Luận văn thạc sĩ khoa học máy tính phương pháp tiếp cận bằng mô hình máy học để phát hiện lỗ hổng trong hợp đồng thông minh của blockchain

Luận văn thạc sĩ trình bày phương pháp máy học phát hiện lỗ hổng trong hợp đồng thông minh trên blockchain, nâng cao an ninh hệ thống.

• Tác giả: Bùi Tổng Nha
• Người hướng dẫn: PGS. Nguyễn Đình Thuân
• Trường học: Đại học Quốc gia TP HCM
• Chuyên ngành: Khoa Học Máy Tính
• Đề tài: Phát Hiện Lỗ Hổng Bảo Mật Trong Hợp Đồng Thông Minh Blockchain Bằng Phương Pháp Máy Học
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2023
• Địa điểm: TP. Hồ Chí Minh

Mục lục chi tiết

• LỜI CẢM ƠN
• LỜI CAM ĐOAN
• 1. CHƯƠNG 1: TỔNG QUAN
• 1.1. Tính cấp thiết của đề tài
• 1.2. Giới thiệu tổng quan luận văn
• 1.3. Mục tiêu luận văn
• 1.4. Phạm vi và đối tượng nghiên cứu của luận văn
• 1.5. Bố cục của luận văn
• 1.6. Tổng quan về Blockchain và các lỗ hổng bảo mật của Blockchain
• 1.6.1. Công nghệ Blockchain
• 1.6.2. Nền tảng Ethereum
• 1.6.3. Hợp đồng thông minh trong Blockchain
• 1.6.4. Các loại lỗ hổng hợp đồng thông minh
• 2. CHƯƠNG 2: CÁC PHƯƠNG PHÁP VÀ MÔ HÌNH MÁY HỌC PHÁT HIỆN LỖ HỔNG BẢO MẬT HỢP ĐỒNG THÔNG MINH
• 2.1. Các phương pháp phát hiện
• 2.2. Một số thuật toán máy học phổ biến
• 2.2.1. Thuật toán K-Means
• 2.2.2. Thuật toán AutoEncoder
• 2.2.3. Thuật toán Logistic Regression (LR)
• 2.2.4. Thuật toán Random Forest (RF)
• 2.2.5. Thuật toán Support Vector Machine (SVM)
• 2.2.6. Thuật toán Multilayer Perceptron (MLP)
• 2.2.7. Thuật toán Light Gradient Boosting Machine (Light GBM)
• 2.2.8. Thuật toán Extreme Gradient Boosting (XGBoost)
• 3. CHƯƠNG 3: KIẾN TRÚC HỆ THỐNG MÔ HÌNH MÁY HỌC PHÁT HIỆN LỖ HỔNG BẢO MẬT HỢP ĐỒNG THÔNG MINH
• 3.1. Mô hình và kiến trúc hệ thống
• 3.2. Kiến trúc tổng thể của hệ thống
• 3.3. Mô hình xử lý
• 3.4. Tập dữ liệu và xử lý bộ dữ liệu mất cân bằng
• 3.4.1. Tập dữ liệu
• 3.4.2. Xử lý dữ liệu mất cân bằng
• 3.5. Các nghiên cứu liên quan
• 4. CHƯƠNG 4: THỰC HIỆN MÔ HÌNH VÀ KẾT QUẢ THỰC NGHIỆM
• 4.1. Tập dữ liệu sử dụng cho mô hình máy học không giám sát K-Means và AutoEncoder
• 4.2. Thực nghiệm mô hình K-Means
• 4.3. Thực nghiệm mô hình AutoEncoder
• 4.4. Kết hợp thuật toán K-Means với AutoEncoder sử dụng Ensemble Learning
• 4.5. Tập dữ liệu sử dụng cho mô hình máy học có giám sát Logistic Regression, XGBoost, SVM, Light GBM, MLP Classifier, Random Forest
• 4.6. Thực nghiệm mô hình Logistic Regression (LR)
• 4.7. Thực nghiệm mô hình Extreme Gradient Boosting (XGBoost)
• 4.8. Thực nghiệm mô hình Support Vector Machine (SVM)
• 4.9. Thực nghiệm mô hình Light Gradient Boosting Machine (Light GBM)
• 4.10. Thực nghiệm mô hình Multilayer Perceptron (MLP)
• 4.11. Thực nghiệm mô hình Random Forest (RF)
• 4.12. Kết hợp thuật toán Logistic Regression, XGBoost, SVM, Light GBM, MLP Classifier, Random Forest sử dụng Stacking Learning
• 5. CHƯƠNG 5: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• 5.1. Hạn chế nghiên cứu
• 5.2. Khuyến nghị và hướng phát triển tương lai
• DANH MỤC CÁC CÔNG BỐ KHOA HỌC CỦA TÁC GIẢ
• DANH MỤC CÁC KÝ HIỆU, THUẬT NGỮ VÀ CHỮ VIẾT TẮT
• DANH MỤC CÁC BẢNG
• DANH MỤC CÁC HÌNH VẼ, ĐỒ THỊ
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Hợp Đồng Thông Minh và Bảo Mật Blockchain

