Smart Contract Vulnerabilities, Tools, and Benchmarks: an Updated Systematic Literature Review

Resumo Técnico: Revisão Sistemática da Literatura (SLR) Atualizada sobre Vulnerabilidades, Ferramentas e Benchmarks de Contratos Inteligentes

1. Problema e Motivação

Os contratos inteligentes (SCs), especialmente na plataforma Ethereum, revolucionaram as finanças descentralizadas (DeFi), mas sua imutabilidade e transparência os tornam alvos críticos para ataques maliciosos. A segurança é um desafio persistente devido à complexidade da lógica de negócios e à impossibilidade de corrigir erros após a implantação.

O problema central abordado neste trabalho é a fragmentação e desatualização do conhecimento sobre segurança de contratos inteligentes:

• Taxonomias Desatualizadas: As classificações existentes (como DASP Top 10 de 2018 e SWC Registry de 2020) não cobrem novas vulnerabilidades emergentes, como as relacionadas a ambientes multichain (cross-chain) e mau uso de bibliotecas.
• Inconsistências de Nomenclatura: Diferentes taxonomias usam sinônimos conflitantes para a mesma vulnerabilidade ou agrupam vulnerabilidades distintas sob o mesmo nome, gerando ambiguidade para auditores e pesquisadores.
• Falta de Mapeamento Abrangente: Não havia um mapeamento claro entre as ferramentas de detecção existentes e as vulnerabilidades específicas que elas abordam, dificultando a escolha de ferramentas adequadas.
• Benchmarks Obsoletos: A maioria das ferramentas é avaliada em conjuntos de dados antigos (predominantemente Solidity 0.4.x), enquanto a indústria migrou para versões mais recentes (0.8.x), onde o comportamento do compilador mudou (ex: tratamento automático de overflow/underflow).

2. Metodologia

Os autores realizaram uma Revisão Sistemática da Literatura (SLR) atualizando o trabalho seminal de Rameder et al. (2021). O processo seguiu rigorosamente o framework 3PDF para justificar a atualização e envolveu:

• Coleta de Dados:
  • Busca em 5 bibliotecas digitais (ACM, IEEE, ScienceDirect, etc.) e 5 conferências principais de engenharia de software (ICSE, FSE, ASE, ISSTA, ICST).
  • Aplicação de Snowballing (frente e trás) para identificar estudos relevantes que poderiam ter sido perdidos na busca inicial.
  • Total de estudos analisados: 3.380 artigos.
  • Estudos selecionados (alta qualidade): 222 artigos após aplicação de critérios de inclusão/exclusão e avaliação de qualidade (IDQ e CDQ).
• Processo de Análise:
  • RQ1 (Vulnerabilidades): Extração e agrupamento de vulnerabilidades, remoção de duplicatas e criação de uma taxonomia hierárquica baseada em causas raízes. Validação realizada através de entrevistas semiestruturadas com 4 especialistas em segurança e Solidity.
  • RQ2 (Ferramentas): Extração de informações sobre 219 ferramentas, focando em funcionalidades, métodos de análise (ex: execução simbólica, fuzzing) e técnicas de transformação de código (ex: AST, CFG).
  • RQ3 (Mapeamento): Mapeamento das ferramentas para as vulnerabilidades da taxonomia, identificando lacunas de cobertura.
  • RQ4 (Avaliação): Coleta e análise de 133 benchmarks usados para avaliar as ferramentas, verificando versões do Solidity suportadas e tipos de contratos (código fonte vs. bytecode).

3. Contribuições Principais

O artigo apresenta quatro contribuições fundamentais para o estado da arte:

1. Nova Taxonomia Hierárquica de Vulnerabilidades:

   • Agrupa 192 vulnerabilidades únicas em 13 categorias principais.
   • Estrutura em 3 níveis de abstração:
     • Nível 1: Categorias gerais (ex: "Dependência de Ambiente/Blockchain").
     • Nível 2: Vulnerabilidades específicas (ex: "Dependência de Timestamp").
     • Nível 3: Casos de uso ou variações específicas.
   • Resolve ambiguidades de sinônimos, unificando nomes alternativos sob um nome canônico.
   • Inclui novas categorias não presentes em taxonomias anteriores, como Mau Uso de Bibliotecas e Vulnerabilidades de Sistemas Cross-Chain.

