Smart Contract Invariants Protect Against Cybercriminals
Questo articolo dimostra che gli invarianti degli smart contract, validati attraverso il benchmark INVARIANTEVAL e il framework PONDEREPLAY, proteggono efficacemente contro tutti i 28 exploit reali su Ethereum bloccando gli attacchi dei cybercriminali attraverso 108.637 transazioni storiche.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Immaginate internet come una gigantesca e frenetica città digitale dove il denaro non è custodito in banche, ma in enormi casseforti di vetro trasparente chiamate "blockchain". All'interno di queste casseforti vivono gli "smart contract", che sono essenzialmente distributori automatici che si auto-eseguono. Inserite il codice corretto (come una moneta) e la macchina vi fornisce il prodotto giusto (come un token), il tutto senza un cassiere umano. Ma ecco il problema: questi distributori automatici sono costruiti da esseri umani, e gli esseri umani commettono errori. Se un programmatore dimentica di chiudere una porta o sbaglia il calcolo del resto, un ladro astuto può intrufolarsi, impossessarsi dell'intera cassaforte e svanire con miliardi di dollari. Questo è il selvaggio west dell'economia digitale, dove i criminali informatici sono costantemente alla ricerca di una vite allentata per scardinare il vetro.
Per fermare questi ladri, gli scienziati informatici hanno cercato di costruire serrature migliori. Un'idea promettente è l' "invariante". Pensate all'invariante come a una regola magica che il distributore automatico controlla prima di fare qualsiasi cosa. È come un buttafuori in un club che controlla una lista: "La persona ha più di 21 anni? La porta è chiusa? Il prezzo corrisponde?". Se la risposta a una qualsiasi di queste domande è "no", la macchina sbatte la porta e si rifiuta di muoversi, anche se il ladro possiede una chiave universale. La grande domanda che i ricercatori si sono posti è: se avessimo avuto questi buttafuori magici in azione durante i passati furti, avrebbero effettivamente fermato i ladri? E, cosa ancora più importante, possiamo insegnare ai computer a inventare questi buttafuori da soli, o abbiamo ancora bisogno di esperti umani per scrivere le regole?
Questo articolo approfondisce proprio questa domanda impostando un enorme esperimento nel mondo reale. I ricercatori, un team del KTH Royal Institute of Technology, hanno deciso di smettere di tirare a indovinare e iniziare a testare. Hanno raccolto una collezione di 28 veri furti miliardari avvenuti nella vita reale sulla blockchain di Ethereum. Per ciascuno di questi disastri, hanno agito come investigatori della scientifica digitale. Hanno analizzato esattamente come i ladri siano entrati e poi hanno scritto manualmente un "invariante" specifico (una regola di sicurezza) che avrebbe bloccato quello specifico attacco. Hanno chiamato questa collezione INVARIANTEVAL.
Ma non si sono limitati a scrivere le regole; hanno costruito una macchina del tempo per testarle. Utilizzando uno strumento sofisticato che hanno creato chiamato PONDEREPLAY, hanno riprodotto la storia della blockchain. Hanno preso il codice originale, vulnerabile, hanno aggiunto le loro nuove regole di sicurezza e poi hanno riprodotto 108.637 transazioni storiche. È come riavvolgere il film di una rapina in banca, ma questa volta la banca ha un nuovo sistema di allarme super-potente.
I risultati sono stati incredibilmente chiari. Quando hanno eseguito la riproduzione, tutti i 28 invarianti scritti dagli umani hanno funzionato perfettamente. In ogni caso, la transazione dell'attacco ha colpito la nuova regola, la macchina ha detto "Assolutamente no" e il furto è stato bloccato. I ricercatori hanno scoperto che queste regole non hanno solo fermato i cattivi; hanno anche permesso ai bravi ragazzi (gli utenti legittimi) di continuare a usare il sistema normalmente il 98,3% delle volte. Le poche volte in cui il sistema è diventato un po' troppo severo e ha bloccato un utente normale, i ricercatori sono riusciti a tracciare esattamente il motivo, dimostrando che le regole stavano funzionando come previsto e non stavano semplicemente andando in tilt.
Tuttavia, la storia prende una piega brusca quando i ricercatori hanno posto la seconda domanda: possono farlo i computer? Hanno preso i migliori e più avanzati strumenti automatizzati attualmente disponibili nel campo — strumenti progettati per scrivere automaticamente queste regole di sicurezza per noi — e li hanno testati contro questi 28 furti del mondo reale. Il risultato è stato un umiliante fallimento. Su i 28 attacchi che dovevano essere fermati, questi sofisticati strumenti automatizzati sono riusciti a individuare la corretta regola di sicurezza per solo 2 di essi. Gli altri 26? Gli strumenti o avevano mancato completamente il pericolo o avevano scritto regole troppo deboli per fermare i ladri.
Quindi, qual è la conclusione? L'articolo dimostra che il concetto di "invarianti" è uno scudo potente; se avessimo avuto le regole giuste, avremmo potuto fermare oltre un miliardo di dollari in furti. Ma la brutta notizia è che non abbiamo ancora un robot che possa scrivere in modo affidabile quelle regole per noi. Abbiamo ancora bisogno di esperti umani per comprendere i trucchi specifici dei ladri e scrivere le guardie. La tecnologia per generare automaticamente queste difese è ancora agli inizi, lasciando un enorme divario tra ciò che sappiamo che funziona e ciò che i nostri computer possono attualmente fare da soli.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.