Trước khi Bitcoin ra đời, tiền kỹ thuật số tập trung là chủ đạo. Satoshi Nakamoto đã tạo ra một hệ thống tiền điện tử phi tập trung. Ethereum nổi lên như một nền tảng blockchain phổ biến, nhờ vào hợp đồng thông minh. Hợp đồng thông minh tự động thực thi khi các điều khoản được đáp ứng. Tuy nhiên, vì ai cũng có thể viết và tải lên hợp đồng, lỗ hổng bảo mật là một nguy cơ tiềm tàng. Những kẻ xấu có thể khai thác các backdoor trong mã để rút tiền. Cần có giải pháp để ngăn chặn những khai thác này trước khi hợp đồng được đưa lên blockchain. Các phương pháp như fuzzing và phân tích tĩnh/động đã được áp dụng, nhưng không phải lúc nào cũng chính xác. Máy học nổi lên như một giải pháp để phát hiện lỗ hổng một cách hiệu quả hơn. Luận văn này tập trung vào việc sử dụng mô hình học máy để nâng cao độ chính xác và hiệu suất phát hiện lỗ hổng bảo mật blockchain.

1.1. Khái niệm cơ bản về Hợp Đồng Thông Minh Ethereum

Hợp đồng thông minh là các chương trình máy tính chạy trên blockchain Ethereum. Chúng tự động thực thi các điều khoản khi điều kiện được đáp ứng. Một khi được tải lên blockchain, chúng trở nên bất biến. Theo tài liệu nghiên cứu, hợp đồng thông minh chứa các kịch bản được thực thi tự động, khi các điều khoản của hợp đồng được đáp ứng. Điều này làm cho chúng trở thành công cụ mạnh mẽ, nhưng cũng tiềm ẩn rủi ro nếu có lỗ hổng hổng hợp đồng thông minh.

1.2. Rủi ro và Thách thức Bảo Mật Hợp Đồng Thông Minh

Bất kỳ ai cũng có thể viết và tải hợp đồng thông minh, lỗ hổng có thể xảy ra do lỗi lập trình. Điều này khiến hợp đồng thông minh dễ bị khai thác. Theo tài liệu nghiên cứu, các tác nhân độc hại tìm thấy backdoor trong mã, họ có thể lạm dụng hợp đồng thông minh và tận dụng cơ hội này để rút tiền. Bảo mật blockchain trở thành một vấn đề cấp thiết.

II. Thách Thức Phát Hiện Lỗ Hổng Bảo Mật Hợp Đồng Thông Minh

Tính bảo mật của hợp đồng thông minh gặp nhiều thách thức do sự phức tạp của ngôn ngữ lập trình. Bất kỳ ai cũng có thể tham gia mạng Ethereum công khai, khiến việc bảo mật trở nên quan trọng. Tấn công hợp đồng thông minh là một rủi ro lớn. Khác với chương trình thông thường, hợp đồng thông minh không thể thay đổi sau khi triển khai. Việc kiểm tra lỗ hổng bảo mật thường tốn thời gian, có thể mất đến hai tuần. Các công cụ như Mythril và MAIAN được phát triển để hỗ trợ kiểm tra bảo mật. Tuy nhiên, khả năng phát hiện lỗ hổng của các công cụ này khác nhau.

2.1. Các Loại Lỗ Hổng Thường Gặp Trong Hợp Đồng Thông Minh

Các lỗ hổng bảo mật hợp đồng thông minh rất đa dạng, bao gồm Reentrancy, Overflow, Underflow, Timestamp Dependence, và Delegatecall. Mỗi loại lỗ hổng hổng hợp đồng thông minh này có thể dẫn đến những hậu quả nghiêm trọng, từ mất tiền đến tê liệt hệ thống. Việc hiểu rõ các loại lỗ hổng này là bước đầu tiên để xây dựng các biện pháp phòng ngừa hiệu quả.

2.2. Hạn Chế Của Các Phương Pháp Phát Hiện Lỗ Hổng Truyền Thống

Các phương pháp truyền thống như phân tích tĩnh và kiểm thử thủ công có những hạn chế nhất định. Phân tích tĩnh có thể bỏ sót các lỗ hổng phức tạp. Kiểm thử thủ công tốn nhiều thời gian và công sức. Theo tài liệu nghiên cứu, cần phải sử dụng các phương pháp nâng cao hơn để phát hiện các lỗi nguy hiểm và nâng cao độ chính xác. Học máy ứng dụng bảo mật trở thành một lựa chọn tiềm năng.

III. Phương Pháp Máy Học Phát Hiện Lỗ Hổng Hợp Đồng Thông Minh

Để phát hiện lỗ hổng hổng hợp đồng thông minh và nâng cao độ chính xác, công nghệ học máy đã được sử dụng. Hợp đồng thông minh thường có kích thước nhỏ, phù hợp cho việc áp dụng phương pháp phát hiện lỗ hổng bằng máy học. Các thuật toán như K-Means, Autoencoder, Logistic Regression, Random Forest, SVM, MLP, LightGBM, XGBoost được sử dụng để quét lỗ hổng hổng hợp đồng thông minh trong mã. Các mô hình học máy phát hiện lỗ hổng đang được nghiên cứu và phát triển mạnh mẽ.

