Smart Contract Invariants Protect Against Cybercriminals
Diese Arbeit zeigt, dass Smart-Contract-Invarianten, die durch den INVARIANTEVAL-Benchmark und das PONDEREPLAY-Framework validiert wurden, alle 28 realen Ethereum-Exploits effektiv verhindern, indem sie Cyberkriminalität-Angriffe über 108.637 historische Transaktionen hinweg blockieren.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich das Internet als eine riesige, geschäftige digitale Stadt vor, in der Geld nicht in Banken aufbewahrt wird, sondern in riesigen, transparenten Glaskanzleien namens „Blockchains“. In diesen Kanzleien leben „Smart Contracts“, die im Grunde selbstausführende Verkaufsautomaten sind. Man gibt den richtigen Code ein (wie eine Münze), und der Automat gibt einem das richtige Produkt (wie einen Token), und das alles ohne einen menschlichen Kassierer. Aber hier ist der Haken: Diese Verkaufsautomaten werden von Menschen gebaut, und Menschen machen Fehler. Wenn ein Programmierer vergisst, eine Tür zu verriegeln oder das Wechselgeld falsch berechnet, kann sich ein gerissener Dieb einschleichen, die ganze Kanzlei an sich reißen und mit Milliarden von Dollar verschwinden. Dies ist der Wilde Westen der digitalen Wirtschaft, in dem Cyberkriminelle ständig nach einer losen Schraube suchen, um das Glas aufzubrechen.
Um diese Diebe zu stoppen, versuchen Informatiker, bessere Schlösser zu bauen. Eine vielversprechende Idee ist die „Invariante“. Stellen Sie sich eine Invariante als eine magische Regel vor, die der Verkaufsautomat überprüft, bevor er überhaupt etwas tut. Es ist wie ein Türsteher in einem Club, der eine Liste prüft: „Ist die Person über 21? Ist die Tür abgeschlossen? Passt der Preis?“ Wenn die Antwort auf eine dieser Fragen „Nein“ lautet, schlägt der Automat die Tür zu und weigert sich sich zu bewegen, selbst wenn der Dieb einen Generalschlüssel besitzt. Die große Frage, die Forscher gestellt haben, lautet: Wenn wir diese magischen Türsteher im Einsatz gehabt hätten, hätten sie die Diebe tatsächlich gestoppt? Und noch wichtiger: Können wir Computer dazu bringen, diese Türsteher von selbst zu erfinden, oder brauchen wir immer noch menschliche Experten, um die Regeln zu schreiben?
Diese Arbeit taucht tief in diese Frage ein, indem sie ein massives, reales Experiment aufbaut. Die Forscher, ein Team vom KTH Royal Institute of Technology, beschlossen, nicht länger zu raten, sondern zu testen. Sie sammelten eine Sammlung von 28 echten, milliardenschweren Raubüberfällen, die bereits auf der Ethereum-Blockchain stattgefunden hatten. Für jedes dieser Desaster agierten sie wie digitale Spurensicherer. Sie untersuchten exakt, wie die Diebe eingebrochen waren, und schrieben dann manuell eine spezifische „Invariante“ (eine Sicherheitsregel), die genau diesen speziellen Angriff blockiert hätte. Sie nannten diese Sammlung INVARIANTEVAL.
Aber sie haben die Regeln nicht nur geschrieben; sie bauten eine Zeitmaschine, um sie zu testen. Mit einem hochentwickelten Werkzeug, das sie PONDEREPLAY nannten, ließen sie die Geschichte der Blockchain erneut ablaufen. Sie nahmen den ursprünglichen, verwundbaren Code, fügten ihre neuen Sicherheitsregeln hinzu und spielten dann 108.637 historische Transaktionen ab. Es ist, als würde man den Film eines Banküberfalls zurückspulen, aber diesmal hat die Bank ein neues, superstarkes Alarmsystem.
Die Ergebnisse waren unglaublich eindeutig. Als sie den Replay durchführten, funktionierten alle 28 von Menschen geschriebenen Sicherheitsregeln perfekt. In jedem Fall traf die Angriffs-Transaktion auf die neue Regel, die Maschine sagte „Auf keinen Fall“ und der Diebstahl wurde blockiert. Die Forscher fanden heraus, dass diese Regeln nicht nur die Bösen stoppten, sondern auch den Guten (legitimen Nutzern) ermöglichten, das System in 98,3 % der Fälle ganz normal weiter zu nutzen. In den wenigen Fällen, in denen das System etwas zu streng war und einen normalen Nutzer blockierte, konnten die Forscher genau nachvollziehen, warum, was bewies, dass die Regeln wie beabsichtigt funktionierten und nicht einfach nur glitched hatten.
Die Geschichte nimmt jedoch eine scharfe Wendung, wenn die Forscher die zweite Frage stellen: Können Computer das auch? Sie nahmen die besten, fortschrittlichsten automatisierten Werkzeuge, die derzeit auf dem Gebiet verfügbar sind – Werkzeuge, die darauf ausgelegt sind, diese Sicherheitsregeln automatisch für uns zu schreiben – und testeten sie gegen ihre 28 realen Heists. Das Ergebnis war ein demütigendes Scheitern. Von den 28 Angriffen, die hätten gestoppt werden müssen, schafften es diese schicken automatisierten Werkzeuge, die korrekte Sicherheitsregel für nur 2 von ihnen zu finden. Die anderen 26? Die Werkzeuge übersahen entweder die Gefahr vollständig oder schrieben Regeln, die zu schwach waren, um die Diebe zu stoppen.
Was ist also die Lehre daraus? Die Arbeit beweist, dass das Konzept der „Invarianten“ ein mächtiger Schutzschild ist; wenn wir die richtigen Regeln gehabt hätten, hätten wir über eine Milliarde Dollar an Diebstählen verhindern können. Aber die schlechte Nachricht ist, dass wir noch keinen Roboter haben, der diese Regeln zuverlässig für uns schreiben kann. Wir brauchen immer noch menschliche Experten, die die speziellen Tricks der Diebe verstehen und die Wachen schreiben. Die Technologie, um diese Verteidigungen automatisch zu generieren, steckt noch in den Kinderschuhen, was eine riesige Lücke zwischen dem, was wir wissen, dass funktioniert, und dem, was unsere Computer aktuell selbstständig tun können, hinterlässt.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.