Smart Contract Security and On-Chain Fraud Prevention with AI | DSS Monthly Webinar (March 10th)

這場定期舉辦的Spearbit安全網研討會邀請到智能合約安全領域的兩位關鍵人物：Olympics創始人Honey與Hyper Native聯合創始人兼CTO Dan。講者們探討了AI在Web3安全中的真實應用，特別是其局限性。

Honey從部署前安全的角度切入，區分了AI的適用與不適用場景。她指出，雖然AI能加速開發流程——如利用現有合約邏輯進行代碼生成、自動編寫單元測試——但將AI單純用於漏洞檢測是危險的。根據Yuang Do的研究，LLM對簡單漏洞（如重入性攻擊）的檢測精度達96.6%，但召回率僅37.8%，意味著容易遺漏複雜漏洞。智能合約的執行流往往涉及流動性池、借貸協議、預言機、治理機制等多個協議的交互，LLM因無法推理這種複雜的執行流而容易出現盲點。更為關鍵的是，在安全領域無法容許犯錯，遺漏一個漏洞可能導致協議的生死存亡。

Olympics的解決方案是採取分層架構：先構建企業級的關鍵基礎設施（包括靜態分析器、符號執行工具、形式驗證等），在此基礎上才疊加AI用於結果優化和信息精篩。他們提供免費的靜態分析器版本，已有30%的安全開發者在使用。進階功能如自動單元測試生成（基於現有合約進行訓練，目標達到80-100%分支覆蓋率）、變異測試（能發現測試中的盲點）則需要付費。早期團隊提供可負擔的定價方案。Honey強調，預審計的關鍵是在送給第三方審計師之前盡可能自動化地排除低級漏洞，讓人類審計師有更多時間和精力專注於複雜的邏輯漏洞。

Dan從實時防護的角度介紹Hyper Native的方案，完全不同於傳統審計思路。他們不尋找漏洞，而是尋找攻擊者。Hyper Native監控所有EVM鏈上的交易與智能合約部署，僅Mainnet每月就要處理約10萬個新合約，其他鏈的數量更多。通過神經網路模型對字節碼進行評分（採用0-1連續分布制，而非簡單的二進制分類），他們能在龐大的噪音中識別異常。一個重要案例是Odos hack，這是一個沒有閃貸特徵的複雜攻擊，但AI給出了60分的高異常分數（相比常見的0.001分），使得團隊得以預警。更傳奇的是1Inch solver事件：Hyper Native的實時預警通過Dan個人通知到他認識的運營者，最終使該solver在黑客盜取全部資金前成功撤出。這類事件展示了實時防護平台的價值——一次成功的資金救援可能抵消20年的工具成本。

鏈上欺詐是Dan重點討論的另一主題，規模和複雜度遠超許多人想像。地址投毒是最經典的欺詐手法，攻擊者通過暴力生成與受害者曾交互過的地址相似的偽造地址，在合適的時機（如受害者準備大額轉帳時）轟炸受害者的交易歷史。最著名的案例是$70M WBTC的地址投毒攻擊，攻擊者成功獲得了資金但隨後又返還，可能因為臨時害怕。更工業化的威脅來自黑市提供的「錢包排空即服務」，包括Pink Drainer、Medusa Drainer等成熟的攻擊工具包。這些工具在黑市上販售，擁有不同版本、功能迭代，甚至有產品經理級別的運營。攻擊者只需部署工具包並將用戶引導到釣魚網站，工具會自動在用戶授予許可後排空錢包。

豬殺盤詐騙則代表了更複雜的社交工程，不是大規模轟炸而是有針對性的長期心理操縱。攻擊者通過WhatsApp、Telegram、甚至直接電話與受害者互動。Dan提到最近出現的Binance冒充詐騙，攻擊者聲稱發現了受害者的洩露憑證，製造緊迫感並要求立即轉移資金。加密情人詐騙則是在建立長期信任關係後，誘導受害者進行投資。MEV詐騙利用YouTube教程作為載體，看起來教授正當的套利知識，但隱藏的代碼實際上盜竊資金。這些欺詐手法造成的日均損失達數百萬美元，年度規模可能達到數億美元。

Hyper Native透過AI圖譜模型（Graph Model）對這些欺詐進行檢測。他們在鏈上構建交互圖，識別有意義的交互（如持續的資金流動），而非隨機轉帳。通過AI聚類，他們能將看似無關的地址組織成欺詐集團，即使這些地址跨多個交易所、多個平台運作。當找到一個地址後，往往能追蹤到整個欺詐網絡，並在Reddit、Chain Abuse等公開資源中發現外部驗證。

防護方面，Hyper Native提供多層防御機制。對於智能合約級的攻擊，平台可觸發自動暫停協議（需協議提前授予暫停權限）或自動平倉（適用於資產管理方）。對於錢包級的欺詐，Hyper Native與非托管錢包集成成為「守護者」角色，要求用戶與其共同簽署交易；雖然無法強制阻止用戶，但能顯著降低風險。整個防護流程可在約1分鐘內在平台上設置完成。

最後，兩位講者強調了完整的安全堆疊的必要性。對於小型區塊鏈團隊，應該平衡預部署工具（Olympics類產品）與實時防護（Hyper Native類產品）。技術評估應該以實測為基準——使用相同的GitHub提交，對比工具發現與人類審計發現的匹配度，而非盲目信任供應商宣傳。最重要的是，預審計流程應該幫助內部團隊排除明顯漏洞，為外部審計師騰出時間專注複雜問題。