Position Paper: Denial-of-Service Against Multi-Round Transaction Simulation

Titolo: Denial-of-Service contro la Simulazione di Transazioni Multi-Ronda

Autori: Yuzhe Tang, Yibo Wang, Wanning Ding, Jiaqi Chen, Taesoo Kim
Contesto: Simposio NDSS 2026

1. Il Problema: Vulnerabilità dei Servizi di Bundling Multi-Ronda

Il documento affronta una lacuna critica nella sicurezza dei costruttori di blocchi (block builders) su Ethereum, in particolare quelli che utilizzano servizi di bundling (come Flashbots Bundles) per aggregare transazioni e massimizzare il ricavo dei proponenti (proposers) tramite MEV (Maximal Extractable Value).

• Contesto Attuale: I costruttori di blocchi moderni operano spesso con un modello multi-ronda. Invece di eseguire le transazioni in un singolo passaggio, eseguono più cicli di ordinamento e simulazione per filtrare le transazioni che falliscono (revert) e ottimizzare il blocco finale.
• La Minaccia: Un attacco Denial-of-Service (DoS) contro questi servizi può degradare l'esperienza dei cercatori di MEV, ridurre i ricavi dei costruttori e causare asimmetrie nel mercato, centralizzando ulteriormente il potere dei costruttori.
• Limitazione delle Attuali Difese: Le ricerche precedenti sui DoS (es. ConditionalExhaust, GhostTX) si basano su transazioni indipendenti o sull'esaurimento passivo delle risorse. Queste strategie falliscono contro i costruttori multi-ronda perché:
  1. Non riescono a distinguere in quale "ronda" di esecuzione si trova una transazione.
  2. Attivano il payload dannoso troppo presto (nelle rondine preliminari), dove l'esecuzione è speculativa e parallela. Di conseguenza, il rallentamento viene isolato nei thread avversari e non influisce sulle transazioni legittime che vengono eseguite in parallelo.

2. Metodologia: Attacchi Evasivi basati sulle Dipendenze Inter-Transazionali

Gli autori propongono una nuova classe di attacchi DoS proattivi, evasivi, privi di rischio finanziario e a basso costo, specifici per l'architettura multi-ronda.

• Il Concetto Chiave: Sfruttamento delle dipendenze inter-transazionali attraverso lo stato condiviso dei contratti intelligenti. A differenza degli attacchi precedenti che usano transazioni isolate, questo approccio utilizza una sequenza di transazioni correlate.
• Meccanismo di Attacco:
  1. Nascita del Payload: Un contratto malevolo nasconde un payload che esaurisce le risorse (gas/CPU) dietro una serie di condizioni di ramo (branch conditions).
  2. Condizionamento Statale: Su un costruttore a $n$ rondine, il payload è protetto da $n-1$ condizioni, ciascuna dipendente da una variabile di stato distinta.
  3. Sequenza di Transazioni: L'attaccante invia più di $n$ transazioni:
     • Le prime $n-1$ transazioni servono a impostare il contesto (aggiornando le variabili di stato necessarie) senza attivare il payload.
     • Le transazioni successive attivano il payload solo quando tutte le condizioni sono soddisfatte.
• Evasività:
  • Nelle rondine preliminari (Pre-rounds): Le transazioni si comportano normalmente. Poiché le condizioni non sono ancora soddisfatte, il payload non viene eseguito. Questo evita che le transazioni vengano scartate (invalidated) durante la simulazione speculativa.
  • Nella ronda finale: Quando il costruttore esegue le transazioni in ordine seriale per la costruzione finale del blocco, le condizioni sono soddisfatte. Il payload dannoso viene attivato. Poiché in questa fase le transazioni (sia legittime che avversarie) sono eseguite in serie, il rallentamento causato dall'attacco blocca direttamente tutte le transazioni successive.

3. Contributi Chiave

• Nuovo Problema di Sicurezza: Identificazione della vulnerabilità specifica dei costruttori di blocchi multi-ronda, un'area non coperta dalla letteratura precedente che si concentrava su design a singola ronda.
• Nuovi Vettori di Attacco: Introduzione di un design di attacco che sfrutta le dipendenze di stato tra transazioni sequenziali. Questo rappresenta un cambio di paradigma rispetto agli attacchi basati su transazioni indipendenti.
• Efficienza dell'Attacco: Dimostrazione che è possibile eseguire attacchi DoS con costi di capitale e operativi minimi, sfruttando le funzionalità specifiche del bundling (come l'inclusione atomica nel blocco) per massimizzare l'impatto.

4. Risultati Sperimentali

Gli esperimenti condotti sul servizio di bundling open-source di Flashbots hanno mostrato:

• Alto Tasso di Successo: Gli attacchi sono riusciti a bypassare le simulazioni preliminari ed eseguire il payload nella ronda finale.
• Impatto Economico: Riduzione sostanziale dei ricavi dei costruttori (builders) a causa dell'inefficienza indotta.
• Rallentamento della Produzione: Diminuzione della velocità di produzione dei blocchi (block production), creando colli di bottiglia nella rete.
• Evasività: Le transazioni malevole non sono state rilevate o scartate durante le fasi di simulazione speculativa.

5. Significato e Mitigazione

• Sfida Fondamentale: Il paper evidenzia una sfida fondamentale nella sicurezza: proteggere qualsiasi costruttore a rondine finite da attacchi DoS basati su dipendenze di stato è intrinsecamente difficile, poiché l'ordine di esecuzione e lo stato sono necessari per la funzionalità legittima del sistema.
• Strategie di Mitigazione: Gli autori esplorano lo spazio delle difese e propongono diverse strategie per mitigare questi rischi, sebbene sottolineino che una protezione completa richiede un ripensamento dell'architettura di esecuzione speculativa.
• Implicazioni: Questo lavoro mette in luce la necessità di aggiornare i meccanismi di sicurezza dei costruttori di blocchi per adattarsi a modelli di esecuzione più complessi, dove la semplice ispezione passiva delle transazioni non è più sufficiente.

In sintesi, il documento dimostra che l'evoluzione dei costruttori di blocchi verso modelli multi-ronda ha introdotto nuove superfici di attacco che possono essere sfruttate in modo subdolo, richiedendo nuove contromisure che vadano oltre la semplice limitazione del gas o l'analisi statica delle transazioni.