3.1. Giới thiệu các Thuật Toán Máy Học Phổ Biến

Nghiên cứu này đề cập đến nhiều thuật toán máy học, bao gồm K-Means, Autoencoder, Logistic Regression (RF), Random Forest (RF), Support Vector Machine (SVM), Multilayer perceptron (MLB), Light Gradient Boosting Machine (LGBM), Extreme Gradient Boosting (XGBoost). Mỗi thuật toán có điểm mạnh và điểm yếu riêng. K-Means và Autoencoder là các thuật toán học không giám sát, trong khi các thuật toán còn lại là học có giám sát. Các mô hình học máy này sẽ được sử dụng để phân tích mã nguồn hợp đồng thông minh.

3.2. Ưu điểm của Máy Học so với Phân Tích Truyền Thống

Học máy có thể phát hiện các lỗ hổng phức tạp mà phân tích tĩnh và kiểm thử thủ công có thể bỏ sót. Học máy có thể tự động hóa quá trình phát hiện lỗ hổng, tiết kiệm thời gian và công sức. Học máy có thể học từ dữ liệu lịch sử để cải thiện độ chính xác theo thời gian. Phân tích bảo mật hợp đồng thông minh sử dụng học máy có nhiều tiềm năng.

IV. Kiến Trúc Hệ Thống Học Máy Phát Hiện Lỗ Hổng Bảo Mật

Luận văn tập trung vào xây dựng mô hình học máy phát hiện lỗ hổng bằng cách áp dụng kỹ thuật máy học vào dữ liệu giao dịch trên Blockchain. Mô hình này được thiết kế để tìm ra lỗ hổng hổng hợp đồng thông minh có thể tổn tại. Cần nghiên cứu và tìm hiểu các mô hình phát hiện lỗ hổng đang được sử dụng, cùng với thuật toán tương quan. Tiến hành thử nghiệm mô hình trên bộ dữ liệu đã được huấn luyện để đánh giá hiệu suất và độ chính xác.

4.1. Tổng quan về Kiến Trúc Hệ Thống Đề Xuất

Kiến trúc hệ thống bao gồm các thành phần sau: Thu thập dữ liệu giao dịch trên Blockchain. Tiền xử lý dữ liệu và cân bằng dữ liệu sử dụng SMOTE. Xây dựng và huấn luyện các mô hình học máy. Đánh giá hiệu suất mô hình. Kết hợp các mô hình học máy bằng phương pháp Stacking Learning. Kiến trúc hệ thống này được thiết kế để phát hiện lỗ hổng bảo mật một cách hiệu quả.

4.2. Xử lý Dữ Liệu và Tạo Tập Dữ Liệu Huấn Luyện

Dữ liệu cần được tiền xử lý để đảm bảo chất lượng. Kỹ thuật cân bằng dữ liệu SMOTE được sử dụng để giải quyết vấn đề mất cân bằng dữ liệu. Tập dữ liệu được chia thành tập huấn luyện và tập kiểm thử. Dữ liệu này sau đó được sử dụng để huấn luyện các mô hình học máy. Theo tài liệu nghiên cứu, cần tiền xử lý dữ liệu và sử dụng kỹ thuật xử lý cân bằng dữ liệu sử dụng SMOTE.

V. Thực Nghiệm và Đánh Giá Hiệu Quả Mô Hình Học Máy

Thực nghiệm các mô hình học máy đã được xây dựng. Đánh giá xem mô hình có tốt không dựa trên các chỉ số hiệu suất như độ chính xác, độ recall, độ F1. So sánh hiệu suất của các mô hình khác nhau. Đánh giá hiệu quả của việc kết hợp các mô hình bằng phương pháp Stacking Learning. Mục tiêu là tìm ra mô hình có hiệu suất tốt nhất trong việc phát hiện lỗ hổng hổng hợp đồng thông minh.

5.1. Các Chỉ Số Đánh Giá Hiệu Suất Mô Hình

Các chỉ số đánh giá hiệu suất mô hình bao gồm độ chính xác (accuracy), độ recall (recall), độ F1 (F1-score), và diện tích dưới đường cong ROC (AUC-ROC). Độ chính xác cho biết tỷ lệ dự đoán đúng trên tổng số mẫu. Độ recall cho biết khả năng phát hiện các lỗ hổng hổng hợp đồng thông minh thực tế. Độ F1 là trung bình điều hòa của độ chính xác và độ recall. AUC-ROC cho biết khả năng phân biệt giữa các hợp đồng thông minh an toàn và không an toàn.

5.2. So Sánh Kết Quả Thực Nghiệm với Các Phương Pháp Khác

Kết quả thực nghiệm được so sánh với các phương pháp phát hiện lỗ hổng khác để đánh giá tính ưu việt của mô hình đề xuất. So sánh với các công cụ phân tích tĩnh và động. So sánh với các mô hình học máy khác đã được công bố. Mục tiêu là chứng minh rằng mô hình đề xuất có hiệu suất tốt hơn hoặc tương đương so với các phương pháp khác.

VI. Kết Luận và Hướng Phát Triển Nghiên Cứu Về Phát Hiện Lỗ Hổng

Luận văn này trình bày một phương pháp tiếp cận bằng mô hình học máy để phát hiện lỗ hổng hổng hợp đồng thông minh. Kết quả thực nghiệm cho thấy phương pháp đề xuất có tiềm năng. Tuy nhiên, vẫn còn nhiều hạn chế cần khắc phục. Cần tiếp tục nghiên cứu và phát triển để nâng cao hiệu suất và độ tin cậy của mô hình. Nghiên cứu này góp phần vào việc tăng cường bảo mật blockchain.

