通过分布式 TEE 集群增强 DeFi 和智能合约安全性

摘要

智能合约和去中心化金融 （DeFi） 的出现通过在区块链网络上实现去信任和高效的运营，改变了金融系统。然而，它们的不变性使部署的合约容易受到无法修复的错误的影响，从而导致灾难性的损失，正如 DAO 黑客攻击等事件所见。为了解决这一关键问题，该提案引入了 SolSaviour，这是一个框架，通过将利益相关者驱动的民主投票机制与分布式可信执行环境 （TEE） 集群相结合来保护已部署的智能合约和 DeFi。这种方法可实现安全的合同更新、无缝状态迁移和资产保护，而无需依赖特权用户或集中机构。

SolSaviour 提供了一个强大、可扩展和去中心化的解决方案来保护智能合约和 DeFi 协议 [1]。它通过将资金和状态迁移到修补的合同来确保运营连续性，同时保持利益相关者的控制并最大限度地减少开销。

2. 问题陈述

智能合约和去中心化金融 （DeFi） 的快速采用为区块链生态系统带来了机遇和挑战 [2]。虽然区块链技术的不变性和去中心化特性使无需信任的交易成为可能，但这些相同的功能也造成了重大漏洞 [3]。 通过对现有文献和技术的回顾，我们确定了区块链技术中的几个研究空白。尽管区块链取得了重大进步，但有效使用民主投票来处理有缺陷的合约仍然是一个尚未解决的挑战。现有的研究没有充分解决如何确保公平参与投票系统、有效决策和防止操纵的问题。如果不解决这些问题，就很难创建一个真正去中心化且安全的合同修复机制。此外，虽然可信执行环境 （TEE） 集群可以增强安全性，但它们在区块链系统中的应用仍然面临网络延迟、系统可靠性和节点串通风险等挑战。此外，仍然缺乏一个明确的解决方案，用于实时修复漏洞，同时保持数据安全并确保与现有去中心化金融 （DeFi） 协议的兼容性。应对这些挑战对于提高区块链系统的安全性和可靠性至关重要。

主要问题：

基于这些研究差距，需要紧急关注的核心问题是无法修补已部署的智能合约或修复其漏洞，这可能导致灾难性的财务损失和对基于区块链的系统信心的下降。DeFi 协议日益复杂加剧了这个问题，这放大了多用户和高风险环境中的风险。

一个重要的子问题是部署合约后解决漏洞的挑战。区块链的防篡改特性意味着即使是很小的错误，例如重入漏洞，也可能导致巨大的损失，就像 DAO 黑客攻击和 Fei 协议漏洞利用一样。现有的解决方案（如部署前分析工具或代理模式）不足以实时解决漏洞，通常会使资产被盗。此外，在任何升级或迁移期间保护智能合约的内部状态和资产仍然是一项关键挑战，Nomad 桥攻击等事件就证明了这一点。最后，当前许多方法依赖于中心化实体或特权用户进行补救，这破坏了区块链的核心去中心化原则并引入了额外的风险，例如单点故障或滥用权限。这些问题需要一个强大、去中心化和安全的框架来解决已部署的智能合约和 DeFi 协议的漏洞，同时确保资产安全并维护对区块链生态系统的信任。

3. 研究目标/问题/假设

研究目标： 设计、实施和评估安全框架 SolSaviour，以保护已部署的智能合约和 DeFi 协议免受漏洞和资产损失。

研究范围

本研究的重点是开发 SolSaviour 框架，以应对已部署的智能合约和去中心化金融 （DeFi） 协议的安全挑战。它旨在通过引入去中心化投票机制进行利益相关者驱动的合约管理，并利用分布式可信执行环境 （TEE） 集群进行安全状态和资产迁移，来减轻漏洞，例如重入攻击和意外状态。范围包括设计安全合同更新的解决方案，确保资产和状态的完整性，以及通过对有缺陷的合同进行实际实验来评估框架的有效性和可扩展性。

这项研究仅限于与 voteDestruct 机制集成的智能合约，不解决 TEE 硬件固有的漏洞。它专注于提供去中心化、安全且可扩展的解决方案，以保护基于区块链的金融系统。

文献综述

智能合约文献综述

智能合约由 Nick Szabo 于 1994 年首次提出 [4]，是运行在区块链网络上的自动化协议，具有去中心化、透明和不变性 [5] 的特点。通过将协议嵌入到区块链代码中，智能合约可以在满足特定条件时自动执行，无需中介，显著降低交易成本，并提高安全性和效率。智能合约广泛应用于金融、供应链管理、医疗保健和数字身份管理等领域。例如，在金融领域，它们用于自动支付、证券交易和去中心化金融 （DeFi）;在供应链中，它们提高了商品的透明度和可追溯性;在医疗保健领域，他们优化了患者数据管理并跟踪药品供应链 [4]。这些应用程序展示了智能合约在推动数字经济和社会系统方面的重要作用。

