Malicious Code Detection in Smart Contracts via Opcode Vectorization

Sintesi Tecnica: Rilevamento di Codice Malizioso nei Smart Contract tramite Vettorizzazione degli Opcode

Definizione del Problema
La rapida proliferazione di smart contract nella finanza, nelle catene di approvvigionamento e nell'Internet delle Cose ha introdotto significativi rischi per la sicurezza. Incidenti storici, come il congelamento del portafoglio Parity Multisig e la vulnerabilità di overflow degli interi BEC, evidenziano il potenziale di perdite finanziarie sostanziali dovute a codice malizioso. Sebbene esistano metodi tradizionali di analisi statica e dinamica, essi soffrono di bassa efficienza, alti tassi di falsi positivi e dell'incapacità di rilevare vulnerabilità nuove o complesse. Inoltre, il codice sorgente è spesso non disponibile (solo l'1% circa dei contratti Ethereum possiede codice sorgente verificato), rendendo necessaria l'analisi a livello di bytecode o di opcode. La sfida centrale affrontata in questo articolo è l'efficace rilevamento di codice malizioso negli smart contract utilizzando il machine learning, concentrandosi in particolare sulla fase critica di estrazione delle caratteristiche e vettorizzazione dalle sequenze di opcode.

Metodologia
L'approccio proposto utilizza una pipeline di machine learning centrata sulla vettorizzazione degli opcode derivata dal testo dello smart contract. La metodologia procede attraverso le seguenti fasi:

1. Classificazione e Semplificazione degli Opcode:
   Per mitigare la "maledizione della dimensionalità" e la perdita semantica, gli autori classificano prima gli opcode della Ethereum Virtual Machine (EVM) in base ai loro ruoli semantici. Gli opcode sono raggruppati in classi quali Operativi, Variabile Predittibile, Logica, Aritmetica, Confronto, Indirizzo/Bilancio, Famiglia-CALL, Famiglia-SSTORE, Terminazione e Istruzioni di Jump. Vengono applicate regole di semplificazione specifiche (ad esempio, mappando PUSH1–PUSH32 in un singolo token PUSH), riducendo il vocabolario degli opcode a 35 distinti token semplificati.

2. Strategia di Vettorizzazione:
   Il documento confronta due metodi di estrazione delle caratteristiche:

   • Metodo 1 (Quantificazione Diretta): Applicazione di algoritmi N-Gram (N=2) e TF-IDF direttamente agli opcode grezzi o semplificati senza ulteriori considerazioni strutturali.
   • Metodo 2 (Vettorizzazione Basata su Testo Proposta): Un processo in due fasi in cui gli opcode semplificati vengono prima convertiti in bigrammi (2-Gram) per catturare le relazioni sequenziali. Questi bigrammi vengono poi pesati utilizzando l'algoritmo Term Frequency-Inverse Document Frequency (TF-IDF). Questo metodo mira a preservare il contesto del programma e a evidenziare gli opcode con impatti comportamentali significativi, standardizzando al contempo le dimensioni dei vettori a 1225 (basate sulle possibili combinazioni dei 35 opcode semplificati).

3. Addestramento e Valutazione del Modello:
   Le caratteristiche vettorizzate vengono fornite a cinque classificatori di machine learning: Support Vector Machine (SVM), Decision Tree, Random Forest, K-Nearest Neighbors (KNN) e Logistic Regression. Lo studio esplora anche il modello Classifier Chain per gestire il rilevamento multi-label (identificando simultaneamente più tipi di vulnerabilità, come reentrancy e problemi di controllo dell'accesso).

4. Dataset e Etichettatura:
   Il dataset consiste in 500 smart contract estratti da Etherscan. Le vulnerabilità sono state etichettate utilizzando lo strumento di analisi statica Slither, identificando 80 contratti con vulnerabilità (37 controllo dell'accesso, 58 reentrancy). I dati sono stati suddivisi in set di addestramento al 70% e di test al 30%.

Contributi Chiave

• Framework di Vettorizzazione degli Opcode: Il documento propone un workflow specifico per convertire gli opcode degli smart contract in vettori leggibili dalle macchine, combinando classificazione semantica, semplificazione, sequenziamento N-Gram e pesatura TF-IDF.
• Analisi Comparativa: Fornisce una valutazione comparativa della quantificazione diretta degli opcode rispetto al metodo di vettorizzazione basato sul testo proposto attraverso molteplici modelli di machine learning.
• Approccio di Rilevamento Multi-Label: Lo studio indaga l'applicazione delle Classifier Chains per rilevare simultaneamente più tipi di vulnerabilità, riconoscendo le interdipendenze tra i diversi tipi di etichette di vulnerabilità.

Risultati Sperimentali
Gli esperimenti hanno prodotto risultati misti, fortemente influenzati dai limiti del dataset:

• Vincoli del Dataset: La piccola dimensione del campione (500 contratti) e il grave squilibrio delle classi (solo 80 contratti maliziosi) hanno influenzato significativamente le prestazioni dei modelli. In particolare, la categoria di vulnerabilità "Controllo dell'Accesso" non ha prodotto risultati in alcun modello a causa dell'insufficienza di dati.
• Confronto tra Metodi:
  • Il Metodo 1 ha prodotto metriche di prestazione identiche per tutti e cinque i modelli (Accuratezza: 0,583, F1: 0,737), suggerendo che i modelli non riuscivano a differenziare efficacementamente le caratteristiche con questo approccio.
  • Il Metodo 2 ha mostrato prestazioni variabili. Il modello Decision Tree ha ottenuto i risultati migliori con questo metodo (Accuratezza: 0,667, F1: 0,765), superando il Metodo 1. Tuttavia, il modello Random Forest ha performato meglio con il Metodo 1 rispetto al Metodo 2.
• Classifier Chain: Il modello Classifier Chain, addestrato per rilevare simultaneamente più vulnerabilità, ha ottenuto prestazioni subottimali (Accuratezza: 0,333, F1: 0,343). Gli autori attribuiscono questa scarsa prestazione allo squilibrio del dataset e alla difficoltà di apprendere le correlazioni tra le etichette con un numero limitato di campioni positivi.

Significatività e Rivendicazioni
Il documento rivendica modestamente che il suo contributo primario risiede nell'esplorazione delle tecniche di vettorizzazione degli opcode per la sicurezza degli smart contract. Postula che, sebbene il machine learning offra una via promettente per l'audit automatizzato, l'efficacia di tali sistemi è attualmente frenata dalla qualità e quantità dei dati.

Gli autori sottolineano che:

1. L'elaborazione delle Caratteristiche è Critica: Il modo in cui gli opcode vengono semplificati e vettorizzati ha un impatto diretto e significativo sui risultati del rilevamento.
2. La Scarsità di Dati è un Ostacolo Maggiore: La scarsità di campioni di contratti maliziosi verificati e lo squilibrio tra contratti normali e maliziosi introducono bias e varianza, limitando la generalizzabilità degli attuali modelli.
3. Direzioni Future: Il lavoro suggerisce che la ricerca futura debba dare priorità alla costruzione di dataset ampi e rappresentativi (potenzialmente tramite web crawling automatizzato) e all'esplorazione dell'apprendimento semi-supervisionato o non supervisionato per sfruttare i dati non etichettati.

In conclusione, il documento funge da studio fondamentale che dimostra la fattibilità della vettorizzazione basata su opcode per l'analisi degli smart contract, evidenziando con franchezza i limiti attuali imposti dalla scarsità di dati e la necessità di dataset più robusti per validare questi approcci di machine learning.