Pemantauan runtime

Banyak eksploit DeFi bukan satu transaksi saja. Penyerang men-deploy kontrak, mengujinya, meminjam dana, menggeser harga, dan baru kemudian menguras targetnya, terkadang selama beberapa menit atau jam. Setiap langkah meninggalkan jejak di blockchain publik. Pemantauan runtime adalah praktik membaca jejak itu cukup cepat untuk bertindak.

Cara kerjanya

Sistem pemantauan mengawasi blockchain, dan sering kali juga antrean transaksi yang menunggu dimasukkan ke blok, untuk mencari pola yang terkait dengan serangan. Sinyal yang umum antara lain:

• kontrak yang baru di-deploy memanggil fungsi protokol dalam urutan yang tidak biasa
• flash loan besar yang diikuti transaksi yang menggeser harga di oracle
• perubahan mendadak pada harga share sebuah vault atau saldo sebuah pool
• tindakan administratif, seperti pengalihan kepemilikan atau upgrade, yang tidak diumumkan siapa pun
• dana yang berpindah ke alamat yang terkait dengan eksploit sebelumnya

Deteksi biasanya berjalan dalam dua tahap. Filter cepat menilai setiap transaksi atau kontrak baru terhadap pola serangan yang sudah dikenal, dan yang mencurigakan disimulasikan pada kondisi chain saat ini untuk melihat apa yang sebenarnya akan dilakukannya: saldo mana yang berubah, harga mana yang bergeser, dan ke mana dana berakhir. Simulasi itulah yang memungkinkan sistem membedakan transaksi besar yang biasa dari langkah pembuka sebuah eksploit.

Ketika sebuah sinyal muncul, sistem memberi peringatan kepada tim. Dalam beberapa pengaturan, sistem juga dapat memicu respons otomatis: menghentikan sementara kontrak, memblokir fungsi, atau memindahkan dana ke luar jangkauan sebelum serangan selesai.

Contoh sederhana

Seorang penyerang men-deploy kontrak yang meminjam dana besar melalui flash loan, menukarkannya melalui liquidity pool yang tipis untuk mendistorsi harga, lalu bersiap meminjam berdasarkan harga itu. Sistem pemantauan menyimulasikan kontrak baru tersebut, mengenali polanya, dan menandainya berisiko tinggi sebelum transaksi sungguhan masuk. Guardian protokol menghentikan sementara fitur pinjaman, serangan gagal, dan tim melakukan penyelidikan. Tanpa pemantauan, tanda pertamanya mungkin adalah vault yang sudah kosong.

Pemantauan vs. audit dan bounty

Audit smart contract memeriksa kode sebelum atau tidak lama setelah deployment, dan bug bounty mengundang peneliti untuk terus memeriksanya. Pemantauan runtime justru mengawasi perilaku. Pemantauan dapat menangkap serangan yang memakai kode yang tidak terpikirkan untuk ditinjau, seperti interaksi dengan protokol yang baru diluncurkan, dan mencakup peristiwa operasional, seperti aktivitas administratif yang mencurigakan, yang tidak pernah terlihat oleh tinjauan kode.

Risiko dan batasan

Pemantauan tidak dapat menghentikan apa yang tidak dilihatnya tepat waktu. Sebagian serangan selesai dalam satu transaksi, hanya menyisakan jeda singkat sebelum transaksi itu masuk ke blok, dan jalur transaksi privat bahkan dapat menyembunyikan jeda tersebut. Respons otomatis perlu dirancang dengan cermat: penghentian yang terlalu mudah terpicu mengganggu pengguna yang jujur, sedangkan yang terpicu terlalu lambat tidak berguna. Kewenangan untuk menghentikan sementara juga merupakan risiko jika kunci di baliknya tidak terlindungi dengan baik. Dan sistem pemantauan hanya sebaik model-modelnya, sehingga jenis serangan baru mungkin tidak cocok dengan pola apa pun yang dikenal. Itulah sebabnya pemantauan bekerja bersama audit, bounty, dan bukti cadangan, bukan menggantikannya.

Tori Finance menggunakan pemantauan runtime oleh Hypernative untuk mengawasi aktivitas onchain smart contract-nya. Pemantauan ini menambah lapisan langsung pada audit smart contract oleh Sherlock dan Nethermind. Tori juga menjalankan program bug bounty internalnya sendiri.