2. Catálogo Completo de Ferramentas de Detecção:

   • Lista de 219 ferramentas automatizadas.
   • Detalha para cada ferramenta: linguagem de implementação, tipo de entrada (bytecode, fonte), tipo de análise (estática, dinâmica, híbrida), métodos utilizados (ex: Aprendizado de Máquina, Execução Simbólica) e técnicas de transformação de código.

3. Mapeamento Ferramenta-Vulnerabilidade:

   • Um mapa detalhado que conecta as 219 ferramentas às 192 vulnerabilidades da taxonomia.
   • Revela que a maioria das ferramentas foca em um subconjunto estreito de vulnerabilidades, deixando muitas outras sem cobertura.

4. Inventário de Benchmarks:

   • Compilação de 133 benchmarks utilizados na literatura.
   • Análise crítica da composição dos dados (versões do Solidity, origem real vs. sintética).

4. Resultados Chave

• Sobre as Vulnerabilidades (RQ1):

  • A vulnerabilidade mais estudada é a Reentrância (1A1), seguida por Dependência de Timestamp (2A1) e Overflow/Underflow Inteiro (6A).
  • A taxonomia validada por especialistas removeu a categoria genérica "Denial of Service" (DoS), reclassificando essas vulnerabilidades com base em suas causas raízes (ex: esgotamento de limite de gás, exceções não tratadas), o que é mais útil para correção.

• Sobre as Ferramentas (RQ2 & RQ3):

  • Foco Desbalanceado: 113 das 192 vulnerabilidades da taxonomia não são abordadas por nenhuma ferramenta.
  • Cobertura das Top 10: Apenas as 10 vulnerabilidades mais comuns têm cobertura significativa (média de 49 ferramentas cada). As próximas 69 vulnerabilidades têm, em média, apenas 3 ferramentas cada.
  • Tecnologias: A análise estática é predominante (145 ferramentas). O uso de Aprendizado de Máquina (ML) é crescente, mas muitas ferramentas baseadas em ML exigem código fonte, limitando sua aplicação em contratos on-chain que não possuem fonte verificada.
  • Era LLM: O artigo destaca o surgimento recente (2024) de ferramentas que utilizam Grandes Modelos de Linguagem (LLMs) para detecção e reparo de código, embora a precisão ainda varie.

• Sobre a Avaliação e Benchmarks (RQ4):

  • Obsolescência: O benchmark mais usado, SmartBugs-wild, é composto majoritariamente por contratos em Solidity 0.4.x (83,7%).
  • Risco de Falsos Positivos: Ferramentas que detectam overflow/underflow podem gerar falsos positivos em contratos modernos (Solidity 0.8.x+), pois o compilador atual reverte automaticamente essas operações, tornando bibliotecas como SafeMath desnecessárias para esse fim.
  • Falta de Dados Reais: A maioria dos benchmarks são sintéticos ou pequenos. Há uma escassez de benchmarks grandes e atualizados que reflitam a realidade das aplicações DeFi atuais.

5. Significado e Direções Futuras

Este trabalho é fundamental para a comunidade de segurança blockchain porque:

1. Padronização: Oferece uma taxonomia unificada que resolve a confusão de nomenclatura, facilitando a comunicação entre pesquisadores, auditores e desenvolvedores.
2. Identificação de Lacunas: Expõe claramente que a pesquisa atual está concentrada em um número pequeno de vulnerabilidades, negligenciando riscos críticos em áreas como lógica de negócios complexa, oráculos de preço e sistemas cross-chain.
3. Chamado para Ação: Alerta sobre a inadequação dos benchmarks atuais para avaliar ferramentas modernas, sugerindo a necessidade de novos conjuntos de dados com versões recentes do Solidity e cenários de uso realistas.

Direções Futuras Sugeridas:

• Desenvolvimento de novos benchmarks que incluam vulnerabilidades de sistemas cross-chain e mau uso de bibliotecas.
• Criação de ferramentas integradas a IDEs para "Secure-by-Design" (segurança desde o design), reduzindo a necessidade de correções pós-implantação.
• Pesquisa em métodos híbridos que combinem análise estática, dinâmica e semântica (incluindo LLMs) para detectar vulnerabilidades de "lógica de negócios" que ferramentas tradicionais não conseguem identificar.

Em suma, o artigo fornece a base mais completa e atualizada para entender o estado da segurança de contratos inteligentes, servindo como um guia essencial para o desenvolvimento de futuras ferramentas de detecção e políticas de segurança.