء: نظام كشف قابل للتوازي قادر على التحليل في الوقت الفعلي، مما يلبي متطلبات زمن الاستجابة لسلاسل الكتل الكبرى.
اكتشاف حقيقي: نجح النظام في تحديد 56 هجوماً لم يُكشف عنها سابقاً في الواقع، شملت قيمة تزيد عن 1.5 مليون دولار، مما يثبت الفائدة العملية بما يتجاوز المعايير المعروفة.

4. نتائج التقييم

تم تقييم النظام مقابل أدوات متطورة (Forta، DeFiRanger، TxSpector، POMABuster) على مجموعات بيانات معيارية وحقيقية.

الدقة (التحقق المتقاطع):
- درجة F1: بلغت 98% (مقابل 91% لـ Forta، و77% لـ DeFiRanger).
- معدل الإيجابيات الكاذبة (FPR): بلغ 1% (مقابل 16% لـ Forta).
- معدل السلبيات الكاذبة (FNR): بلغ 3%.
التعميم الصفري (Zero-Shot Generalization):
- تم الاختبار على مجموعات بيانات غير مرئية (Phalcon و DeFiHackLab) دون تدريب مسبق على تلك الحوادث المحددة.
- التغطية: اكتشف GenDetect 76% من الهجمات، متفوقاً بشكل كبير على Forta (65%) و DeFiRanger (44%).
الكفاءة:
- القدرة الإنتاجية (Throughput): قادر على معالجة أكثر من 2,000 معاملة في الثانية (TPS) باستخدام 96 نواة، مما يلبي الاحتياجات الزمنية لشبكات Ethereum و BNB.
- زمن الاستجابة (Latency): متوسط وقت المعالجة لكل معاملة هو أقل من 0.1 ثانية، مع حالات الأسوأ (المسارات الطويلة) التي تكتمل في غض زیر 0.7 ثانية.
دراسة الاستئصال (Ablation Study): أدى حذف وحدة الاستخراج الدلالي إلى انخفاض في درجة F1 بنسبة تزيد عن 50%، مما يثبت الأهمية القصوى للفهم القائم على الكود المصدري فوق مجرد مطابقة الكلمات المفتاحية.

5. الأهمية

تحول في النموذج (Paradigm Shift): ينقل أمن DeFi من "إنشاء القواعد اليدوية التفاعلية" إلى "التعميم الدلالي الآلي". فهو يقر بأنه بينما يصعب التنبؤ بالثغرات الجديدة، فإن الهجمات التقليدية يمكن التنبؤ بها إذا تم تجريد المنطق الأساسي بشكل صحيح.
الصمود أمام التهرب: باستخدام المطابقة القائمة على المجموعات (ANSD) بدلاً من مطابقة التسلسل، يكون النظام قوياً ضد المهاجمين الذين يعيدون ترتيب الاستدعاءات أو يضيفون ضجيجاً للتهرب من الكشف.
الأثر العملي: يثبت اكتشاف 56 هجوماً مخفياً أن أدوات المراقبة الحالية تغفل جزءاً كبيراً من مشهد التهديدات. يوفر GenDetect آلية قابلة للتوسع والأتمتة لسد هذه الفجوة، مما قد يوفر مليارات الدولارات من الخسائر المستقبلية عن طريق منع تأثير "السلسلة" للهجمات المقلدة.

القيود: يواجه النظام حالياً صعوبة في الهجمات التي تُشن عبر روابط خاصة (Dark Pools) حيث تكون المعاملات غير مرئية لمراقبي الـ mempool العامين، كما أن متطلبات الإنتاجية القصوى (مثل 65 ألف معاملة في الثانية لشبكة Solana) قد تتطلب توسعاً أفقياً كبيراً أو تصفية مسبقة.