Resumo Técnico: A Abordagem Kosmosis para Detecção de Rug Pulls em Cripto

Declaração do Problema

Os rug pulls de criptomoedas emergiram como uma ameaça crítica à integridade dos ecossistemas de blockchain, resultando em perdas financeiras significativas e na erosão da confiança dos investidores. Embora os métodos de detecção existentes dependam fortemente da análise de grafos de transações dentro das redes blockchain, eles enfrentam duas limitações fundamentais:

1. Pseudonimato: As abordagens atuais são limitadas aos dados da blockchain, tornando difícil vincular endereços pseudônimos a entidades do mundo real.
2. Falta de Semântica: A análise de grafos tradicional foca no quê os ativos foram transferidos, onde e em quanto, mas falha em capturar o porquê e o como da semântica das transações (ex: a intenção específica ou a função executada dentro de um contrato inteligente).

Consequentemente, os métodos preventivos baseados apenas em padrões de transação são inerentemente limitados em sua capacidade de detectar esquemas de fraude sofisticados ou fornecer alertas precoces aos usuários.

Metodologia: A Abordagem Kosmosis

Para enfrentar essas limitações, os autores propõem o Kosmosis, uma abordagem projetada para construir incrementalmente um Grafo de Conhecimento (KG - Knowledge Graph) através da fusão de fontes de dados heterogêneas. A metodologia é estruturada em torno de um pipeline de múltiplos estágios compreendendo ingestão, processamento e armazenamento de dados.

1. Construção Incremental de Grafo de Conhecimento

O pipeline do Kosmosis integra dados de três fontes primárias:

• Dados de Blockchain: Especificamente Ethereum, ingeridos continuamente via conexões WebSocket.
• Dados de Redes Sociais: Texto não estruturado da API de Fluxo Filtrado do X (antigo Twitter), ingerido incrementalmente.
• Dados de Enriquecimento: Dados estruturados de bases de conhecimento externas (ex: Golden Knowledge Graph) e atribuições de especialistas.

O sistema utiliza a ontologia EthOn para formalizar conceitos e relações dentro do domínio Ethereum, armazenando os dados resultantes em um triplestore (formato RDF) para facilitar a consulta semântica.

2. Fluxos de Trabalho de Processamento de Dados

O pipeline emprega fluxos de trabalho especializados para diferentes tipos de dados:

• Processamento de Dados de Blockchain:

  • Extração de Relação de Endereço: Este módulo decodifica os dados de entrada da transação usando a Interface Binária de Aplicação (ABI) dos contratos inteligentes interagentes. Envolve a desmontagem do bytecode para identificar opcodes (ex: SSTORE, CREATE) e reconstruir a ABI caso não esteja disponível publicamente. Isso permite que o sistema rotule as transações com significados semânticos (ex: distinguindo uma função de "mint" de uma transferência genérica).
  • Etiquetagem de Endereço: Com base nas relações extraídas, os endereços são etiquetados (ex: "deployer", "NFT minter").
  • Resolução de Entidade: Os endereços de blockchain são resolvidos para entidades no KG. O sistema utiliza "bloqueio" (blocking) para estreitar o escopo da busca e usa heurísticas como o reuso de endereço de depósito (proposto por Victor) para agrupar endereços controlados pela mesma entidade.

• Processamento de Texto:

  • Reconhecimento de Entidades Nomeadas (NER): Identifica entidades (pessoas, organizações) em textos de redes sociais.
  • Extração de Relação: Determina as relações entre entidades (ex: "Alice trabalha para Acme").
  • Resolução de Entidade: Correlaciona novas entidades com as entidades existentes no KG usando bloqueio e avaliação de similaridade par a par para vincular identidades de redes sociais a endereços de blockchain.

• Processamento de Enriquecimento:

  • Integra dados externos (ex: detalhes de membros da equipe do Golden Knowledge Graph) para mapear endereços de blockchain para identidades do mundo real, disparado por eventos como a adição de novas entidades.

3. Consulta Semântica e Detecção

O KG construído permite o uso de consultas SPARQL para detectar padrões fraudulentos. O sistema agrega transações (ex: somando transferências de ETH entre EOAs) e anota as arestas com rótulos semânticos (ex: mintMonkey, Deploy). Isso permite a identificação de padrões suspeitos, como transferências em massa rápidas de fundos para o endereço do deployer imediatamente após eventos de cunho de cunhagem (minting) de tokens, o que desvia do comportamento legítimo de um projeto.

Principais Contribuições

• Extração Semântica: O artigo introduz um método para extrair a semântica das transações de blockchain ao decodificar os dados de entrada do contrato inteligente, indo além do simples rastreamento de transferência de ativos para entender a intenção da transação.
• Fusão Cross-Modal: O Kosmosis preenche a lacuna entre endereços pseudônimos de blockchain e entidades do mundo real ao fundir dados on-chain com dados off-chain de redes sociais e enriquecimento.
• Pipeline Incremental: Os autores propõem uma arquitetura escalável capaz de lidar com ingestão de dados contínua, incremental, periódica e orientada a eventos sem exigir a reconstrução total do KG.
• Estrutura de Alerta Preventivo: A abordagem muda o paradigma da análise post-hoc para a detecção preventiva, visando alertar usuários antes que interajam com projetos fraudulentos.

Resultados e Estudo de Caso

O artigo valida a abordagem Kosmosis através de um estudo de caso envolvendo um fraudador real conhecido como "Homer_eth", que executou cinco rug pulls de NFT em 2021, acumulando mais de US$ 2,8 milhões.

• Visualização de Linha de Base: Um grafo de transação padrão (Figura 4) mostra fluxos de fundos, mas carece de contexto sobre a identidade dos atores ou a natureza específica das transações.
• Melhoria do Kosmosis: O KG construído (Figura 5) anota semanticamente as arestas (ex: vinculando funções "mint" a contratos específicos) e conecta o endereço do deployer (0xc8a6) à identidade de rede social "Homer_eth" via postagens no X.
• Lógica de Detecção: O sistema demonstra que, ao analisar o fluxo semântico, é possível identificar que os proventos do mint foram desviados diretamente para o endereço do deployer em vez de para o tesouro do projeto. Em uma "História de Usuário Futura" hipotética, o sistema teria sinalizado essa anomalia para um usuário ("Bob") antes da confirmação da transação, alertando sobre o risco baseado no padrão de desvio de fundos e na identidade social vinculada.

Significância e Alegações

Os autores afirmam que o Kosmosis representa um avanço significativo na detecção de fraudes em cripto ao:

1. Aumentar a Profundidade de Detecção: Identifica padrões de fraude invisíveis para a análise tradicional de grafos de transação ao incorporar a semântica da transação.
2. Preencher a Lacuna de Identidade: Conecta transações pseudônimas a entidades do mundo real através da correlação de redes sociais, permitindo uma atribuição mais eficaz.
3. Possibilitar a Prevenção: Ao fornecer uma base semântica para o raciocínio, a abordagem suporta o desenvolvimento de sistemas de alerta em tempo real que podem avisar usuários sobre potenciais rug pulls antes que os fundos sejam perdidos.

O artigo reconhece limitações atuais, incluindo a dependência de links explícitos entre postagens de redes sociais e endereços de blockchain, a necessidade de uma resolução de entidade mais sofisticada sem referências diretas e a restrição atual a blockchains baseadas em contas, como o Ethereum. Trabalhos futuros visam generalizar o método de classificação, refinar os filtros de ingestão de dados e expandir o suporte para outras arquiteturas de blockchain, como a do Bitcoin.