Where Do Smart Contract Security Analyzers Fall Short?
Deze studie combineert een benchmark van zes populaire smart contract-analysatoren op 653 real-world contracts met een enquête onder 150 professionals om aan te tonen dat hoge rates van vals-positieve resultaten, onduidelijke verklaringen en lange verwerkingstijden de belangrijkste oorzaken zijn van gebrek aan vertrouwen en adoptie in de praktijk.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je voor dat de wereld van blockchain en cryptomunten een enorme, drukke stad is. In deze stad wonen Slimme Contracten: dit zijn als het ware onzichtbare, robotische notarissen. Ze zorgen ervoor dat geld wordt overgemaakt of dat een deal wordt gesloten, zonder dat er een mens tussenkomt. Als alles goed gaat, is dit geweldig. Maar als er een klein foutje in de code van deze robot zit, kan een hacker de hele stad leegroven.
In 2024 zijn er al miljarden dollars gestolen door hackers die deze foutjes vonden. Om dit te voorkomen, hebben programmeurs veiligheidsscanners (de "security analyzers" uit het artikel) ontwikkeld. Dit zijn als het ware digitale inspecteurs die de code van de robot-notarissen controleren op fouten voordat ze worden ingezet.
Maar hier zit het probleem: de inspecteurs werken niet altijd goed, en de programmeurs vertrouwen ze niet.
Dit artikel van onderzoekers van de NYU Abu Dhabi duikt in waarom dit zo is. Ze hebben twee dingen gedaan:
- Ze hebben 6 populaire inspecteurs op de proef gesteld met 653 echte contracten (een mix van veilige en onveilige).
- Ze hebben 150 echte programmeurs geïnterviewd om te vragen wat ze ervan vinden.
Hier is wat ze ontdekten, vertaald in alledaags taal:
1. De Inspecteurs zijn onzeker en traag
Stel je voor dat je een huis wilt verkopen en je huurt drie keurmeesters in om te kijken of het dak lekt.
- Soms zien ze niets: Een van de keurmeesters (zoals Dlva) zag bijna geen enkel lek, zelfs als er een gat in het dak zat. Dat is gevaarlijk.
- Soms zien ze dingen die er niet zijn: Andere keurmeesters (zoals Osiris en Oyente) riepen: "Hulp! Er is een lek!" terwijl het dak perfect droog was. Dit noemen ze valse alarmen.
- Het probleem: Als een inspecteur 30% van de tijd roept dat er een lek is terwijl er geen is, ga je die inspecteur niet meer geloven. Je denkt: "Oh, weer een valse alarm, ik negeer het maar."
- Ze zijn traag: Sommige inspecteurs deden er 12 minuten over om één huis te controleren. Programmeurs willen echter binnen 10 minuten een antwoord, zodat ze hun werk kunnen blijven doen. Wachten is geen optie.
De conclusie: Geen enkele inspecteur is perfect. De ene is goed in het vinden van diefstal (re-entry), de andere is goed in rekenfouten, maar ze zijn allemaal te traag of te onnauwkeurig voor dagelijks gebruik.
2. De Programmeurs zijn moe en wantrouwig
De onderzoekers vroegen de programmeurs: "Waarom gebruiken jullie deze tools niet meer?"
Het antwoord was duidelijk:
- Te veel ruis: Omdat de tools zo vaak valse alarmen geven, raken de programmeurs overprikkeld. Het is alsof je een brandmelder hebt die elke dag afgaat omdat je toast hebt gebrand. Uiteindelijk trek je de stekker eruit.
- Onduidelijke boodschappen: Als een tool zegt "Er is een fout", maar geeft geen uitleg waar of hoe je het moet fixen, is het nutteloos. Programmeurs willen een kort, duidelijk advies: "Hier is de fout, klik hier om het te repareren."
- Te lang wachten: Niemand wil 20 minuten wachten op een scan. Als het te lang duurt, slaan ze de tool over.
3. Wat moet er gebeuren? (De oplossing)
De onderzoekers geven een paar simpele adviezen om de situatie te redden:
- Maak het sneller: De tools moeten binnen 10 minuten klaar zijn.
- Maak het duidelijker: Geen lange, saaie rapporten. Geef een korte zin: "Hier is de fout, hier is de oplossing."
- Minder valse alarmen: Het is beter om soms een fout te missen dan om constant te roepen dat er iets mis is als er niets aan de hand is.
- Combineer krachten: Geen enkele tool is de beste in alles. Misschien moeten we een "super-tool" maken die de sterke punten van alle andere tools samenvoegt, net als een team van specialisten die samenwerken.
Samenvattend
De technologie om slimme contracten veilig te maken bestaat, maar de gereedschappen die we gebruiken om ze te testen, zijn nog niet volwassen genoeg. Ze zijn te traag, geven te veel foutmeldingen en spreken de programmeurs niet aan.
Zolang deze tools niet worden verbeterd tot ze snel, nauwkeurig en makkelijk te begrijpen zijn, zullen hackers blijven winnen en zullen programmeurs de tools negeren. Het is tijd om de inspecteurs op te leiden en hun gereedschapskist aan te passen, zodat ze echt kunnen helpen in plaats van alleen maar te klagen.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.