Introduzione
Bitslab ha sviluppato un avanzato agente di auditing AI, BitsLabAI Scanner, progettato specificamente per analizzare e proteggere le applicazioni Web3. Recentemente abbiamo testato questa tecnologia nella competizione pubblica di auditing di SuiDex, ottenendo risultati eccezionali. BitslabAI Scanner, grazie al suo scanner alimentato da AI, ha superato la maggior parte degli auditor nella competizione, aiutando il nostro team a conquistare il secondo posto.
Background
L’ecosistema Web3 si sta espandendo a una velocità sorprendente e gli smart contract stanno diventando sempre più complessi. Sebbene questa innovazione sia entusiasmante, comporta anche rischi di sicurezza significativi, soprattutto in ecosistemi emergenti come Sui. L’auditing degli smart contract scritti in Move è una sfida ardua, poiché, rispetto al mondo EVM, manca di dati storici sufficienti sulle vulnerabilità e di strumenti maturi.
Per colmare questa importante lacuna di sicurezza, Bitslab ha sviluppato un avanzato agente AI, BitsLabAI Scanner, progettato specificamente per analizzare e proteggere le applicazioni Web3. Recentemente abbiamo testato questa tecnologia nella competizione pubblica di auditing di SuiDex, ottenendo risultati eccezionali. BitslaAI Scanner, grazie al suo scanner alimentato da AI, ha superato la maggior parte degli auditor nella competizione, aiutando il nostro team a conquistare il secondo posto. Questo dimostra la potente capacità di BitsLabAI Scanner di individuare vulnerabilità critiche di sicurezza che potrebbero essere trascurate senza l’aiuto dell’AI.
Perché abbiamo creato BitsLabAI Scanner con un approccio security-first
Il mondo della sicurezza on-chain sta vivendo una trasformazione radicale guidata dall’AI di base. Sebbene i modelli linguistici di grandi dimensioni (LLM) generici siano oggi in grado di eseguire un’analisi preliminare del codice degli smart contract, spesso mancano della specializzazione e del pensiero avversariale necessari per un auditing di sicurezza rigoroso. Questi modelli sono ottimi assistenti, ma non sono auditor.
Per colmare questa lacuna fondamentale, abbiamo creato un’architettura multilivello con focus sulla sicurezza: BitslabAI Scanner. Non si tratta di un singolo modello monolitico, ma di un sistema integrato in cui diversi componenti AI specializzati lavorano insieme. Ogni componente è progettato per affrontare sfide specifiche nella sicurezza degli smart contract:
● Analisi semantica del codice: Comprende l’intento e la logica del codice, andando oltre la sintassi per cogliere lo scopo aziendale del contratto.
● Rilevamento delle vulnerabilità: Addestrato su ampi dataset di vulnerabilità note e anti-pattern, coprendo dagli attacchi di reentrancy a vettori di manipolazione economica complessi.
● Simulazione di attacchi: Un componente avanzato tenta di generare e verificare autonomamente potenziali percorsi di attacco, per confermare se le vulnerabilità teoriche siano effettivamente sfruttabili.
Questo approccio integrato consente all’AI di individuare difetti logici complessi e vettori di attacco nascosti, spesso trascurati sia dall’AI generica che dagli auditor umani. Combinando la velocità e la scala dell’AI con la precisione degli esperti di sicurezza, il nostro framework offre un’analisi più approfondita e completa, fornendo protezione proattiva per la nuova generazione di applicazioni Web3.
Dalla teoria alla pratica: la vera forza di BitslabAI Scanner
La forza di BitslabAI Scanner risiede nella sua capacità di superare i limiti dell’analisi statica tradizionale. Non si limita a verificare la presenza di vulnerabilità note, ma simula il processo di pensiero di un ricercatore di sicurezza di alto livello. Analizza non solo cosa fa effettivamente il codice, ma anche cosa potrebbe essere costretto a fare. Questo include la comprensione degli incentivi economici, dei casi limite potenziali e delle nuove tecniche di attacco che richiedono un pensiero avversariale per essere scoperte.
Questo approccio profondo e contestuale è stato la chiave del nostro successo nell’auditing di SuiDex. L’AI non fornisce solo una lista di potenziali problemi, ma genera un insieme di insight eseguibili prioritizzati che guidano direttamente gli esperti di auditing verso le vulnerabilità più critiche. Di seguito le capacità chiave che hanno supportato questa analisi, illustrate con casi specifici di SuiDex:
● Rilevamento automatizzato delle vulnerabilità: Scansione di vulnerabilità comuni e non comuni nei contratti, inclusi reentrancy, overflow di interi, problemi di controllo degli accessi ed errori di precisione.
