Honeypots – Hacker traps on the blockchain - Noah Jelic, DeFi Security Summit 2023
三句話摘要
區塊鏈智能合約蜜罐：黑客的陷阱與檢測方法 智能合約蜜罐利用代碼複雜性與時間壓力有效騙取攻擊者資金，防護需要結合符號分析、交易監控和機器學習的多層檢測策略。 蜜罐的核心機制在於視覺欺騙與代碼缺陷的結合。設計者在合約中創造看起來可以竊取資金的條件（如超額發送觸發提取），但實際上只有部署者能通過隱藏路徑提取，使用者的交易永遠無法成功。
重點整理
重點- 1
蜜罐的核心機制在於視覺欺騙與代碼缺陷的結合。設計者在合約中創造看起來可以竊取資金的條件（如超額發送觸發提取），但實際上只有部署者能通過隱藏路徑提取，使用者的交易永遠無法成功。
- 2
黑客之所以容易上當，是因為時間壓力與工具依賴。大多數黑客只有一分鐘時間在記憶池發現機會，並且許多人只會運行掃描工具而不理解代碼邏輯，導致無法識別複雜的蜜罐結構。
- 3
檢測方法需要專業知識與工具結合。符號求解（symbolic solver）、交易模式分析、機器學習分類都可用於已知類型蜜罐的檢測，但需要先建立訓練數據集並理解特定攻擊場景。
- 4
蜜罐的演進體現了攻防軍備競賽。除了邏輯漏洞外，講者發現了Unicode字符混淆（如用希臘問號替換分號）、括號移除、Etherscan顯示缺陷等進階手法，這些利用了區塊鏈透明度不完全與人類認知偏差。
實用技巧與重點
乾貨- 蜜罐類型與案例：
- 乘法器蜜罐：if語句被編譯器刪除導致檢查無效
- 山丘之王遊戲（King of the Hill）：雙owner變數，僅原始owner能提取資金
- 禮物盒（Gift Box）：SetPass函數預設零雜湊值可被利用
- 數據統計（檢測時間點約2周前）：
- 總智能合約：200萬個
- 唯一合約：15萬個→60萬個（現在）
- 檢測到的蜜罐：300個（不計重複）
- 部署總數：2500個（含重複）
- 產生現金流：5萬美元
- 利潤來源分布：
- Etherscan顯示問題：主要利潤來源
- Balance漏洞類
- 代碼邏輯問題
- 進階混淆手法：
- Unicode字符混淆（希臘問號替換分號）
- Zeppelin Access Control庫變數重定義
- 括號移除使代碼功能隱藏
- 檢測工具與方法：
- SmartBox項目GitHub程式庫
- 符號求解器（Symbolic Solver）
- 交易模式分析
- 機器學習分類（基於字節碼訓練數據）
結論
結論“智能合約蜜罐利用代碼複雜性與時間壓力有效騙取攻擊者資金，防護需要結合符號分析、交易監控和機器學習的多層檢測策略。”
完整解析
詳細智能合約蜜罐是區塊鏈安全領域一個隱匿但真實的威脅。Hacken的安全研究員Noah在本次分享中揭示，這類合約本質上是精心設計的陷阱：它們看起來存在明顯的邏輯漏洞，允許任何人通過特定操作（如發送超過合約余額的金額）來提取資金，但實際上只有合約部署者能成功提取。
蜜罐之所以有效，首先源於黑客的時間與認知限制。在DeFi生態中，黑客只有大約一分鐘時間在記憶池中發現並利用漏洞，否則會被其他人搶先。許多黑客缺乏深入的代碼審計能力，只依賴自動掃描工具運行，這使他們難以識別設計精妙的蜜罐。講者舉了多個具體案例：山丘之王遊戲採用雙owner變數策略，構造函數初始化左邊的owner並在其修改器中使用，但右邊的owner才是實際被修改的，導致原始owner永遠能調用提取函數；禮物盒則通過Etherscan的顯示缺陷，將SetPass函數的隱藏調用隱匿起來，讓攻擊者無法在區塊瀏覽器上直接看到交易細節。
進階蜜罐甚至使用Unicode字符混淆，比如用希臘問號（；）替換標準分號（;），或利用Solidity編譯器的特性——如括號調用語句被編譯器移除——使代碼在人類眼中看起來與實際執行邏輯完全不同。這些手法充分利用了區塊鏈透明度的矛盾：雖然所有代碼和交易都公開，但人類的代碼閱讀與工具掃描能力遠不如設計者的預期。
根據研究數據，在200萬個智能合約中（檢測時間約兩周前），僅15萬個是唯一設計，現在這個數字增長到60萬個。檢測到的300個蜜罐合約（計重複部署達2500個）產生了5萬美元至500萬美元的現金流規模，其中Etherscan透明度不足是最大的利潤來源，其次是Balance漏洞和邏輯代碼缺陷。這表明蜜罐並非小規模騙局，而是一個成熟的攻擊向量。
檢測蜜罐需要組合使用符號求解、交易模式分析和機器學習分類等方法。符號求解器適合檢測已知類型的蜜罐，通過設定特定場景約束來識別不可達代碼路徑；交易模式分析由事件檢測團隊擅長，可通過交易歷史識別異常提取行為；機器學習方法則需要先用符號工具生成訓練數據集，對合約字節碼進行分類。講者提到SmartBox項目在GitHub上開源，提供了通用的蜜罐檢測工具聚合器，感興趣的安全研究者可參考該項目進行深入研究。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
