BitsLabAI Scanner превзошёл многих аудиторов в соревновании по аудиту и завоевал второе место.

Введение

Команда Bitslab разработала передового AI-агента для аудита под названием BitsLabAI Scanner, специально созданный для анализа и защиты приложений в экосистеме Web3. Недавно мы протестировали эту технологию на публичном конкурсе аудитов SuiDex, и результаты превзошли все ожидания. Используя ИИ-сканер, BitsLabAI Scanner опередил большинство аудиторов в ходе конкурса, помогло нашей команде занять второе место.

Контекст

Экосистема Web3 растет с поразительной скоростью, а смарт-контракты становятся всё сложнее. Несмотря на то что эти инновации воодушевляют, они несут и серьезные риски безопасности, особенно в новых экосистемах, таких как Sui. Аудит смарт-контрактов, написанных на языке Move, — задача сложная, поскольку в отличие от экосистемы EVM, здесь пока недостаточно исторических данных об уязвимостях и зрелых инструментов.

Чтобы закрыть этот критический пробел в сфере безопасности, Bitslab разработала передового AI-агента BitsLabAI Scanner, специально предназначенного для анализа и защиты приложений в Web3. Недавно мы протестировали эту технологию на открытом конкурсе аудитов SuiDex, и результат оказался превосходным. Используя свой ИИ-сканер, BitsLabAI Scanner одержал победу над большинством аудиторов на конкурсе, благодаря чему наша команда заняла второе место. Это демонстрирует способность BitsLabAI Scanner выявлять критические уязвимости безопасности, которые при отсутствии ИИ-помощника вполне могли бы быть упущены из виду.

Почему мы создали BitsLabAI Scanner с приоритетом на безопасность

Сфера онлайн-безопасности переживает радикальные изменения, движимые развитием базовых ИИ-технологий. Хотя современные универсальные большие языковые модели (LLM) уже способны проводить предварительный анализ кода смарт-контрактов, им часто не хватает узкой специализации и противоборствующего мышления, необходимого для строгого аудита безопасности. Эти модели являются отличными помощниками, но они не заменяют аудиторов.

Чтобы восполнить этот критический пробел, мы разработали многоуровневую архитектуру BitsLabAI Scanner с фокусом на безопасность. Это не единая громоздкая модель, а интегрированная система, где несколько специализированных ИИ-компонентов работают согласованно. Каждый компонент ориентирован на решение конкретных задач в области безопасности смарт-контрактов:

● Анализ семантики кода: понимание намерений и логики кода, выход за рамки синтаксиса ради осознания бизнес-целей контракта. ● Обнаружение уязвимостей: обучение на обширных наборах данных известных уязвимостей и антипаттернов, охватывающее всё — от атак повторного входа до сложных векторов экономической манипуляции. ● Моделирование атак: продвинутый компонент пытается автономно генерировать и проверять потенциальные пути атак, чтобы подтвердить, может ли теоретическая уязвимость быть использована на практике.

Такой интегрированный подход позволяет ИИ выявлять сложные логические дефекты и скрытые векторы атак, которые часто остаются незамеченными как при использовании универсальных ИИ-инструментов, так и при ручном аудите. Сочетая скорость и масштабируемость ИИ с точностью экспертов по безопасности, наша платформа обеспечивает более глубокий и всесторонний анализ, проактивно защищая приложения нового поколения в Web3.

От концепции к практике: реальная мощность BitsLabAI Scanner

Сила BitsLabAI Scanner заключается в преодолении ограничений традиционного статического анализа. Он не просто проверяет код на наличие известных уязвимостей, но и моделирует мыслительный процесс ведущего исследователя в области кибербезопасности. Анализ идет дальше того, что именно делает код, включая оценку того, что код может быть вынужден сделать. Это включает понимание экономических стимулов, потенциальных граничных случаев и новых методов атак, требующих adversarial-мышления для обнаружения.