6.1. Tóm Tắt Kết Quả và Đóng Góp Của Luận Văn

Luận văn đã xây dựng và đánh giá một mô hình học máy để phát hiện lỗ hổng hổng hợp đồng thông minh. Luận văn đã so sánh hiệu suất của các thuật toán học máy khác nhau. Luận văn đã đề xuất một phương pháp kết hợp các mô hình bằng phương pháp Stacking Learning. Luận văn đã đóng góp vào việc nâng cao nhận thức về bảo mật blockchain.

6.2. Hướng Nghiên Cứu Tương Lai và Khuyến Nghị

Hướng nghiên cứu tương lai bao gồm: Nghiên cứu các thuật toán học máy mới và tiên tiến hơn. Sử dụng các tập dữ liệu lớn hơn và đa dạng hơn. Phát triển các phương pháp giải thích mô hình học máy để hiểu rõ hơn về cách mô hình hoạt động. Nghiên cứu các biện pháp phòng ngừa lỗ hổng và tự động vá lỗi. Tiếp tục đóng góp vào việc nâng cao bảo mật blockchain.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh công nghệ Blockchain ngày càng phát triển, hợp đồng thông minh (smart contract) trên nền tảng Ethereum đã trở thành một phần không thể thiếu trong các giao dịch tài chính và ứng dụng phân tán. Theo ước tính, có khoảng 9.841 giao dịch được phân loại an toàn hoặc không an toàn trong tập dữ liệu Ethereum Classic, cho thấy mức độ phổ biến và tầm quan trọng của việc đảm bảo an toàn cho các hợp đồng này. Tuy nhiên, hợp đồng thông minh thường chứa các lỗ hổng bảo mật do lỗi lập trình hoặc thiết kế, dẫn đến nguy cơ bị khai thác và mất mát tài sản. Vấn đề này trở nên cấp thiết khi các hợp đồng không thể thay đổi sau khi được triển khai trên Blockchain, khiến việc phát hiện và khắc phục lỗi trước khi đưa vào sử dụng là vô cùng quan trọng.

Mục tiêu của luận văn là xây dựng một mô hình phát hiện lỗ hổng bảo mật trong hợp đồng thông minh bằng cách áp dụng các kỹ thuật máy học tiên tiến trên dữ liệu giao dịch Blockchain. Phạm vi nghiên cứu tập trung vào các giao dịch trên nền tảng Ethereum, với dữ liệu thu thập trong khoảng thời gian gần đây, nhằm nâng cao độ chính xác và hiệu suất phát hiện lỗ hổng, góp phần tăng cường bảo mật và độ tin cậy của hệ thống Blockchain. Kết quả nghiên cứu có ý nghĩa lớn trong việc giảm thiểu rủi ro tài chính và nâng cao niềm tin của người dùng vào các ứng dụng Blockchain.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên các lý thuyết và mô hình máy học hiện đại để phát hiện lỗ hổng bảo mật trong hợp đồng thông minh, bao gồm:

• Lý thuyết máy học có giám sát và không giám sát: Sử dụng các thuật toán như K-Means và AutoEncoder cho học không giám sát, Logistic Regression, Random Forest, Support Vector Machine (SVM), Multilayer Perceptron (MLP), Light Gradient Boosting Machine (LightGBM) và Extreme Gradient Boosting (XGBoost) cho học có giám sát.
• Mô hình Stacking Ensemble Learning: Kết hợp các mô hình máy học khác nhau để tăng cường hiệu suất phát hiện lỗ hổng, giảm thiểu sai số và cải thiện độ chính xác tổng thể.
• Khái niệm về lỗ hổng bảo mật trong hợp đồng thông minh: Bao gồm các loại lỗi phổ biến như re-entrancy, delegatecall không an toàn, lỗi số học, selfdestruct, freezing Ether, và các vấn đề liên quan đến xử lý ngoại lệ và thứ tự giao dịch.

Phương pháp nghiên cứu

Nguồn dữ liệu chính được sử dụng là tập dữ liệu giao dịch Ethereum Classic (ETC) với 9.841 giao dịch, trong đó có 2.179 mẫu được xác định rõ ràng là an toàn hoặc không an toàn sau khi loại bỏ các mục không hợp lệ. Dữ liệu bao gồm 17 trường thông tin quan trọng liên quan đến giao dịch và hợp đồng thông minh.

Phương pháp nghiên cứu bao gồm các bước:

• Tiền xử lý dữ liệu: Sử dụng kỹ thuật SMOTE để xử lý mất cân bằng dữ liệu, chia tập dữ liệu thành tập huấn luyện và tập kiểm tra.
• Xây dựng và huấn luyện mô hình: Áp dụng các thuật toán máy học phổ biến như K-Means, AutoEncoder, Logistic Regression, Random Forest, SVM, MLP, LightGBM và XGBoost. Các mô hình được huấn luyện trên tập dữ liệu huấn luyện với cỡ mẫu khoảng 2.000 giao dịch.
• Kết hợp mô hình bằng Stacking Ensemble Learning: Huấn luyện các mô hình cơ sở độc lập, sau đó sử dụng đầu ra của các mô hình này làm đầu vào cho mô hình meta-learner nhằm tối ưu hóa hiệu suất phát hiện lỗ hổng.
• Đánh giá mô hình: Sử dụng các chỉ số như độ chính xác, tỷ lệ phát hiện đúng (recall), tỷ lệ cảnh báo sai (false positive rate) và đường cong ROC để đánh giá hiệu quả mô hình trên tập kiểm tra.

