Monitoreo en tiempo de ejecución

Muchos exploits en DeFi no son una sola transacción. Un atacante despliega un contrato, lo prueba, pide fondos prestados, mueve precios y recién entonces vacía el objetivo, a veces a lo largo de minutos u horas. Cada paso deja un rastro en una blockchain pública. El monitoreo en tiempo de ejecución es la práctica de leer esos rastros lo bastante rápido como para actuar.

Cómo funciona

Los sistemas de monitoreo vigilan la blockchain, y a menudo la fila de transacciones que esperan ser incluidas, en busca de patrones vinculados a ataques. Señales típicas:

• un contrato recién desplegado que llama a las funciones de un protocolo en un orden inusual
• un flash loan grande seguido de operaciones que mueven el precio de un oráculo
• cambios repentinos en el precio de la participación de un vault o en los saldos de un pool
• acciones administrativas, como una transferencia de propiedad o una actualización, que nadie anunció
• fondos que se mueven hacia direcciones vinculadas a exploits anteriores

La detección suele funcionar en dos etapas. Un filtro rápido puntúa cada nueva transacción o contrato contra patrones de ataque conocidos, y los sospechosos se simulan contra el estado actual de la blockchain para ver qué harían realmente: qué saldos cambian, qué precios se mueven y adónde terminan los fondos. La simulación es lo que le permite a un sistema distinguir una operación grande pero normal del primer movimiento de un exploit.

Cuando salta una señal, el sistema alerta al equipo. En algunas configuraciones también puede activar respuestas automáticas: pausar un contrato, bloquear una función o poner los fondos fuera de alcance antes de que un ataque se complete.

Un ejemplo sencillo

Un atacante despliega un contrato que pide prestada una suma grande mediante un flash loan, la pasa por un pool de liquidez poco profundo para distorsionar un precio y se prepara para pedir prestado contra ese precio. El sistema de monitoreo simula el nuevo contrato, reconoce el patrón y lo marca como de alto riesgo antes de que entre la transacción real. El guardián del protocolo pausa los préstamos, el ataque fracasa y el equipo investiga. Sin monitoreo, la primera señal podría haber sido un vault vacío.

Monitoreo vs. auditorías y bounties

Una auditoría de contratos inteligentes examina el código antes del despliegue o poco después, y un bug bounty invita a los investigadores a seguir examinándolo. El monitoreo en tiempo de ejecución, en cambio, vigila el comportamiento. Puede detectar ataques que usan código que nadie pensó en revisar, como una interacción con un protocolo recién lanzado, y cubre eventos operativos, como actividad administrativa sospechosa, que una revisión de código nunca ve.

Riesgos y límites

El monitoreo no puede detener lo que no ve a tiempo. Algunos ataques se completan en una transacción, y solo dejan la breve ventana antes de que se incluya en un bloque; las rutas privadas de transacciones pueden ocultar incluso eso. Las respuestas automáticas requieren un diseño cuidadoso: una pausa que se activa con demasiada facilidad perjudica a los usuarios honestos, y una que se activa demasiado tarde no sirve. El poder de pausar es en sí mismo un riesgo si las claves que lo controlan están mal protegidas. Y un sistema de monitoreo solo es tan bueno como sus modelos, así que un tipo nuevo de ataque puede no coincidir con ningún patrón conocido. Por eso el monitoreo funciona junto con las auditorías, los bounties y la prueba de reservas, no en lugar de ellos.

Tori Finance usa el monitoreo en tiempo de ejecución de Hypernative para vigilar la actividad onchain de sus contratos inteligentes. Agrega una capa en vivo a las auditorías de contratos inteligentes de Sherlock y Nethermind. Tori también tiene su propio programa interno de bug bounty.