GenDetect: Generalizing Reactive Detection for Resilience Against Imitative DeFi Attack Cascade

1. Definição do Problema

O artigo aborda a lacuna crítica de segurança na Finança Descentralizada (DeFi) onde ocorrem Cascata de Ataques Imitativos.

• O Fenômeno: Uma vez que um exploit bem-sucedido é descoberto, atacantes (ou imitadores) replicam rapidamente a lógica do ataque com modificações mínimas (por exemplo, alterações de parâmetros, reordenação de chamadas ou ofuscação). A análise empírica mostra que mais de 69% dos ataques DeFi são imitações de incidentes anteriores, causando perdas superiores a US$ 2 bilhões.
• A Limitação dos Sistemas Atuais: Os métodos de detecção existentes são ou:
  • Baseados em Heurísticas: Dependendo de sinais estáticos como endereços conhecidos de exploradores ou uso do Tornado Cash, que falham em detectar novas variantes.
  • Específicos de Vulnerabilidade: Focando em tipos específicos de bugs (por exemplo, reentrância, empréstimos relâmpago) em vez de padrões comportamentais gerais.
  • Manuais/Reativos: Exigindo análise de rastreamento lenta e manual para criar novas regras de detecção, levando a uma latência inaceitável onde ataques de acompanhamento têm sucesso antes que as defesas sejam implantadas.
• Objetivo: Desenvolver um sistema capaz de pegar uma única instância de ataque observada e generalizá-la automaticamente em uma regra de detecção robusta e reutilizável para capturar ataques imitativos subsequentes em tempo real.

2. Metodologia: Framework GenDetect

O GenDetect decompõe o problema em dois desafios centrais: (C1) Abstração Semântica de assinaturas de funções diversas e (C2) Correspondência Lógica Robusta em rastreamentos ruidosos. Ele aborda esses desafios por meio de quatro componentes técnicos:

A. Extração Semântica Baseada em Código Fonte (Insight I)

Em vez de confiar em nomes de funções superficiais (que podem ser enganosos), o GenDetect aproveita a natureza de código aberto dos protocolos DeFi para entender o comportamento real do código.

• T1: Lista de Atalhos de Assinatura de Função: Os autores construíram um banco de dados curado mapeando 1.272 assinaturas de função exclusivas para 122 categorias semânticas (por exemplo, swap, mint, transfer) agrupando o código fonte usando CodeBERT e validando com especialistas humanos.
• T2: Pipeline de Classificação Automática: Para assinaturas não vistas, o sistema busca o código fonte, encontra a função mais semelhante no banco de dados de referência usando CodeBERT e valida a classificação usando raciocínio baseado em LLM (GPT-4.1). Isso garante que o sistema se adapte a novos contratos sem retreinamento manual.

B. Extração Lógica Baseada em Rótulos de Contrato (Insight II)

Os rastreamentos de transações DeFi são ruidosos, contendo muitas chamadas internas benignas. O GenDetect filtra esses elementos para isolar a intenção do atacante.

• T3: Extração Lógica: O sistema filtra o rastreamento da transação para reter apenas invocações diretas do atacante (Contas de Proprietário Externo ou scripts controlados pelo atacante). Remove chamadas recursivas de protocolos e camadas de "wrapper", achatando o rastreamento em uma sequência achatada de operações essenciais.
• T4: Correspondência Lógica Consciente do Tipo de Token: A lógica extraída é dividida em duas categorias com base no token alvo:
  1. Operações de Ativo Principal: (por exemplo, ETH, USDT) representando a extração de valor.
  2. Operações Específicas do Protocolo: (por exemplo, tokens de governança, tokens LP) representando mecanismos de exploração.
  • Métrica: Em vez de correspondência baseada em sequência (como Subsequência Comum Mais Longa), que falha contra reordenação, o GenDetect usa Diferença de Conjunto Normalizada Assimétrica (ANSD).
  • Fórmula: $Sim(A, B) = 1 - \frac{|A \setminus B|}{|A|}$, onde $A$ é o padrão de ataque conhecido. Isso mede quanto da lógica de ataque confirmada é preservada na nova transação $B$, ignorando ruído irrelevante ou reordenação em $B$.

3. Principais Contribuições

1. Primeiro Sistema de Generalização Reativa: Um framework que traduz um único exploit observado em uma regra de detecção generalizável, preenchendo a lacuna entre a descoberta e a defesa escalável.
2. Framework Semântico e Lógico: Uma abordagem inovadora combinando classificação semântica baseada em código-fonte e correspondência baseada em conjuntos consciente do tipo de token para reduzir falsos positivos de transações benignas ofuscadas e falsos negativos de padrões de ataque mutados.
3. Pipeline de Alto Desempenho: Um pipeline de detecção paralelizável capaz de análise em tempo real, atendendo aos requisitos de latência das principais blockchains.
4. Descoberta no Mundo Real: O sistema identificou com sucesso 56 ataques previamente não divulgados na natureza, envolvendo mais de US$ 1,5 milhão em valor, demonstrando utilidade prática além de benchmarks conhecidos.

4. Resultados da Avaliação

O sistema foi avaliado contra ferramentas de última geração (Forta, DeFiRanger, TxSpector, POMABuster) em conjuntos de dados de benchmark e do mundo real.

• Precisão (Validação Cruzada):
  • F1-Score: 98% (vs. 91% para Forta, 77% para DeFiRanger).
  • Taxa de Falsos Positivos (FPR): 1% (vs. 16% para Forta).
  • Taxa de Falsos Negativos (FNR): 3%.
• Generalização Zero-Shot:
  • Testado em conjuntos de dados não vistos (Phalcon e DeFiHackLab) sem treinamento prévio nesses incidentes específicos.
  • Cobertura: O GenDetect detectou 76% dos ataques, superando significativamente o Forta (65%) e o DeFiRanger (44%).
• Eficiência:
  • Vazão: Capaz de processar >2.000 transações por segundo (TPS) em 96 núcleos, satisfazendo as necessidades em tempo real das redes Ethereum e BNB.
  • Latência: O tempo médio de processamento por transação é <0,1s, com cenários de pior caso (rastreamentos longos) completando dentro de 0,7s.
• Estudo de Ablação: A remoção do módulo de extração semântica causou uma queda de >50% no F1-score, provando a importância crítica da compreensão baseada em código-fonte em vez de correspondência simples de palavras-chave.

5. Significado

• Mudança de Paradigma: Move a segurança DeFi de "criação manual de regras reativas" para "generalização semântica automatizada". Reconhece que, embora novas vulnerabilidades sejam difíceis de prever, ataques imitativos são previsíveis se a lógica subjacente for abstraída corretamente.
• Resiliência contra Evasão: Ao usar similaridade baseada em conjuntos (ANSD) em vez de correspondência baseada em sequência, o sistema é robusto contra atacantes que reordenam chamadas ou inserem ruído para evadir a detecção.
• Impacto Prático: A descoberta de 56 ataques ocultos prova que as ferramentas de monitoramento atuais estão perdendo uma parte significativa do panorama de ameaças. O GenDetect fornece um mecanismo escalável e automatizado para fechar essa lacuna, potencialmente economizando bilhões em perdas futuras ao prevenir o efeito "cascata" de ataques de imitação.

Limitações: O sistema atualmente luta com ataques lançados por meio de relés privados (pools escuras) onde as transações são invisíveis para os monitores públicos do mempool, e requisitos extremos de vazão (por exemplo, 65k TPS do Solana) podem exigir escalabilidade horizontal significativa ou pré-filtragem.