Quá trình nghiên cứu được thực hiện trong khoảng thời gian từ đầu năm 2023 đến giữa năm 2023 tại Trường Đại học Công nghệ Thông tin, Đại học Quốc gia TP. Hồ Chí Minh.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

• Hiệu quả mô hình học không giám sát: Mô hình K-Means với số cụm K=5 đạt tỷ lệ phân cụm chính xác khoảng 85%, trong khi AutoEncoder cho kết quả tương tự với sai số bình phương trung bình (MSE) thấp, chứng tỏ khả năng phát hiện các mẫu bất thường trong dữ liệu.
• Hiệu suất mô hình học có giám sát: Logistic Regression đạt độ chính xác 88%, XGBoost và LightGBM có độ chính xác lần lượt là 92% và 91%, trong khi SVM và Random Forest đạt khoảng 89-90%. MLP cũng cho kết quả khả quan với độ chính xác trên 90%.
• Mô hình Stacking Ensemble Learning: Kết hợp các mô hình trên bằng phương pháp Stacking đã nâng cao độ chính xác lên đến 95%, giảm tỷ lệ cảnh báo sai và tăng khả năng phát hiện các lỗ hổng bảo mật so với các mô hình đơn lẻ.
• Xử lý dữ liệu mất cân bằng: Việc áp dụng SMOTE giúp cân bằng tỷ lệ giữa các lớp an toàn và không an toàn, cải thiện đáng kể độ chính xác và độ nhạy của các mô hình.

Thảo luận kết quả

Nguyên nhân của sự khác biệt hiệu suất giữa các mô hình là do khả năng xử lý dữ liệu phức tạp và phi tuyến tính của từng thuật toán. Các mô hình như XGBoost và LightGBM tận dụng kỹ thuật tăng cường gradient giúp cải thiện khả năng dự đoán trên dữ liệu lớn và phức tạp. Mô hình Stacking tận dụng ưu điểm của từng mô hình cơ sở, giảm thiểu điểm yếu riêng biệt, từ đó nâng cao hiệu quả tổng thể.

So sánh với các nghiên cứu trước đây, kết quả của luận văn cho thấy sự cải tiến rõ rệt về độ chính xác và khả năng phát hiện lỗ hổng, đặc biệt trong môi trường dữ liệu thực tế của Blockchain. Việc trình bày dữ liệu qua các biểu đồ ROC và confusion matrix minh họa rõ ràng sự vượt trội của mô hình kết hợp so với các mô hình đơn lẻ.

Ý nghĩa của nghiên cứu không chỉ nằm ở việc phát hiện lỗ hổng mà còn giúp giảm thiểu thời gian và công sức kiểm tra thủ công, đồng thời tăng cường bảo mật cho các hợp đồng thông minh, góp phần thúc đẩy sự phát triển bền vững của hệ sinh thái Blockchain.

Đề xuất và khuyến nghị

• Triển khai mô hình Stacking trong hệ thống kiểm thử hợp đồng thông minh: Áp dụng mô hình kết hợp để tự động phát hiện lỗ hổng trước khi triển khai hợp đồng, nhằm giảm thiểu rủi ro bảo mật. Thời gian thực hiện trong vòng 6 tháng, do các nhóm phát triển Blockchain và bảo mật thực hiện.
• Tăng cường đào tạo và nâng cao nhận thức về bảo mật hợp đồng thông minh: Tổ chức các khóa đào tạo chuyên sâu cho lập trình viên về các lỗ hổng phổ biến và cách phòng tránh, nhằm nâng cao chất lượng mã nguồn. Thời gian triển khai 3-6 tháng, do các trường đại học và tổ chức đào tạo chịu trách nhiệm.
• Phát triển công cụ tích hợp máy học trong quy trình phát triển hợp đồng: Xây dựng các plugin hoặc công cụ tích hợp trực tiếp vào môi trường phát triển để hỗ trợ kiểm tra tự động, giúp phát hiện lỗi sớm. Thời gian phát triển dự kiến 9-12 tháng, do các công ty công nghệ và nhóm nghiên cứu thực hiện.
• Cập nhật và mở rộng tập dữ liệu giao dịch Blockchain: Thu thập thêm dữ liệu thực tế từ các mạng Blockchain khác nhau để cải thiện độ chính xác và khả năng tổng quát của mô hình. Thời gian liên tục, do cộng đồng Blockchain và các tổ chức nghiên cứu phối hợp thực hiện.
• Khuyến nghị sử dụng các thư viện an toàn và thực hành lập trình tốt: Khuyến khích sử dụng các thư viện như SafeMath và tuân thủ các nguyên tắc bảo mật trong Solidity để giảm thiểu lỗi số học và các lỗ hổng phổ biến khác.

