Автоматизированные инструменты безопасной разработки смарт-контрактов Ethereum

Abstract

Данная работа посвящена обзору автоматизированных инструментов безопасной разработки смарт-контрактов Ethereum. Рассматриваются актуальные уязвимости, характерные для смарт-контрактов, такие как уязвимость повторного входа, недостаточный контроль доступа, манипуляции с оракулом цены и другие. К каждой уязвимости приведена иллюстрация с уязвимым кодом. Далее рассмотрены разные типы существующих автоматизированных инструментов безопасной разработки смарт-контрактов: статический анализатор, линтер, символьный исполнитель, фаззинг и подходы на основе машинного обучения. Для каждого типа инструмента рассмотрено соответствующее реальное решение, которое является одним из лучших в своей категории. Это такие open-source решения как статический анализатор Slither, линтер Solhint, символьный исполнитель Mythril и фреймворк Foundry, который содержит в себе возможность фаззинга. Также рассмотрена текущая эффективность современных решений, которая показывает, что текущие угрозы плохо детектируется существующими инструментами. Исходя из этого предложены направления для дальнейшего развития новых инструментов безопасной разработки смарт-контрактов. Полученные результаты могут быть использованы для более глубокого понимания вопросов безопасности смарт-контрактов, а также для повышения безопасности децентрализованных приложений и развития методов автоматизированного аудита смарт-контрактов. This paper provides an overview of automated tools for secure development of Ethereum smart contracts. The article discusses current vulnerabilities specific to smart contracts, such as re-entrancy vulnerability, insufficient access control, price oracle manipulation, and others. Each vulnerability is accompanied by an illustration of the vulnerable code. Next, we discuss different types of existing automated tools for secure smart contract development: static analyzer, linter, symbolic executor, fuzzing, and machine learning-based approaches. For each type of tool, a corresponding real solution is considered, which is one of the best in its category. These are open-source solutions such as the Slither static analyzer, the Solhint linter, the Mythril symbolic executor, and the Foundry framework, which includes fuzzing capabilities. The current effectiveness of modern solutions is also considered, which shows that current threats are poorly detected by existing tools. Based on this, directions for the further development of new tools for the secure development of smart contracts are proposed. The obtained results can be used to gain a deeper understanding of smart contract security issues, as well as to enhance the security of decentralized applications and develop automated smart contract auditing methods.