रनटाइम मॉनिटरिंग

DeFi के कई एक्सप्लॉइट एक अकेला ट्रांज़ैक्शन नहीं होते। हमलावर एक कॉन्ट्रैक्ट डिप्लॉय करता है, उसे टेस्ट करता है, फ़ंड उधार लेता है, कीमतें हिलाता है और उसके बाद ही निशाने को खाली करता है, कभी-कभी मिनटों या घंटों में। हर कदम सार्वजनिक ब्लॉकचेन पर निशान छोड़ता है। रनटाइम मॉनिटरिंग उन निशानों को इतनी तेज़ी से पढ़ने का काम है कि उन पर कार्रवाई की जा सके।

यह कैसे काम करती है

मॉनिटरिंग सिस्टम ब्लॉकचेन पर, और अक्सर शामिल होने का इंतज़ार कर रहे ट्रांज़ैक्शन की कतार पर भी, हमलों से जुड़े पैटर्न खोजते हैं। आम संकेत:

• नया डिप्लॉय हुआ कॉन्ट्रैक्ट जो किसी प्रोटोकॉल के फ़ंक्शन असामान्य क्रम में कॉल करता है
• एक बड़ा फ़्लैश लोन, जिसके बाद ऐसे ट्रेड होते हैं जो किसी ओरेकल की कीमत हिला देते हैं
• किसी वॉल्ट की शेयर कीमत या किसी पूल के बैलेंस में अचानक बदलाव
• एडमिनिस्ट्रेटिव कार्रवाइयाँ, जैसे ओनरशिप ट्रांसफ़र या अपग्रेड, जिनकी किसी ने घोषणा नहीं की
• पहले के एक्सप्लॉइट से जुड़े एड्रेस की ओर जाते फ़ंड

पहचान आम तौर पर दो चरणों में होती है। एक तेज़ फ़िल्टर हर नए ट्रांज़ैक्शन या कॉन्ट्रैक्ट को ज्ञात हमले के पैटर्न से मिलाकर स्कोर देता है, और संदिग्ध मामलों को चेन की मौजूदा स्थिति पर सिम्युलेट किया जाता है, यह देखने के लिए कि वे असल में क्या करेंगे: कौन-से बैलेंस बदलेंगे, कौन-सी कीमतें हिलेंगी और फ़ंड कहाँ पहुँचेंगे। सिम्युलेशन ही किसी सिस्टम को एक बड़े लेकिन सामान्य ट्रेड और किसी एक्सप्लॉइट की पहली चाल में फ़र्क करने देता है।

संकेत मिलने पर सिस्टम टीम को अलर्ट करता है। कुछ सेटअप में यह ऑटोमेटेड प्रतिक्रियाएँ भी शुरू कर सकता है: हमला पूरा होने से पहले किसी कॉन्ट्रैक्ट को रोकना, किसी फ़ंक्शन को ब्लॉक करना या फ़ंड को पहुँच से बाहर ले जाना।

एक आसान उदाहरण

एक हमलावर ऐसा कॉन्ट्रैक्ट डिप्लॉय करता है जो फ़्लैश लोन से बड़ी रकम उधार लेता है, किसी कीमत को बिगाड़ने के लिए उसे एक कम लिक्विडिटी वाले लिक्विडिटी पूल से स्वैप करता है, और उस कीमत के आधार पर उधार लेने की तैयारी करता है। मॉनिटरिंग सिस्टम नए कॉन्ट्रैक्ट को सिम्युलेट करता है, पैटर्न पहचानता है और असली ट्रांज़ैक्शन पहुँचने से पहले उसे हाई रिस्क के रूप में फ़्लैग करता है। प्रोटोकॉल का गार्डियन उधार लेना रोक देता है, हमला नाकाम होता है और टीम जाँच करती है। मॉनिटरिंग के बिना पहला संकेत शायद एक खाली वॉल्ट होता।

मॉनिटरिंग बनाम ऑडिट और बाउंटी

स्मार्ट कॉन्ट्रैक्ट ऑडिट डिप्लॉयमेंट से पहले या कुछ समय बाद कोड की जाँच करता है, और बग बाउंटी रिसर्चर्स को उसकी जाँच जारी रखने का न्योता देती है। रनटाइम मॉनिटरिंग इसके बजाय व्यवहार पर नज़र रखती है। यह ऐसे हमले पकड़ सकती है जो उस कोड का इस्तेमाल करते हैं जिसकी समीक्षा के बारे में किसी ने सोचा नहीं, जैसे किसी नए लॉन्च हुए प्रोटोकॉल के साथ इंटरैक्शन, और यह संदिग्ध एडमिनिस्ट्रेटिव गतिविधि जैसी ऑपरेशनल घटनाओं को भी कवर करती है, जिन्हें कोड समीक्षा कभी नहीं देखती।

जोखिम और सीमाएँ

मॉनिटरिंग वह नहीं रोक सकती जो उसे समय पर दिखे ही नहीं। कुछ हमले एक ही ट्रांज़ैक्शन में पूरे हो जाते हैं, और बचती है सिर्फ़ उसके ब्लॉक में शामिल होने से पहले की छोटी-सी खिड़की, और निजी ट्रांज़ैक्शन रास्ते उसे भी छिपा सकते हैं। ऑटोमेटेड प्रतिक्रियाओं को सावधानी से डिज़ाइन करना पड़ता है: बहुत आसानी से ट्रिगर होने वाला पॉज़ ईमानदार यूज़र्स को परेशान करता है, और बहुत धीरे ट्रिगर होने वाला बेकार है। रोकने की ताकत खुद एक जोखिम है अगर उसके पीछे की की (key) ठीक से सुरक्षित न हों। और मॉनिटरिंग सिस्टम उतना ही अच्छा है जितने उसके मॉडल, इसलिए नई तरह का हमला किसी ज्ञात पैटर्न से मेल न खाए, ऐसा हो सकता है। इसीलिए मॉनिटरिंग ऑडिट, बाउंटी और रिज़र्व प्रमाण के साथ काम करती है, उनकी जगह नहीं।

Tori Finance अपने स्मार्ट कॉन्ट्रैक्ट की ऑनचेन गतिविधि पर नज़र रखने के लिए Hypernative की रनटाइम मॉनिटरिंग का इस्तेमाल करता है। यह Sherlock और Nethermind के स्मार्ट कॉन्ट्रैक्ट ऑडिट में एक लाइव परत जोड़ती है। Tori अपना खुद का इंटरनल बग बाउंटी प्रोग्राम भी चलाता है।