Đối tượng nên tham khảo luận văn

• Lập trình viên và nhà phát triển hợp đồng thông minh: Nắm bắt các kỹ thuật phát hiện lỗ hổng bảo mật, áp dụng mô hình máy học để nâng cao chất lượng mã nguồn và bảo vệ tài sản.
• Chuyên gia bảo mật Blockchain: Sử dụng kết quả nghiên cứu để phát triển các công cụ kiểm thử tự động, nâng cao hiệu quả phát hiện và phòng chống tấn công.
• Nhà quản lý dự án và tổ chức phát triển Blockchain: Đánh giá và áp dụng các giải pháp bảo mật tiên tiến nhằm giảm thiểu rủi ro và tăng cường niềm tin của người dùng.
• Giảng viên và sinh viên ngành Khoa học máy tính, Công nghệ thông tin: Tham khảo để nghiên cứu sâu hơn về ứng dụng máy học trong bảo mật Blockchain, phát triển các đề tài nghiên cứu tiếp theo.

Câu hỏi thường gặp

1. Mô hình máy học nào phù hợp nhất để phát hiện lỗ hổng hợp đồng thông minh?
   Mô hình Stacking Ensemble Learning kết hợp nhiều thuật toán như XGBoost, LightGBM và Random Forest cho hiệu suất phát hiện cao nhất, đạt độ chính xác khoảng 95%.

2. Tại sao cần xử lý dữ liệu mất cân bằng trong nghiên cứu này?
   Dữ liệu mất cân bằng gây sai lệch trong dự đoán, xử lý bằng SMOTE giúp cân bằng tỷ lệ giữa các lớp, cải thiện độ chính xác và khả năng phát hiện lỗ hổng.

3. Các loại lỗ hổng phổ biến trong hợp đồng thông minh là gì?
   Bao gồm re-entrancy, delegatecall không an toàn, lỗi số học, selfdestruct, freezing Ether, và các vấn đề về xử lý ngoại lệ và thứ tự giao dịch.

4. Làm thế nào để áp dụng kết quả nghiên cứu vào thực tế?
   Có thể tích hợp mô hình phát hiện lỗ hổng vào quy trình phát triển hợp đồng thông minh, sử dụng công cụ tự động kiểm tra trước khi triển khai.

5. Mô hình có thể áp dụng cho các nền tảng Blockchain khác ngoài Ethereum không?
   Có thể áp dụng với các nền tảng tương thích EVM khác, tuy nhiên cần điều chỉnh và huấn luyện lại mô hình với dữ liệu đặc thù của từng nền tảng.

Kết luận

• Luận văn đã xây dựng thành công mô hình phát hiện lỗ hổng bảo mật trong hợp đồng thông minh dựa trên các thuật toán máy học tiên tiến.
• Mô hình Stacking Ensemble Learning cho hiệu suất phát hiện vượt trội với độ chính xác lên đến 95%.
• Nghiên cứu đã xử lý hiệu quả vấn đề mất cân bằng dữ liệu, nâng cao khả năng dự đoán và giảm thiểu cảnh báo sai.
• Kết quả góp phần tăng cường bảo mật cho hệ sinh thái Blockchain, giảm thiểu rủi ro tài chính cho người dùng.
• Đề xuất các hướng phát triển tiếp theo bao gồm mở rộng dữ liệu, tích hợp công cụ tự động và đào tạo chuyên sâu cho lập trình viên.

Áp dụng mô hình vào thực tế, phát triển công cụ hỗ trợ và mở rộng nghiên cứu để nâng cao bảo mật hợp đồng thông minh trên các nền tảng Blockchain khác.

Trích đoạn nội dung tài liệu

Chương 1: Tổng quan và thư viện gọi hoặc các hợp đồng khác. Solidity cũng cung cấp từ khóa Thư viện để hạn chế sắp xếp các vị trí biến trạng thái với các biến trạng thái của người gọi. Thư viện Solidity không thé có biến trạng thái, vì vay sẽ không có chuyền đổi ngữ cảnh và thay đổi trái phép các biến trạng thái của người gọi. e Selfdestruct Lệnh Selfdestruct trong Solidity cho phép hợp đồng bị xóa khỏi Blockchain.

Tuy nhiên, việc sử dụng lệnh này rất nguy hiểm vì nếu không cập nhật địa chỉ của hợp đồng mới, vẫn có thể có người gửi Ether đến hợp đồng đã bị xóa, dẫn đến mat mát Ether. Hơn nữa, quá trình này yêu cầu gửi số Ether còn lại trong hợp đồng đến một địa chỉ được chỉ định. Kẻ tan công nguy hiểm có thé tận dụng hành vi này dé ép buộc gửi Ether cho một số hợp đồng. Số Ether trong hợp đồng nạn nhân có thẻ bị thay đổi bằng cách sử dụng lệnh force-send này, đặc biệt là khi số Ether này được sử dụng làm điều kiện cho một số hoạt động cụ thé.

Biện pháp phòng tránh: Dé tránh tình huống Selfdestruct không mong muốn, cần can trọng khi thực hiện cuộc gọi từ bên ngoài. Trong quá trình chờ đợi, logic của hợp đồng nên không phụ thuộc vào giá trị của this. balance, vì có thé bị kẻ tấn công có tình thay đồi. e Freezing Ether Lỗ hồng này còn được gọi là "greedy contract" va "locked money".

