💻 computer science

Assessing Vulnerability in Smart Contracts: The Role of Code Complexity Metrics in Security Analysis

Dit onderzoek toont aan dat hoewel individuele softwarecomplexiteitsmetrieken een lage correlatie vertonen met specifieke kwetsbaarheden in Solidity smart contracts, hun collectieve analyse effectief onderscheid maakt tussen veilige en kwetsbare code, waarbij kwetsbare contracten consistent hogere gemiddelde complexiteitsscores vertonen.

Oorspronkelijke auteurs: Masoud Jamshidiyan Tehrani

Gepubliceerd 2026-01-26

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Masoud Jamshidiyan Tehrani

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je een Smart Contract voor als een zelfuitvoerende verkoopautomaat die op een blockchain is gebouwd. Zodra je er geld in doet en op een knop drukt, geeft hij automatisch een snack uit. Je kunt niet achteraf de interne tandwielen van de machine aanpassen; het is "onveranderlijk" (immutable). Als er een fout in de tandwielen zit, kan een hacker al het geld binnenin stelen, en is er geen manier om het te repareren zonder een hele nieuwe machine te bouwen.

Dit artikel gaat over het proberen vinden van die kapotte tandwielen voordat de machine wordt ingezet. De onderzoekers stelden een eenvoudige vraag: "Kunnen we zien of een verkoopautomaat waarschijnlijk kapot is, enkel door te kijken naar hoe ingewikkeld de blauwdrukken zijn?"

Hier is de uitsplitsing van hun bevindingen met behulp van alledaagse analogieën:

1. Het kernidee: Complexiteit is een "red flag"

De onderzoekers keken naar 21 verschillende manieren om te meten hoe "rommelig" of "complex" een stuk code is. Zie deze metrieken als manieren om zaken te meten zoals:

SLOC (Source Lines of Code): Hoeveel pagina's heeft de instructiehandleiding?
Nesting: Hoeveel lagen van "als dit, dan dat"-dozen zitten er in elkaar? (Zoals een Russische matroesjka-pop).
Coupling: Hoeveel andere machines moet deze machine nodig hebben om mee te praten om te kunnen werken?

De bevinding: Ze ontdekten dat rommelige blauwdwerken meestal betekenen dat de machines kapot zijn.
Wanneer ze keken naar contracten die gehackt waren (kwetsbaar), waren die blauwdrukken bijna altijd complexer, langer en meer verstrengeld dan de blauwdrukken voor veilige contracten.

2. Het "Glazen Bol" probleem (Individuele metrieken)

De onderzoekers probeerden te zien of één specifieke meting een hack kon voorspellen.

Analogie: Stel je voor dat je probeert te raden of een auto een ongeluk zal krijgen door alleen naar het aantal bekerhouders te kijken.
Resultaat: Het werkte niet goed. Geen enkele metriek (zoals alleen het tellen van de regels code) was een perfecte "glazen bol". Als je alleen naar het aantal regels keek, kon je niet betrouwbaar zeggen: "Deze gaat zeker gehackt worden." De connectie was er wel, maar was zwak.

3. Het succes van de "Teaminspanning" (Gecombineerde metrieken)

Echter, wanneer ze naar alle metingen samen keken, werd het beeld heel duidelijk.

Analogie: Je kunt niet zeggen of een soep zout is door alleen de zoutpot te proeven, maar als je de hele kom proeft, weet je precies hoe zout hij is.
Resultaat: Hoewel één metriek niet genoeg was, was de combinatie van metrieken erg goed in het onderscheiden tussen veilige contracten en gevaarlijke contracten. De "kwetsbare" contracten hadden consequent hogere scores op alle fronten (meer regels, diepere nesting, meer verbindingen) vergeleken met de veilige contracten.

4. De verrassende uitzonderingen

Er waren drie dingen die tegen de regel "meer complexiteit = meer gevaar" ingingen:

Comments (CLOC): Veilige contracten hadden meer opmerkingen (notities geschreven door de programmeur om de code uit te leggen). Kwetsbare contracten hadden er minder.
- Takeaway: Het schrijven van notities bij je blauwdruk lijkt te helpen om je machine veilig te houden.
Descendants (NOD): Veilige contracten hadden meer "afstammelingen" (versies of kind-contracten). Kwetsbare contracten hadden er minder.
Parameters: Kwetsbare contracten hadden gemiddeld zelfs iets minder inputs/parameters.

5. Wat dit betekent voor ontwikkelaars

Het artikel concludeert dat complexiteit niet de oorzaak van de hack is (zoals een virus), maar het is een zeer luid waarschuwingssignaal.

