Monitoramento em tempo de execução

Muitos exploits em DeFi não são uma transação só. Um atacante implanta um contrato, testa, toma fundos emprestados, mexe em preços e só então esvazia o alvo, às vezes ao longo de minutos ou horas. Cada passo deixa um rastro em uma blockchain pública. O monitoramento em tempo de execução é a prática de ler esses rastros rápido o bastante para agir.

Como funciona

Os sistemas de monitoramento observam a blockchain, e muitas vezes a fila de transações à espera de inclusão, em busca de padrões ligados a ataques. Sinais típicos:

• um contrato recém-implantado que chama as funções de um protocolo em uma ordem incomum
• um flash loan grande seguido de operações que movem o preço de um oráculo
• mudanças bruscas no preço da cota de um vault ou nos saldos de um pool
• ações administrativas, como uma transferência de propriedade ou um upgrade, que ninguém anunciou
• fundos indo para endereços ligados a exploits anteriores

A detecção costuma acontecer em duas etapas. Um filtro rápido pontua cada nova transação ou contrato em relação a padrões de ataque conhecidos, e os suspeitos são simulados contra o estado atual da blockchain para ver o que de fato fariam: quais saldos mudam, quais preços se movem e para onde vão os fundos. É a simulação que permite a um sistema distinguir uma operação grande, mas comum, do primeiro movimento de um exploit.

Quando um sinal dispara, o sistema alerta a equipe. Em algumas configurações, ele também pode acionar respostas automáticas: pausar um contrato, bloquear uma função ou tirar fundos do alcance antes que um ataque se conclua.

Um exemplo simples

Um atacante implanta um contrato que toma uma quantia grande por meio de um flash loan, passa esse valor por um pool de liquidez raso para distorcer um preço e se prepara para tomar empréstimo com base nesse preço. O sistema de monitoramento simula o novo contrato, reconhece o padrão e o marca como de alto risco antes que a transação real entre. O guardião do protocolo pausa os empréstimos, o ataque fracassa e a equipe investiga. Sem monitoramento, o primeiro sinal poderia ter sido um vault vazio.

Monitoramento vs. auditorias e bounties

Uma auditoria de contrato inteligente examina o código antes da implantação ou logo depois, e um bug bounty convida pesquisadores a continuar examinando. O monitoramento em tempo de execução observa o comportamento. Ele pode detectar ataques que usam código que ninguém pensou em revisar, como uma interação com um protocolo recém-lançado, e cobre eventos operacionais, como atividade administrativa suspeita, que uma revisão de código nunca vê.

Riscos e limites

O monitoramento não consegue impedir o que não enxerga a tempo. Alguns ataques se concluem em uma transação, deixando apenas a breve janela antes de ela entrar em um bloco, e rotas privadas de transação podem esconder até isso. Respostas automáticas exigem um desenho cuidadoso: uma pausa que dispara com facilidade demais atrapalha usuários honestos, e uma que dispara devagar demais não serve para nada. O poder de pausar é ele próprio um risco se as chaves por trás dele forem mal protegidas. E um sistema de monitoramento só é tão bom quanto seus modelos, então um tipo novo de ataque pode não corresponder a nenhum padrão conhecido. Por isso o monitoramento funciona junto com auditorias, bounties e prova de reservas, e não no lugar deles.

A Tori Finance usa o monitoramento em tempo de execução da Hypernative para observar a atividade onchain de seus contratos inteligentes. Ele acrescenta uma camada ao vivo às auditorias de contratos inteligentes feitas pela Sherlock e pela Nethermind. A Tori também mantém seu próprio programa interno de bug bounty.