Một hợp đồng thông minh được thiết kế để có khả năng nhận và gửi Ether. Tuy nhiên, tình huống "Freezing Ether" xảy ra khi một hợp đồng chỉ có thé nhận Ether mà không có cách nào đề gửi Ether ra bên ngoài. Nếu hợp đồng không định nghĩa bất kỳ chức năng nao dé rút tiền, Ether được gửi đến địa chỉ hợp đồng sẽ bị "đóng băng" và không thé rit ra. Biện pháp phòng tránh: Dé tránh lỗ hồng nay, trong giai đoạn thiết kế hợp đồng thông minh, cần đảm bảo rằng các hợp đồng có khả năng nhận Ether cũng có chức năng dé rút Ether ra khỏi hợp đồng khi cần thiết.

se Randomness Generation 21 Chương 1: Tổng quan Randomness Generation là một van đề đối với nhiều ngôn ngữ lập trình. Quá trình tạo giả ngẫu nhiên tận dụng một số seeds bí mật nhất định đề đạt được mức độ ngẫu nhiên. Tuy nhiên, seeds không thé được lưu trữ riêng trên chuỗi trong hợp đồng thông minh trong Solidity vì mọi thứ trên chuỗi khối đều hiển thị cho những người tham gia. Thực tiễn hiện tại đang sử dụng thông tin liên quan đến khối như block.timestamp hoặc block.

Nếu timestamp hoặc hàm băm của khối lịch sử được sử dụng, kẻ tấn công có thê sử dụng cùng một quy trình tạo số ngẫu nhiên dé thu được kết quả tương tự vì khối lich sử không bao giờ thay đổi. Nếu sử dụng các khối trong tương lai, quy trình có thể dễ bị ảnh hưởng bởi những kẻ khai thác độc hại, những người có thể cố ý chọn các giao dịch và lệnh thực hiện của chúng. Biện pháp phòng tránh: Thông tin liên quan đến khối không nên được sử dụng làm nguồn entropy cho tính ngẫu nhiên. Nguồn phải nằm ngoài môi trường blockchain.

origin là một biến toàn cục duy nhất trong Solidity. Lưu trữ địa chỉ của người gọi ban đầu của một giao dịch, không giống như msg. sender, là người gọi ngay lập tức. origin luôn là địa chỉ của tài khoản bên ngoài.

Nếu biến này được sử dụng làm tham số ủy quyền, danh tính của chủ sở hữu thực sự của hợp đồng thông minh có thé bị khai thác. Chang hạn, nếu yêu cầu (tx.origin == owner), được gọi bởi hợp đồng của kẻ tấn công, được gọi bởi chủ sở hữu thực su, kẻ tấn công có thể tiếp tục thực thi mã để tấn công. Biện pháp phòng tránh: Những kẻ tấn công có thể chạy mã dưới tên tx.origin?® của người gọi, vì vậy đừng bao giờ sử dụng tx. origin trong xác minh hoặc xác thực danh tính.

e Mishandled Exceptions Trong Solidity, require, assert, try/catch có thể được str dụng đề xác minh tat cả các loại thông tin nhằm dam bảo rằng hợp đồng thông minh hoạt động như nó được thiết kế. Tuy nhiên, một số hàm cấp thấp như address.send(), call(), 19 https://docs.org/en/develop/security-considerations.html#tx-origin 22 Chương 1: Tổng quan delegatecall(), staticcall() sẽ tìm cách khác khi gặp lỗi. Thông thường, khi tìm thấy một ngoại lệ, các giao dịch sẽ được reverted và gas bị tiêu thụ, nhưng nếu các chức năng cấp thấp gặp lỗi (ví dụ: ngăn xếp cuộc gọi đã cạn kiệt), chúng sẽ trả về giá trị sai mà không có bắt kỳ ngoại lệ nào. Bất kỳ giao dịch nào được thực hiện trước các chức năng đó sẽ không được reverted và gas sẽ được sử dụng.

Nói cách khác, khi sử dụng các hàm cấp thấp, giá trị trả về sai cần được lưu ý và xử ly đúng cách, nếu không, tính bảo mật của hợp đồng thông minh sẽ bị ảnh hưởng. Biện pháp phòng tránh: Theo đề xuất của Tài liệu Solidity'' , không nên sử dụng các chức năng cấp thấp bat cứ khi nào có thé. Chức năng chuyển có thé được sử dụng để chuyền Ether sang các tài khoản khác. Nếu phải sử dụng các hàm cấp thấp đó, tốt hơn là kiểm tra mọi giá trị trả về của các hàm đó và xử lý các giá trị sai.

e Timestamp Dependence Blocks trong Ethereum được tạo ra trong quá trình khai thác, trong đó người khai thác có một mức độ độc đoán nhất định để quyết định timestamp của toàn bộ blocks. Phạm vi thời gian trước đây là 900 giây, nhưng nó đã bị thu hẹp xuống còn vài giây sau khi nâng cấp. Tất cả các giao dịch được ghi trên block có cùng timestamp. Vì công cụ khai thác có thê quyết định timestamp cho các giao dich, nên một số ứng dụng nhất định hoạt động chính xác dưới các ràng buộc về thời gian sẽ dé bị các công cụ khai thác độc hại tan công.

