Avaliação da eficácia de analisadores de vulnerabilidades em contratos inteligentes de blockchains

Abstract

A segurança de contratos inteligentes é um problema na blockchain Ethereum e todas as outras baseadas em EVM como a Hyperledger Besu, por exemplo. Este trabalho apresenta uma análise empírica da capacidade de detecção de vulnerabilidades em smart contracts Ethereum, com foco na evolução e eficácia das ferramentas utilizadas pelo conjunto de ferramentas SmartBugs. Em um primeiro experimento, foram executadas em 215 contratos reais coletados do Etherscan, revelando que 98% dos alertas gerados pelas ferramentas foram classificados como "outros", o que indica que a taxonomia DASP Top 10 encontra-se desatualizada frente ao cenário atual de desenvolvimento. Em outros experimentos, avaliamos a taxa de detecção real sobre uma base de contratos propositalmente vulneráveis, utilizando as versões 2.0.10 e 2.0.15 do SmartBugs. Além das ferramentas originais, foram incorporados novos analisadores estáticos e dinâmicos, foi adotada uma metodologia mais refinada de validação, baseada na localização exata da vulnerabilidade no código-fonte, e não apenas na correspondência nominal do tipo de falha. Os resultados mostram que, apesar da evolução entre as versões, ainda existem discrepâncias significativas entre as ferramentas que compõem o conjunto SmartBugs, com algumas apresentando melhorias substanciais na precisão enquanto outras mantêm desempenho abaixo do esperado. Os achados indicam que a classificação de vulnerabilidades utilizada nos estudos iniciais não reflete o estado atual do ecossistema, e que a ausência de padronização na validação dos achados ainda compromete análises comparativas.