Giám sát runtime

Nhiều vụ khai thác DeFi không chỉ là một giao dịch. Kẻ tấn công triển khai một hợp đồng, thử nghiệm nó, vay vốn, dịch chuyển giá và chỉ sau đó mới rút cạn mục tiêu, đôi khi kéo dài hàng phút hoặc hàng giờ. Mỗi bước đều để lại dấu vết trên một blockchain công khai. Giám sát runtime là việc đọc những dấu vết đó đủ nhanh để kịp hành động.

Cách hoạt động

Các hệ thống giám sát theo dõi blockchain, và thường cả hàng đợi giao dịch đang chờ được đưa vào khối, để tìm các mẫu hình gắn với tấn công. Các tín hiệu điển hình gồm:

• một hợp đồng mới triển khai gọi các hàm của giao thức theo thứ tự bất thường
• một khoản flash loan lớn kèm theo các giao dịch làm dịch chuyển giá trên oracle
• thay đổi đột ngột trong giá mỗi phần của một vault hoặc trong số dư của một pool
• các thao tác quản trị, như chuyển quyền sở hữu hay nâng cấp, mà không ai thông báo
• tiền di chuyển đến những địa chỉ có liên hệ với các vụ khai thác trước đó

Việc phát hiện thường diễn ra theo hai giai đoạn. Một bộ lọc nhanh chấm điểm từng giao dịch hoặc hợp đồng mới so với các mẫu tấn công đã biết, và những trường hợp đáng ngờ được mô phỏng trên trạng thái hiện tại của chuỗi để xem chúng thực sự sẽ làm gì: số dư nào thay đổi, giá nào dịch chuyển và tiền cuối cùng đi về đâu. Mô phỏng là thứ giúp hệ thống phân biệt một giao dịch lớn nhưng bình thường với bước mở đầu của một vụ khai thác.

Khi một tín hiệu được kích hoạt, hệ thống cảnh báo cho nhóm phát triển. Trong một số thiết lập, hệ thống còn có thể kích hoạt phản ứng tự động: tạm dừng một hợp đồng, chặn một hàm hoặc chuyển tiền ra khỏi tầm với trước khi cuộc tấn công hoàn tất.

Ví dụ đơn giản

Kẻ tấn công triển khai một hợp đồng vay một khoản lớn qua flash loan, hoán đổi qua một pool thanh khoản mỏng để bóp méo giá, rồi chuẩn bị vay dựa trên mức giá đó. Hệ thống giám sát mô phỏng hợp đồng mới, nhận ra mẫu hình và gắn cờ rủi ro cao trước khi giao dịch thật được ghi nhận. Bên giám hộ (guardian) của giao thức tạm dừng chức năng vay, cuộc tấn công thất bại và nhóm phát triển điều tra. Nếu không có giám sát, dấu hiệu đầu tiên có thể đã là một vault trống rỗng.

Giám sát so với kiểm toán và bug bounty

Một cuộc kiểm toán hợp đồng thông minh xem xét mã trước hoặc ngay sau khi triển khai, và một chương trình bug bounty mời các nhà nghiên cứu tiếp tục xem xét mã. Giám sát runtime thì theo dõi hành vi. Nó có thể bắt được những cuộc tấn công dùng phần mã mà không ai nghĩ tới việc rà soát, chẳng hạn một tương tác với một giao thức vừa ra mắt, và bao quát các sự kiện vận hành, như hoạt động quản trị đáng ngờ, mà việc rà soát mã không bao giờ nhìn thấy.

Rủi ro và giới hạn

Giám sát không thể ngăn những gì nó không kịp nhìn thấy. Một số cuộc tấn công hoàn tất trong một giao dịch, chỉ để lại khoảng thời gian ngắn trước khi giao dịch được đưa vào khối, và các kênh giao dịch riêng tư có thể che giấu cả khoảng thời gian đó. Phản ứng tự động cần được thiết kế cẩn thận: một cơ chế tạm dừng kích hoạt quá dễ sẽ làm gián đoạn người dùng ngay thẳng, còn một cơ chế kích hoạt quá chậm thì vô dụng. Bản thân quyền tạm dừng cũng là một rủi ro nếu khóa đứng sau nó được bảo vệ kém. Và một hệ thống giám sát chỉ tốt ngang với các mô hình của nó, nên một kiểu tấn công mới có thể không khớp với mẫu nào đã biết. Đó là lý do giám sát hoạt động cùng với kiểm toán, bug bounty và bằng chứng dự trữ, chứ không thay thế chúng.

Tori Finance sử dụng dịch vụ giám sát runtime của Hypernative để theo dõi hoạt động onchain của các hợp đồng thông minh. Lớp giám sát này bổ sung một tầng bảo vệ trực tiếp cho các cuộc kiểm toán hợp đồng thông minh do Sherlock và Nethermind thực hiện. Tori cũng vận hành chương trình bug bounty nội bộ của riêng mình.