מערכת ניטור אבטחה לגשרים בין-שרשרתיים

רוב הניצולים בגשרים חוצי-שרשרת נמשכים מעסקה אחת עד כמה דקות. מתקפת Wormhole (326 מיליון דולר) הייתה עסקה חתומה אחת — זמן תגובה אפס. לגשר Ronin (620 מיליון דולר) נפרצו 5 מתוך 9 מאמתים, והגשר פעל במשך 6 ימים לפני גילוי. אם מערכת הניטור שלך לא מנתחת גם פעילות על-השרשרת וגם מצב מאמתים, כספים אובדים ללא אפשרות שחזור. המשימה שלנו: לבנות מערכת שתופסת את המתקפה לפני או במהלך הביצוע, ומעניקה זמן להשהות את הפרוטוקול.

אנחנו לא רק בונים לוחות מחוונים עם גרפים. זו מערכת ברמת ייצור עם לוגיקת התראות, מפסקי מעגל, וספרי נהלים ברורים לתגובה לאירועים. הניסיון שלנו כולל אינטגרציה עם OpenZeppelin Defender ו-Tenderly Web3 Actions להשהיה אוטומטית של גשרים כשמתגלות חריגות. במשך 5+ שנים, סיפקנו 15+ מערכות ניטור לפרוטוקולי DeFi, מה שמאפשר לנו להבטיח פתרון אמין.

איומים עיקריים לגשרים חוצי-שרשרת

גשרים הם תשתית קריטית ב-DeFi. וקטורי המתקפה העיקריים:

• Reentrancy בחוזים חכמים — מתקפה קלאסית שמוגברת על ידי קריאות חוצי-שרשרת.
• פריצת מאמתים/ממסרים — תוקף משיג רוב חתימות ומאשר עסקאות הונאה.
• מניפולציית אורקל — שיבוש הזנות מחירים לחילופין לא הוגנים.
• מתקפות Flash Loan — הלוואה מיידית ליצירת חוסר איזון במאגרי נזילות.

מערכת הניטור חייבת לעקוב אחר כל אחד מהתרחישים הללו גם בשרשרת המקור וגם בשרשרת היעד.

כיצד המערכת מזהה חריגות

המערכת פועלת בשלוש שכבות, לכל אחת זמן תגובה שונה:

שכבה 1 — על-השרשרת בזמן אמת (< בלוק אחד). ניטור עסקאות ממתינות ב-mempool לדפוסים חשודים: קריאות חוצי-שרשרת מרובות, נפחים חריגים, אינטראקציות עם חוזים חדשים. מאתגר טכנית (דורש גישה ל-mempool פרטי דרך Flashbots או Eden), אבל מספק אזהרה מוקדמת ביותר.

שכבה 2 — על-השרשרת לכל בלוק (< 12 שניות באת'ריום). ניתוח כל בלוק חדש: אירועי גשר (BridgeInitiated, BridgeFinalized), שינויי יתרות במאגרי נזילות, הצטברות חריגה של הצבעות מאמתים.

שכבה 3 — מחוץ-לשרשרת מצטבר (דקות עד שעות). צבירת נתונים לאורך תקופה, ניתוח מגמות, מתאמים חוצי-שרשרת. תופס מתקפות שמתפתחות לאט: סחיפת גבולות, צבירת חתימות על ידי מאמתים לא פעילים.

כיצד פועלים מפסקי מעגל על-השרשרת לגשרים

הרכיב החשוב ביותר הוא היכולת להשהות את הגשר אוטומטית או חצי-אוטומטית כשמתגלה מתקפה. בניגוד ל-Pausable הסטנדרטי (OpenZeppelin), אנחנו משתמשים בהגבלת קצב ברמת החוזה שמופעלת אוטומטית על נפח העברה חריג:

contract BridgeWithCircuitBreaker is Pausable, AccessControl {
    bytes32 public constant GUARDIAN_ROLE = keccak256("GUARDIAN_ROLE");
    uint256 public maxTransferPerBlock;
    uint256 public maxTransferPerHour;
    uint256 private _transferredThisBlock;
    uint256 private _transferredThisHour;
    uint256 private _lastBlockNumber;
    uint256 private _lastHourTimestamp;

    modifier withinRateLimit(uint256 amount) {
        _updateRateLimitCounters();
        require(_transferredThisBlock + amount <= maxTransferPerBlock, "Block rate limit exceeded");
        require(_transferredThisHour + amount <= maxTransferPerHour, "Hour rate limit exceeded");
        _transferredThisBlock += amount;
        _transferredThisHour += amount;
        _;
    }

    function transfer(address token, uint256 amount, address to) external whenNotPaused withinRateLimit(amount) {
        // ... логика перевода
    }

    function emergencyPause() external onlyRole(GUARDIAN_ROLE) {
        _pause();
        emit EmergencyPause(msg.sender, block.timestamp);
    }

    function _updateRateLimitCounters() private {
        if (block.number > _lastBlockNumber) {
            _transferredThisBlock = 0;
        }
        if (block.timestamp >= _lastHourTimestamp + 1 hours) {
            _transferredThisHour = 0;
            _lastHourTimestamp = block.timestamp;
        }
    }
}