以太坊作为智能合约的代表平台，支持 ERC-20 和 ERC-721 等图灵完备的编程语言和标准，使其成为智能合约开发的主要平台 [6]。在以太坊上，智能合约促进了代币的发行和管理，同时也推动了去中心化应用程序 （DApp） 的增长。此外，凭借其不变性和自动化，智能合约大大提高了合同执行的可信度。然而，尽管具有革命性的技术能力，但智能合约在实际应用中仍面临挑战，例如区块链吞吐量的限制和高交易成本 [5]。

智能合约安全文献综述

近年来，由于代码漏洞造成的重大经济损失，智能合约的安全性越来越受到关注。例如，2016 年的 DAO 攻击导致了 5000 万美元的损失，而 2017 年的 Parity 钱包漏洞导致了 3000 万美元的盗窃 [5]。智能合约中常见的安全漏洞包括重入攻击、整数溢出和下溢、时间戳依赖性和交易排序依赖性。这些问题主要源于代码中的缺陷或区块链的固有特性，为攻击者提供了利用它们的机会。此外，由于区块链的不变性，部署后发现的任何漏洞都难以修复，加剧了这些安全问题的影响 [6]。

为了解决智能合约的安全风险，研究人员开发了各种工具和方法来检测和缓解漏洞。静态分析工具（如 Slither 和 Oyente）利用符号执行和污点分析来识别代码中的潜在风险。Echidna 等动态分析工具通过模糊测试来模拟真实世界的攻击场景，以验证漏洞。形式化验证工具，如 Zeus 和 VeriSol，使用模型验证来确保智能合约的逻辑正确性 [6]。同时，建议开发人员加强代码审计，优化代码设计，限制使用公共变量以降低风险。未来，随着安全工具的不断进步和多链生态系统的扩展，智能合约的安全问题有望得到更全面的解决 [4]。

分布式 TEE 集群的文献综述

近年来，分布式可信执行环境 （TEE） 集群已成为确保分布式系统安全性和效率的重要技术。在“PISTIS”框架中，TEE 技术与区块链相结合，颁发安全的 SSL/TLS 证书。具体来说，TEE 节点验证域名所有权并将验证结果提交给区块链，确保证书颁发过程透明且不可篡改。这种方法不仅避免了传统证书颁发机构 （CA） 的漏洞受到威胁，而且还提供了高效的验证和可靠的安全保证 [7]。

此外，TEE 集群还用于处理云计算环境中的分布式数据查询。例如，FSQ 和 NoSQ 方案利用 TEE 技术对来自不同来源的数据执行相似性查询。这些方案引入了快速密钥共享技术和高效的数据索引结构（如 PB 树）来保护数据隐私，同时显著降低查询的计算和通信成本。特别是，NoSQ 方案实现了一种完全 “非交互 ”的查询方法，允许在不频繁通信的情况下完成查询 [8]。

总之，分布式 TEE 集群提供了一种平衡分布式系统的安全性、效率和隐私性的解决方案。无论是在证书管理还是数据处理方面，它们都显示出推动这些领域发展的巨大潜力。

去中心化金融文献综述

去中心化金融 （DeFi） 是一种基于区块链技术的新型金融系统。它通过智能合约和去中心化协议提供类似于银行提供的服务，例如贷款、交易和保险。然而，随着 DeFi 的不断发展，出现了一些挑战，例如确保安全可靠地访问链下数据、降低交易费用以及防止复杂的黑客攻击。

首先，DeFi 依靠预言机从链下来源获取真实数据，例如价格信息。预言机的安全性和可信性直接影响整个 DeFi 系统的稳定性和用户的信任 [9]。其次，由于网络拥塞，DeFi 中的交易费用（俗称 gas 费用）通常很高且不可预测。这会让用户望而却步，并阻碍生态系统的发展。通过优化交易机制和引入动态费用调整模型，可以降低成本，并且还可以最大限度地降低攻击者利用费用漏洞（如三明治攻击）的可能性 [10]。最后，随着 DeFi 协议变得越来越复杂，黑客经常利用不同协议之间的漏洞来发起闪电贷等攻击。例如，他们可以快速借款、操纵价格、进行套利获利，给用户和平台都造成重大损失。为了解决此类问题，DeFiScanner 等工具利用人工智能快速识别和防止这些攻击，从而提高系统安全性 [11]。总之，DeFi 的未来需要不断改进数据可靠性、降低交易成本和安全性增强，以使这个新兴的金融系统更加强大和用户友好。

为了系统地呈现和比较这些研究的核心方面，我们利用文献综述矩阵来组织和分析研究主题、方法、主要发现、局限性和建议的未来方向。表 1 总结了这些研究中的基本信息，为本研究框架的设计和实施提供了理论支持和有价值的参考。

表 1：文献综述矩阵

方法论

本研究采用定量分析方法来设计、实施和评估 SolSaviour 框架的有效性和性能。该框架将通过其核心组件实现：voteDestruct 机制，支持利益相关者驱动的智能合约管理民主投票，以及分布式 TEE 集群，确保安全的资产托管、状态迁移和修补合约的重新部署。Solidity 将用于智能合约开发，而 Intel SGX 将用于分布式 TEE 集群实施。