Такой глубокий, учитывающий контекст метод стал фундаментом нашего успеха при аудите SuiDex. ИИ не просто предоставляет перечень потенциальных проблем, а формирует набор приоритетных практических выводов, напрямую направляя аудиторов к наиболее критичным уязвимостям. Ниже приведены ключевые возможности, обеспечившие этот анализ, с конкретными примерами из проекта SuiDex:

● Автоматическое обнаружение уязвимостей: сканирование контрактов на типичные и редкие уязвимости, включая атаку повторного входа (reentrancy), переполнение целочисленных переменных, проблемы контроля доступа и ошибки точности вычислений. ● Понимание контекста: анализ взаимодействия различных модулей внутри контракта и внешних вызовов для выявления логических дефектов в условиях сложных зависимостей. ● Точность и достоверность: минимизация ложных срабатываний при сохранении высокой точности выявления реальных угроз. ● Масштабируемость: способность эффективно проводить аудит крупных и сложных кодовых баз, применимо для проектов любой сложности в блокчейне.

Преодоление трудностей: ключевые находки, позволившие обойти аудиторов на конкурсе аудитов SuiDex

В процессе ИИ-управляемого анализа протокола SuiDex мы достигли выдающихся результатов, выявив ряд уязвимостей, способных поставить под угрозу целостность платформы и средства пользователей. В итоге мы маркировали 7 критических уязвимостей и 3 уязвимости высокого уровня риска, что продемонстрировало глубину проведенного анализа.

Хотя полный список остается конфиденциальным, следующие типовые примеры достаточно ярко демонстрируют возможности ИИ:

1. Критическое обнаружение: Несовместимые математические системы в ядре арифметики (SUIDEXCA-122)

● Проблема: Библиотека фиксированной точки протокола одновременно использует две несовместимые математические системы. На логическом уровне вычисления производятся через бинарное разложение (степени двойки), тогда как стандарт точности протокола основан на десятичной системе (степени десяти). Выполнение двоичных операций в рамках десятичной системы аналогично смешиванию метров и футов в одной формуле без конвертации. ● Влияние: Все нетривиальные операции умножения и деления неизбежно приводят к непредсказуемым и ошибочным результатам. Это «мина замедленного действия», которая может разрушить надежность всего AMM, вызвать значительные финансовые потери и подорвать доверие пользователей.

Это наблюдение демонстрирует способность ИИ выявлять глубокие математические дефекты, а не только поверхностные ошибки в коде.

2. Критическое обнаружение: Ошибочные флаги логики Swap

● Проблема: Ключевая функция, отвечающая за обмен Token A → Token B, вызывает внутреннюю библиотеку для расчета требуемой входной суммы, но передает жестко заданный (hardcoded) параметр некорректно. Из-за этого библиотека считает, что выполняется обмен в обратном направлении (Token B → Token A). ● Влияние: Эта кажущаяся мелкой ошибка приводит к неверному расчету суммы входа для каждой сделки, вызывая несправедливое ценообразование или прямой сбой транзакций, что критически нарушает основную функциональность DEX.

Это обнаружение демонстрирует способность ИИ проводить контекстный анализ между функциями. Вместо изолированного рассмотрения отдельной функции система отслеживает весь путь выполнения, выявляя ключевое логическое противоречие.

3. Уязвимость высокого риска: Бесконечное разблокирование токенов (SUIDEXCA-30)

● Проблема: В логике временного расчета вознаграждающих токенов присутствует тонкая ошибка, не позволяющая корректно ограничить лимит эмиссии согласно заранее установленному плану на 3 года. ● Влияние: Протокол начнет бесконечно чеканить новые токены, существенно превышая запланированные сроки. Это полностью разрушит экономическую модель токена проекта, спровоцирует инфляцию, обесценит активы и нарушит обязательства перед сообществом.

Данный случай демонстрирует способность ИИ анализировать бизнес-логику и ее долгосрочные экономические последствия, тем самым защищая финансовую целостность протокола.

Наш подробный отчет был своевременно направлен команде разработчиков SuiDex, которая подтвердила найденные уязвимости и предприняла немедленные шаги по их устранению.

Не просто второе место: ценность и значение BitsLabAI Scanner

Блестящие результаты BitsLabAI Scanner на конкурсе аудитов SuiDex, завершившиеся вторым местом и обнаружением множества критических уязвимостей высокого уровня риска, доказывают его передовые возможности. Это достижение не только подтверждает эффективность BitsLabAI Scanner в аудите безопасности смарт-контрактов, но и еще больше укрепляет нашу приверженность построению безопасного децентрализованного будущего.

По мере непрерывного расширения экосистем блокчейна потребность в мощных и эффективных решениях по обеспечению безопасности будет только расти. BitsLabAI Scanner готов принять этот вызов, уверенно смотря в будущее.