Detecting real-world Vulnerabilities — Yannis Bollanos | Dedaub

演講者 Yanis 任職於一家以程式分析技術見長的安全公司（推測為 Dedaub），該公司完成超過 200 次智能合約審計，累積漏洞賞金逾 300 萬美元。本場演講的起點是一個業界共識：根據兩篇學術論文的引用，現有自動化安全工具僅能偵測到應偵測漏洞的 20-30%，且大量誤報讓開發者與安全工程師望而卻步。因此，改進靜態分析必須同時兼顧兩個相互拮抗的目標：精確度（低誤報，讓人願意看警告）與完整性（低漏報，讓工具真正有價值）。

為了達成這個目標，該公司建構了三層分析管線。第一層 Gigahorse 是 EVM 位元組碼反編譯器，能將原始 bytecode 提升為標準化中間表示（IR），恢復變數與語句結構，並推斷記憶體存取模式、陣列指標、結構體指標與合約的高層儲存佈局，無需接觸原始碼。第二層 Symbolic 採用路徑敏感方式，為 IR 中所有變數賦予符號值與具體值，使分析能夠精確區分「owner 調用」、「受檢地址調用」與「任意用戶調用」等執行上下文——這是區分「信任輸入」與「汙染輸入」的關鍵能力。第三層則是 Datalog 查詢引擎，將所有程式執行資訊（控制流、記憶體使用、符號值等）儲存於關係資料庫式表格，透過遞迴聯結查詢生成漏洞報告，且能保障多項分析的效率。

第一個案例圍繞 Sturdy Finance 的 800,000 美元損失展開。根本原因是 Balancer 穩定幣池在提款流程中存在狀態更新順序問題：先燒毀 LP token（總供應量下降）、執行代幣轉帳並回調接收者，最後才更新池子的實際餘額。攻擊者在回調窗口內讀取 LP token 的價格——此時總供應量已減少但池子餘額尚未反映，導致每份 LP token 的隱含價值被人為抬高，攻擊者藉此膨脹抵押品價值，借出超額資金。靜態分析的困難在於：合約確實使用了重入鎖，而讀取操作都是 view 函數，不受鎖保護；若對所有「重入點之後仍有未更新儲存」的 view 函數一律報警，正常合約中打破 checks-effects-interactions 模式但安全使用重入鎖的情形將造成大量誤報。為此演講者提出「資金敏感儲存槽位」啟發式過濾：若某槽位的讀取值最終流入 transfer 的接收地址或金額參數，則標記為貨幣敏感槽位，偵測器只對此類槽位在重入點的讀寫不一致情況報警。同時，透過對所有已部署合約進行傳遞式分析，可建立一個重入簽名資料庫——一旦某簽名的實作被判定為可重入，所有呼叫該簽名的上層函數也會被遞迴標記。這一機制在 Paribus（Compound V2 Fork，Arbitrum 上損失 7 萬美元）等類似案例上得到驗證，確認偵測器的泛化能力。

第二個案例是 Arcadia Finance 的 500,000 美元損失，展示了一種更微妙的攻擊面：「部分所有權」。Arcadia 為每位用戶部署獨立的 Vault 合約，用戶名義上是 Vault 的 owner，卻受到協議設計的多重限制。Vault 允許 owner 提供 Action Handler（需通過白名單驗證），並在 Action Handler 執行完畢後進行健康度檢查（確保抵押品 ≥ 借貸金額）。攻擊者先將抵押品轉入 Action Handler，再從 Action Handler 呼叫 `liquidateVault`：此時 Vault 內無抵押品僅剩債務，清算條件成立，清算函數設定了兩個狀態變數，使後續的健康度檢查被完全跳過，攻擊者因此帶走所有資金而無需還款。傳統靜態分析通常將 owner 調用視為可信，不發出警告；但演講者指出，Arcadia Vault 的 owner 在許多敏感操作上受到外部調用驗證、require、if 條件的額外限制——這些限制的數量正是「部分所有」程度的量化指標。若分析器偵測到：① 調用者雖為 owner 但合約對其操作設有大量額外限制，且 ② 存在未受重入保護的外部回調，則應提升警戒並報警，即使調用者是已驗證地址。

---