为了验证框架，将准备有缺陷的智能合约和 DeFi 协议的数据集。该数据集将包括 DAO 黑客攻击、Fei 协议漏洞和 Parity Multisig Wallet 漏洞等备受瞩目的案例。每个收集到的合约都将使用 voteDestruct 机制进行调整，以实现安全的利益相关者投票，并手动修补以测试 SolSaviour 在部署后处理漏洞的能力。

实验将侧重于两个主要领域：有效性和性能。有效性分析将衡量 SolSaviour 安全销毁有缺陷的合同、重新部署修补版本以及安全迁移状态变量和资产以防止或减轻财务损失的能力。性能分析将评估 gas 消耗、TEE 集群引入的计算开销以及状态迁移和重新部署过程的效率等指标。

量化指标，包括损失减轻（减少财务损失）、gas 开销（SolSaviour 框架产生的额外成本）和执行效率（状态迁移和合同重新部署所需的时间和资源），将用于评估框架的性能。将应用统计方法分析实验结果，将 SolSaviour 的性能与传统方法进行比较，并展示其可扩展性、成本效益和安全性优势。

通过将实验验证与性能基准测试相结合，该方法确保严格评估 SolSaviour 解决已部署的智能合约和 DeFi 协议的关键安全挑战的能力。

为了更清晰地介绍研究方法，我们将工作流程分为关键阶段，包括数据集准备、框架实施、实验验证和定量分析，每个阶段都紧密相连。请参阅图 1 以获取详细过程的可视化表示。

图 1：SolSaviour 框架方法的工作流程图

预期贡献

这项研究将证明 SolSaviour 框架能够显着减少因已部署的智能合约和 DeFi 协议中的漏洞而造成的财务损失。通过分析历史上受攻击的合约数据集，该研究将提供定量证据，证明与传统或无缓解方法相比，SolSaviour 在降低风险和保护资产方面的有效性。

此外，该研究还将为框架的性能提供有价值的见解，包括 gas 消耗、执行效率和可扩展性。这些指标将突出增强安全性和操作可行性之间的平衡，为在现实世界的区块链系统中采用 SolSaviour 提供实用指南。

最后，这项研究将验证 voteDestruct 机制作为管理有缺陷合约的去中心化、民主治理工具的使用。通过量化利益相关者的参与对决策效率和公平性的影响，该研究将为区块链生态系统中利益相关者驱动的安全解决方案设定基准。

引用

Li， Z. 等人（2024 年）。账本守护者：保护去中心化交易所免受状态脱轨缺陷的影响。IEEE 可靠性汇刊，1-13。 https://doi.org/10.1109/tr.2024.3509414

约翰逊，C.（2024 年）。去中心化金融 （DeFi）：全球金融生态系统中的机遇和风险。商业、营销和金融公开赛，1（2），53-64。 https://bmfopen.com/index.php/bmfopen/article/view/11

Politou， E. 等人（2019 年）。区块链可变性：挑战和建议的解决方案。IEEE Transactions on Emerging Topics in Computing， 9（4）， 1-1. https://doi.org/10.1109/tetc.2019.2949510

Sabam Parjuangan和Suhardi。（2020）. 基于区块链的智能合约平台的系统文献综述。2020 信息技术系统与创新国际会议 （ICITSI）。 https://doi.org/10.1109/icitsi50517.2020.9264908

郭 J. （2023）。如何减少智能合约安全性的缺陷。2023 第二届人工智能与计算机信息技术国际会议 （AICIT），1-4。 https://doi.org/10.1109/aicit59054.2023.10277739

Kushwaha， SS 等人（2022 年）。以太坊智能合约分析工具：系统综述。IEEE 访问，1-1。 https://doi.org/10.1109/access.2022.3169902

Li， Z. 等人（2022 年）。Pistis：使用分布式账本和 TEE 颁发可信和授权证书。IEEE 并行和分布式系统汇刊，33（7），1636-1649。 https://doi.org/10.1109/tpds.2021.3121562

Zheng， Y. 等人（2024 年）。通过 TEE 增强的云计算对垂直分布的数据进行安全的相似性查询。IEEE 信息取证与安全汇刊，19， 6237–6251。 https://doi.org/10.1109/tifs.2024.3413630

Zhao， Y. 等人（2022 年）。迈向值得信赖的 DeFi 预言机：过去、现在和未来。IEEE 访问，10,60914–60928。 https://doi.org/10.1109/access.2022.3179374

Kim， H.， & Kim， D. （2024）.DeFi 中的最佳 gas 费用最小化：提高以太坊区块链的效率和安全性。IEEE 访问， 12， 173810–173823. https://doi.org/10.1109/access.2024.3495714

Bin， W. 等人（2024 年）。DeFiScanner：发现利用区块链上的逻辑漏洞的 DeFi 攻击。IEEE 计算社会系统汇刊， 11（2）， 1577-1588。 https://ieeexplore.ieee.org/document/9996367