Timestamp cũng được sử dụng làm hạt giống khi tạo số ngẫu nhiên. Những kẻ tấn công có thé thao ting timestamp của một khối đề kích hoạt các hành vi dự kiến từ hợp đồng thông minh. Biện pháp phòng tránh: Sử dụng block.number là lựa chọn tốt hơn block. Vì tốc độ tạo khối thường là 10 giây, nên sẽ có khoảng 60.480 khối trong một tuần.

Bằng cách chỉ định số khối trong tương lai, ước tính thời gian đi kèm với số khối trong tương lai này. e Transaction Order Dependence Vi các giao dich thay đổi trang thái của thé giới từ trạng thái này sang trang thái khác, trạng thái thế giới hoặc trạng thái của hợp đồng phụ thuộc vào thứ tự thực hiện 1! https://docs.20/ Chương 1: Tổng quan các giao dịch. Người khai thác (miner) quyết định thứ tự thực hiện một cách tùy ý, và tính không xác định của thứ tự thực hiện này làm cho việc dự đoán trạng thái trước khi các giao dịch được gửi đi trở nên khó khăn. Trong tình huống thực tế, khi một giao dịch phụ thuộc vào trạng thái của hợp đồng, một thứ tự thực hiện khác có thể gây ra những van dé nghiêm trong như mua hoặc bán các mặt hang với giá không mong đợi [6].

Biện pháp phòng tránh: Lệnh giao dịch bị ảnh hưởng bởi các tài khoản trả giá gas cao hơn hoặc những người khai thác quyết định lệnh. Nếu giới hạn trên được đặt cho giá gas, một phần giao dịch sẽ không bị khai thác bởi những kẻ tấn công sẵn sàng trả giá gas cao hơn. ¢ Default Visibility Solidity có các chỉ định khả năng hiền thị, công khai, riêng tư, bên ngoài và nội bộ dé kiểm soát khả năng hiển thị của các chức năng và biến từ bên ngoài hợp đồng. Mặc định, khi không được chỉ định, công khai được sử dụng làm mức độ hiền thị.

Nếu nhà phát triển không xác định rõ ràng chức năng chỉ được sử dụng bên trong là riêng tư, thì chức năng đó có thé được gọi từ bên ngoài hợp đồng, dẫn đến việc thực thi không mong muốn. Biện pháp phòng tránh: Một thực hành tốt là luôn xác định rõ ràng các mức độ hiển thị trong Solidity. Hơn nữa, Solidity cũng cung cấp cảnh báo cho các chức năng không có mức độ hiển thị được xác định khi biên dịch, giúp nhà phát triển phát hiện và sửa lỗi trong quá trình phát trién. e External Contract Referencing Hợp đồng thông minh đôi khi cần sử dụng lại mã của các hợp đồng khác bằng cách tham chiếu đến địa chi của chúng.

Ví dụ: một nhà phát trién có thé khởi tạo một thư viện bên ngoài trong hàm khởi tạo của hợp đồng của mình. Địa chỉ của thư viện sẽ được cung cấp trong quá trình triển khai. Điều này có vẻ hợp pháp và an toàn khi kiểm tra mã. Tuy nhiên, nếu địa chỉ sai được cung cấp trong quá trình triển khai, lỗ hồng bảo mật có thể xảy ra khi một hợp đồng độc hại (honey pot) có thé được gọi từ địa chỉ không đúng.

24 Chương 1: Tổng quan Biện pháp phòng tránh: Một biện pháp phòng tránh có thể là mã hóa cứng các địa chỉ bên ngoài thành mã của hợp đồng nếu chúng được công khai hoặc sử dụng các từ khóa mới để tạo hợp đồng thay vì nhập địa chỉ trong quá trình triển khai. e Short Address/Parameter Issues Các tham số của chức năng trong hợp đồng thông minh được mã hóa trước khi được truyền vào. Tham số được mã hóa có độ dài là 32 byte, và EVM (Ethereum Virtual Machine) sẽ ghép tat ca các tham số mã hóa lại với nhau và đệm 0 ở cuối nếu cần. Tuy nhiên, nếu tham số đầu tiên không đủ độ dài, ví dụ như chỉ 30 byte, điều này sẽ gây ra dịch chuyền 2 byte sang trái sau phần đệm của EVM.

Những thay đổi và phần đệm này có thể làm thay đổi giá trị của tham số thứ hai, điều này có thể gây ra các van dé nghiêm trọng nếu tham sé thứ hai đại diện cho số lượng mã thông báo hoặc Ether. Biện pháp phòng tránh: Để giải quyết vấn đề này, trước tiên, các tham số gửi đến hợp đồng thông minh trên Ethereum phải được xác thực. Day là một phương pháp tốt nhất dé thực hiện cho các ứng dụng của bên thứ ba tương tác với hợp đồng thông minh. Đối với các nhà phát triển hợp đồng thông minh, thứ tự của các tham số là rất quan trọng, vì phần đệm chỉ xáy ra ở cuối khi các tham số được ghép nối.

25 Chương 2: Các phương pháp và mô hình phát hiện lỗ héng bảo mật hợp đồng thông minh Chương 2 CÁC PHƯƠNG PHÁP VÀ MÔ HÌNH MÁY HỌC PHÁT HIỆN LO HONG BẢO MAT HOP DONG THONG MINH Máy học được áp dụng rộng rãi trong nhiều lĩnh vực.