De Analogie: Als je een huis ziet met een wirwar aan draden, blootliggende leidingen en een verwarrend vloerplan, weet je niet zeker of het in brand zal vliegen, maar je weet wel dat de kans veel groter is dan bij een huis met nette, georganiseerde bedrading.
Het Advies: Ontwikkelaars moeten proberen hun code simpel te houden. Als een contract te ingewikkeld wordt, is dat een signaal om te stoen en te controleren op beveiligingslekken. Schrijf ook meer comments; de data suggereert dat goed gedocumenteerde code veiliger is.

Samenvatting

Het artikel bewijst dat complexiteit een sterke indicator van risico is in smart contracts. Je kunt niet vertrouwen op slechts één getal om een hack te voorspellen, maar als je naar de algehele "rommeligheid" van de code kij bent, kun je de gevaarlijke contracten veel beter opsporen dan wanneer je de complexiteit volledig negeert. Het is een hulpmiddel om auditors en ontwikkelaars te helpen welke contracten de meest zorgvuldige inspectie nodig hebben.

Technische Samenvatting: Beoordeling van Kwetsbaarheid in Smart Contracts via Code Complexiteitsmetrieken

Probleemstelling
Smart contracts die zijn uitgerold op blockchain-platforms zoals Ethereum zijn onveranderlijk en beheren vaak transacties met een hoge waarde, waardoor de zekerheid van beveiliging cruciaal is. Hoewel de onderliggende blockchain veilig is, zijn de smart contracts zelf kwetsbaar voor exploits voortvloeiend uit programmeerfouten of nalatigheid van de programmeur. Traditionele statische analyse-instrumenten vertrouwen vaak op patroonherkenning om specifieke typen kwetsbaarheden te detecteren. Er is echter een behoefte om te begrijpen of structurele eigenschappen van de code, specifiek softwarecomplexiteit, kunnen dienen als aanvullende indicatoren voor het identificeren van kwetsbare gebieden. De auteurs stellen dat code die afwijkt van gevestigde best practices (d.w.z. hogere complexiteit) een hogere blootstelling aan beveiligingsdefecten kan vertonen, maar dat de specifieke relatie tussen complexiteitsmetrieken en Solidity smart contract kwetsbaarheden een openstaand probleem blijft dat empirische validatie vereist.

Methodologie
De studie hanteert een kwantitatieve, empirische benadering om de relatie tussen 21 verschillende softwarecomplexiteitsmetrieken en de aanwezigheid van kwetsbaarheden in Solidity smart contracts te analyseren.

Dataset: Het onderzoek maakt gebruik van een dataset afgeleid van Liu et al., bestaande uit 16.239 individuele contracten (258 kwetsbaar, 15.981 neutraal) die zijn gecrawld van Etherscan. De kwetsbare contracten zijn gelabeld op basis van acht specifieke typen kwetsbaarheden: Integer Underflow/Overflow, Dangerous Ether Strict Equality, Reentrancy, Timestamp Dependency, Block Number Dependency, Dangerous Delegatecall, Ether Frozen, en Unchecked External Call.
Extractie van metrieken: De statische analyse-tool Solmet werd gebruikt om 21 complexiteitsmetrieken voor elk contract te extraheren. Deze omvatten grootte-metrieken (SLOC, LLOC, CLOC), structurele metrieken (NF, WMC, NOS), nesting-metrieken (NL, NLE), overervingsmetrieken (DIT, NOA, NOD), koppelingsmetrieken (CBO, NOI, NA), en gemiddelden van deze metrieken.
Statistische Analyse:
- Correlatieanalyse: Spearman's rangcorrelatiecoëfficiënt werd gebruikt om monotone relaties tussen metrieken te beoordelen en redundantie tussen de metrieken onderling te identificeren.
- Groepsvergelijking: De Mann-Whitney U-test werd toegepast om te bepalen of de distributie van metriekwaarden significant verschilde tussen kwetsbare en neutrale contracten.
- Effectgrootte: Cliff's Delta ( $\delta$ ) werd berekend om de omvang van het verschil tussen de twee groepen te kwantificeren.
- Betrouwbaarheidsintervallen: Gebruikt om de centrale tendens (gemiddelden) van de metrieken tussen de kwetsbare en neutrale groepen te vergelijken.

