Ví dụ ví tiền có thể bị trống nhanh hơn người ta nghĩ, đôi khi chỉ trong vài giây sau một cú nhấp duy nhất.
Hướng dẫn này giúp các nhóm bảo mật chuyển dữ liệu blockchain thô thành các cảnh báo thời gian thực và làm việc cùng nhau để chặn các mối đe dọa trước khi chúng gây hại. 🧵👇
Giới thiệu
Hacker hoạt động với tốc độ tối thượng, buộc các nhà bảo vệ phải luôn đứng trước một bước. Bài viết này phân tích cách các nhóm biến dữ liệu lũ lụt từ mempool thành các tín hiệu chính xác và có thể hành động. Chúng tôi sẽ khám phá cách các mô hình nâng cao và các kịch bản tự động giúp giảm bỏ khoảng cách giữa việc phát hiện hoạt động nghi ngờ và ngăn chặn các mối đe dọa ngay lập tức.
Cuối cùng, chúng tôi sẽ xem xét cách chia sẻ thông tin mối đe dọa giữa các dự án cải thiện thời gian phản ứng và tăng cường toàn bộ hệ sinh thái. Cùng nhau, những phần này tạo thành một kịch bản bảo vệ các chuỗi công cộng với tốc độ các cuộc tấn công xảy ra.
Các tính năng Streaming Feature Store
Phân tích bảo mật on-chain cấp sản xuất yêu cầu truy cập nhanh vào lưu lượng mempool. Một kiến trúc phổ biến thu được các giao dịch đang chờ từ đầu đầu Ethereum JSON-RPC hoặc WebSocket và xuất chúng vào một chủ đề Apache Kafka. Các mô hình mã nguồn mở cho thấy các giao dịch ERC-20 được truyền trong thời gian thực và lưu trữ để phân tích bằng cách kết hợp các client Python với các broker Kafka. Trong lớp xử lý dòng (Kafka Streams hoặc Apache Flink), các giao dịch được đưa vào các vector tính năng:
Tần suất opcode, phân tích tĩnh của inputData hoặc mã hợp đồng tạo ra biểu đồ histogram opcode cho từng giao dịch; những sự tăng đột biến của CREATE2, SELFDESTRUCT, hoặc DELEGATECALL liên quan mạnh mẽ đến các chiến dịch tẩy tiền.
Bất thường gas, sự lệch so với trung bình di động trên gasPrice và gasLimit phát hiện các bot sandwich và kịch bản lừa đảo lưu lượng tiền.
Delta lưu lượng token, tổng hợp thời gian thực các sự kiện Chuyển đổi ERC-20 xác định các sự phê duyệt lớn, nhiều mã thông báo điển hình của các bộ tẩy tiền.
Các cửa hàng tính năng được xây dựng cho phép giải thích thấp chờ (Feast, chế độ streaming của SageMaker Feature Store) lưu trữ các trường tính toán này để các mô hình và heurística dưới đây có thể điểm cho mỗi giao dịch trước khi bao gồm khối. Kết quả là một sổ sách liên tục cập nhật, có thể tái phát hành tính chỉ báo lừa đảo có cấu trúc mà không bị lộ các bí mật người dùng thô.
LLM-Assisted Triage
Mô hình ngôn ngữ lớn ngày càng được tích hợp trong các hoạt động của Trung tâm Bảo mạng An toàn (SOC) để tăng tốc việc cung cấp thông tin cảnh báo. Các kịch bản hoạt động bây giờ định tuyển các miền lừa đảo, HTML trang lừa đảo và JavaScript tẩy tiền vào các mô hình lớp GPT:
Gắn nhãn IOCs, phân loại các URL hoặc tên tệp là bình thường, nghi ngờ, hoặc độc hại bằng cách so sánh chúng với các mô hình từ vựng, chiếm đoạt thương hiệu và mã hóa.
Tóm tắt ngữ cảnh, trích xuất các lời mê hoặc nạn nhân, các luồng kết nối ví và địa chỉ tích hợp để xem xét nhanh chóng của phân tích viên.
Tổng hợp các quy tắc phát hiện, đầu ra các bản thảo YARA hoặc ký hiệu Suricata chụp các mô hình lừa đảo trước đó không thấy.
Báo cáo trường trường cho thấy việc kết hợp các GPT tùy chỉnh với các nền tảng thông tin mối đe dọa có thể cắt giảm thời gian viết quy tắc YARA xuống còn ít hơn một nửa trong khi duy trì độ chính xác trên 0,9 F-score trong các bộ dữ liệu xác nhận. Các quy tắc được tạo vẫn cần phải được xem xét bởi các đồng nghiệp, nhưng mô hình ngôn ngữ loại bỏ công việc cơ bản đầu tiên và đưa ra các chỉ báo mới mà các công cụ dựa trên biểu thức chữ viết thường bỏ lỡ.
Mạng nơ-ron đồ thị trên dữ liệu EVM
Đồ thị giao dịch mã hóa các tín hiệu cấu trúc phong phú không có sẵn cho các heurística giao dịch đơn lẻ. Gia đình mạng nơ-ron TLMG4Eth kết hợp các phân tích cấp câu của dữ liệu gọi giao dịch với truyền thông trên đồ thị tương tác tài khoản. Các thí nghiệm trên các bản chụp Ethereum nhiều năm báo cáo AUC > 0,93 khi phát hiện các đường đi liên kết đến lừa đảo, vượt qua lọc ngưỡng thể tích bằng