● Comprensione contestuale: Analisi delle interazioni tra diversi moduli interni del contratto e delle chiamate esterne, identificando difetti logici che possono emergere da dipendenze complesse.
● Precisione e accuratezza: Minimizzazione dei falsi positivi, garantendo al contempo un’elevata accuratezza nell’identificazione dei rischi reali.
● Scalabilità: Capacità di auditare in modo efficiente grandi codebase complesse, adattandosi a vari progetti blockchain.
Affrontare le sfide: scoperte chiave che hanno superato gli auditor nella competizione di auditing di SuiDex
Nell’analisi AI-driven del protocollo SuiDex, abbiamo ottenuto risultati eccellenti, individuando diverse vulnerabilità che potevano mettere a rischio l’integrità della piattaforma e i fondi degli utenti. Alla fine, abbiamo segnalato 7 vulnerabilità critiche e 3 vulnerabilità ad alto rischio, dimostrando la profondità dell’analisi.
Sebbene l’elenco completo rimanga riservato, i seguenti casi rappresentativi sono sufficienti a dimostrare le capacità dell’AI:
1. Scoperta chiave: sistemi matematici incompatibili nel core aritmetico (SUIDEXCA-122)
● Problema: La libreria matematica a punto fisso del protocollo utilizzava contemporaneamente due sistemi matematici incompatibili. Il livello logico eseguiva calcoli tramite scomposizione binaria (potenze di 2), ma lo standard di precisione del protocollo era basato sul sistema decimale (potenze di 10). Eseguire operazioni binarie in un contesto decimale è come mescolare metri e piedi nella stessa formula senza conversione.
● Impatto: Tutte le operazioni di moltiplicazione e divisione non banali produrranno inevitabilmente risultati imprevedibili ed errati. Questa è una bomba a orologeria pronta a esplodere, che può compromettere completamente l’affidabilità dell’AMM, causando gravi discrepanze finanziarie e perdita di fiducia degli utenti.
Questa scoperta dimostra come l’AI sia in grado di individuare difetti matematici profondi, non solo vulnerabilità superficiali nel codice.
2. Scoperta chiave: flag logico errato nello Swap
● Problema: La funzione chiave responsabile dello swap Token A → Token B chiamava una libreria interna per calcolare l’importo di input richiesto, ma passava erroneamente un parametro hardcoded, facendo credere alla libreria che si stesse eseguendo lo swap nella direzione opposta (Token B → Token A).
● Impatto: Questo piccolo errore porta il protocollo a calcolare erroneamente l’importo di input per ogni transazione, causando prezzi di scambio ingiusti o il fallimento diretto della transazione, compromettendo gravemente la funzione core del DEX.
Questa scoperta dimostra la capacità dell’AI di analizzare il contesto tra funzioni. Non si è limitata ad analizzare una singola funzione, ma ha tracciato l’intero percorso di esecuzione, identificando contraddizioni logiche chiave.
3. Scoperta ad alto rischio: vulnerabilità di rilascio illimitato di token (SUIDEXCA-30)
● Problema: La logica di calcolo temporale dei token di ricompensa presentava un errore sottile, non riuscendo a limitare correttamente l’emissione secondo il piano triennale prestabilito.
● Impatto: Il protocollo avrebbe continuato a coniare nuovi token indefinitamente, ben oltre la tabella di marcia prevista. Ciò avrebbe distrutto completamente il modello economico del token, causando inflazione, perdita di valore e violazione degli impegni presi con la community.
Questo caso dimostra come l’AI sia in grado di analizzare la logica di business e le sue conseguenze economiche a lungo termine, salvaguardando l’integrità finanziaria del protocollo.
Il nostro rapporto dettagliato è stato prontamente condiviso con il team di sviluppo di SuiDex, che ha confermato queste scoperte e ha immediatamente adottato misure correttive.
Non solo secondo posto: il valore e il significato dietro BitslabAI Scanner
BitslabAI Scanner si è distinto nella competizione di auditing di SuiDex, ottenendo il secondo posto e individuando numerose vulnerabilità critiche e ad alto rischio, a conferma delle sue capacità avanzate. Questo risultato non solo convalida l’efficacia di BitslabAI Scanner nell’auditing della sicurezza degli smart contract, ma rafforza ulteriormente il nostro impegno per costruire un futuro della sicurezza decentralizzato.
Con l’espansione continua dell’ecosistema blockchain, la domanda di soluzioni di sicurezza potenti ed efficienti continuerà a crescere, e BitslabAI Scanner è pronto ad affrontare questa sfida guardando al futuro.