הגבלות קצב לא חוסמות פעולות רגילות אבל עוצרות מתקפות ניקוז עם נפחים גדולים. הגדרת גבולות ב-2–3 פעמים הנפח האופייני של הגשר יוצרת איזון בין חוויית משתמש לאבטחה.

למה ניטור אינווריאנטים יעיל נגד ניצולים

לכל גשר חוצה-שרשרת יש אינווריאנטים מתמטיים שחייבים להתקיים תמיד. ניטור האינווריאנטים הללו הוא דרך אלגנטית לתפוס ניצולים:

• גשר mint/burn: contract BridgeWithCircuitBreaker is Pausable, AccessControl { bytes32 public constant GUARDIAN_ROLE = keccak256("GUARDIAN_ROLE"); uint256 public maxTransferPerBlock; uint256 public maxTransferPerHour; uint256 private _transferredThisBlock; uint256 private _transferredThisHour; uint256 private _lastBlockNumber; uint256 private _lastHourTimestamp; modifier withinRateLimit(uint256 amount) { _updateRateLimitCounters(); require(_transferredThisBlock + amount <= maxTransferPerBlock, "Block rate limit exceeded"); require(_transferredThisHour + amount <= maxTransferPerHour, "Hour rate limit exceeded"); _transferredThisBlock += amount; _transferredThisHour += amount; _; } function transfer(address token, uint256 amount, address to) external whenNotPaused withinRateLimit(amount) { // ... логика перевода } function emergencyPause() external onlyRole(GUARDIAN_ROLE) { _pause(); emit EmergencyPause(msg.sender, block.timestamp); } function _updateRateLimitCounters() private { if (block.number > _lastBlockNumber) { _transferredThisBlock = 0; } if (block.timestamp >= _lastHourTimestamp + 1 hours) { _transferredThisHour = 0; _lastHourTimestamp = block.timestamp; } } } (למעט עמלות).
• גשר AMM: sum(totalSupplyOnSource) + sum(totalSupplyOnDestination) == constant לכל זוג.

דוגמה לפונקציית Python לבדיקה:

async def check_invariants(block_number: int):
    total_locked = await bridge.functions.totalLocked().call(block_identifier=block_number)
    total_minted = await bridge.functions.totalMinted().call(block_identifier=block_number)
    if total_locked != total_minted:
        await alert_critical(f"INVARIANT VIOLATED at block {block_number}: locked ({total_locked}) != minted ({total_minted})")

הפרת אינווריאנט היא סימן בטוח לבאג או למתקפה פעילה.

השהיה אוטומטית דרך Keeper מחוץ-לשרשרת

OpenZeppelin Defender Actions — פונקציות serverless שמגיבות לאירועים על-השרשרת. דוגמה: ניטור ה-TVL של מאגר הגשר והשהיה אוטומטית בירידה חדה:

const { ethers } = require("ethers");
module.exports = async function(credentials) {
  const provider = new ethers.providers.JsonRpcProvider(credentials.secrets.ALCHEMY_URL);
  const vault = new ethers.Contract(VAULT_ADDRESS, VAULT_ABI, provider);
  const currentTVL = await vault.totalAssets();
  const previousTVL = await storage.get('previousTVL') || currentTVL;
  const dropPercent = (previousTVL - currentTVL) * 100n / previousTVL;
  if (dropPercent > 15n) {
    const signer = credentials.relayer.getSigner();
    const guardian = new ethers.Contract(GUARDIAN_ADDRESS, GUARDIAN_ABI, signer);
    await guardian.emergencyPause();
    await notifySlack(`CRITICAL: TVL dropped ${dropPercent}% — bridge paused`);
  }
  await storage.put('previousTVL', currentTVL.toString());
};

התראות ותגובה לאירועים

חומרת ההתראות מוגדרת כך:

התראות P1/P2 נשלחות ל-PagerDuty עם תורנות, P3 לצ'אט טלגרם, P4 לסיכום יומי ב-Slack.