Belangrijkste Bijdragen
Het artikel behandelt vier specifieke onderzoeksvragen (RQ's) om het nut van complexiteitsmetrieken te evalueren:

RQ1 (Interafhankelijkheid van metrieken): De studie identificeert significante redundantie tussen bepaalde metrieken. Zo correleert SLOC bijvoorbeeld sterk met NOI, NOS, WMC en NF. Evenals nesting-metrieken (NL, NLE) en hun gemiddelden vertonen een hoge correlatie, wat suggereert dat niet alle 21 metrieken unieke informatie bieden voor kwetsbaarheidsdetectie.
RQ2 (Correlatie tussen metriek en kwetsbaarheid): De analyse laat zien dat hoewel alle 21 metrieken een statistisch significante correlatie ( $p < 0,05$ ) vertonen met de aanwezigheid van kwetsbaarheden, de sterkte van deze correlaties over het algemeen zwak is (coëfficiënten meestal onder de 0,3). Dit staat in contrast met bevindingen in traditionele programmeertalen waar correlaties vaak sterker zijn. Bijgevolg fungeert geen enkele metriek op zichzelf als een sterke voorspeller.
RQ3 (Discriminatief vermogen): Ondanks zwakke individuele correlaties bevestigt de Mann-Whitney U-test dat alle metrieken statistisch gezien onderscheid kunnen maken tussen kwetsbare en neutrale codes ( $p < 0,05$ ). De meeste metrieken vertonen een grote effectgrootte (bijv. SLOC, LLOC, NF, WMC, NL, NOS, CBO, NA, NOI), wat aangeeft dat de distributies van deze metrieken praktisch verschillen tussen de twee groepen.
RQ4 (Richting van het verschil): De studie vindt dat kwetsbare contracten over het algemeen hogere gemiddelde complexiteitsscores vertonen dan neutrale contracten voor de meerderheid van de metrieken. Er zijn echter drie opmerkelijke uitzonderingen waarbij kwetsbare contracten lagere waarden hebben:
- CLOC (Comment Lines): Neutrale contracten hebben meer comments, wat suggereert dat documentatie kwetsbaarheden kan mitigeren.
- NOD (Number of Descendants): Kwetsbare contracten hebben minder afstammelingen.
- Avg. NUMPAR (Gemiddeld aantal parameters): Kwetsbare contracten hebben gemiddeld minder parameters.

Resultaten en Betekenis
Het artikel concludeert dat complexiteitsmetrieken indicatoren zijn en geen directe oorzaken van kwetsbaarheid. De primaire betekenis van de bevindingen ligt in de volgende punten:

Collectief Nut: Hoewel individuele metrieken een zwakke voorspellende kracht hebben, demonstreert de studie dat ze, wanneer ze collectief worden geanalyseerd, over sterke discriminatieve vermogens beschikken. Dit ondersteunt hun gebruik als aanvullende kenmerken in geautomatiseerde kwetsbaarheidsdetectietools.
Beheer van Redundantie: De identificatie van sterk gecorreleerde metrieken (bijv. SLOC vs. WMC vs. NF) suggereert dat voorspellingsmodellen voor kwetsbaarheden kunnen worden geoptimaliseerd door een niet-redundante subset van kenmerken te selecteren, wat de efficiëntie verbetert zonder de nauwkeurigheid op te offeren.
Contextuele Nuance: De bevindingen benadrukken unieke kenmerken van Solidity vergeleken met traditionele software. Bijvoorbeeld, de inverse relatie met commentaar-dichtheid (CLOC) suggereert dat in de context van smart contracts een gebrek aan documentatie een specifieke marker van risico is.
Praktische Toepassing: De auteurs stellen voor dat deze metrieken kunnen worden geïntegreerd in bestaande statische analyse-instrumenten om audit-inspanningen te prioriteren. Contracten met hoge complexiteitsscores kunnen worden gemarkeerd voor diepere handmatige controle, en ontwikkelaars kunnen deze inzichten gebruiken om zich te houden aan best practices zoals het minimaliseren van nesting, het verminderen van koppeling en het waarborgen van adequate documentatie.

De auteurs nemen een bescheiden standpunt in door te benadrukken dat de geobserveerde relaties statistische associaties zijn. Zij erkennen dat hoge complexiteit vaak correleert met een groter "probleemdomein" (bijv. complexe DeFi-protocollen vereisen van nature meer code), wat de onderliggende drijfveer voor verhoogd kwetsbaarheidsrisico kan zijn, in plaats van dat de complexiteitsmetrieken zelf de enige causale mechanismen zijn. Toekomstig werk wordt gesuggereerd in de vorm van domeinspecifieke stratificatie en de exploratie van cognitieve complexiteitsmetrieken.