GPT:ChatGPT的Web3.0安全審計藝術：有點東西，但不完全有_CHA

2022?年?11?月，OpenAI?推出了創新的人工智能項目。

除了可用于進行文章的撰寫和總結、笑話和詩歌的創作以外，ChatGPT?還可以用來調試和生成代碼。

2022?年全年，Web3.0??領域因黑客攻擊和欺詐等事件造成的資產損失超過了?37?億美元，這樣巨額損失不禁讓業內人思考：如?ChatGPT?這樣的新技術是否可以用以改善智能合約代碼的安全性。

ZKasino?是一個去中心化的平臺，近期通過?ChatGPT?進行了一次預審計。

ZKasino?希望在?CertiK?開展全面審計的同時，讓?CertiK?為?ChatGPT?所得出的結果進行一個初步的審查，以測試?ChatGPT?作為?AI「智能合約審計師」的能力。

那么?ChatGPT?的測試結果如何呢？

其是否已經準備好接替人工代碼審計專家的工作？

或者說它仍不足以完全替代人工？

THORChain宣布開始運行Cosmos Stargate:1月18日，跨鏈去中心化交易協議THORChain宣布開始運行Cosmos Stargate。團隊將需要2-3周的時間來深入研究Cosmos跨鏈協議IBC，并使IBC橋正常工作。但將其多鏈暫時不可用（IBC鏈暫未上線，代碼還未完全成熟，錢包仍在集成中。）[2021/1/18 16:25:10]

2022?年?12?月?23?日，ZKasino「聘請」了?ChatGPT?來識別智能合約中潛在的安全風險。該工具也的確提出了幾個表面上聽起來很合理的風險擔憂。

然而，盡管?ChatGPT?不可否認地為Web3.0?安全社區提供了一些有價值的服務，但是我們發現其仍有相當大的改進空間——ChatGPT?遺漏了一些嚴重或關鍵性的漏洞，同時又「誤傷」了那些沒問題的代碼。在此，我們希望?CertiK?安全專家的深度數據和建議能夠助力?ChatGPT?成為一個更強大的Web3.0?應用安全工具。

下文，我們將為大家詳細介紹此次事件中?ChatGPT?的兩類錯誤發現。

HBTC Chain負責人：HBTC Chain定位于異構跨鏈DeFi公鏈:金色財經報道，在10月21日舉辦的《金色百家談 | HBTC Chain打造跨鏈Dex解決方案》的直播節目中，HBTC Chain負責人Cody表示，“異構跨鏈DeFi公鏈”，他一共有四重含義，異構即不同結構的公鏈，跨鏈即鏈間通信與資產轉移，DeFi即去中心化金融，公鏈就是區塊鏈底層基礎設施。因此異構跨鏈DeFi公鏈翻譯過來就是指，不同特性與構造的公鏈能夠通過HBTC Chain進行資產安全去中心化的跨鏈，同時還能夠無縫對接各類去中心化金融應用的公鏈基礎設施。

HBTC Chain定位為“異構跨鏈DeFi公鏈”，主要服務于資產的安全去中心化流通兌換，畢竟數字資產是Defi的基礎。其主要功能有，1）支持OpenDex協議，支持AMM+Orderbook模式跨鏈SWAP；2）跨鏈資產橋，完整的資產安全去中心化跨鏈流通兌換，支持任意公鏈自由去中心化安全流通兌換，其主要功能是跨鏈資產橋與支持DeFi應用。[2020/10/21]

ChatGPT?發現了合約中的哪些問題？

鏈上ChainUP WaaS聯盟與VirgoX達成深度戰略合作:據官方消息，鏈上ChainUP WaaS聯盟宣布與VirgoX交易所達成深度戰略合作，將為VirgoX提供全方位的WaaS聯盟服務，包含主鏈開發接入、主鏈技術維護、主鏈資產托管等，雙方就區塊鏈技術應用落地、區塊鏈金融服務、資金安全等方面深度合作。

VirgoX一站式數字資產交易平臺，主要致力于穩定幣交易，通過提供現貨和期貨交易、數字資產借貸模式，融合多種法幣渠道，滿足客戶多樣化的交易和理財需求。VirgoX已上線各類穩定幣、優質數字資產項目、穩定幣外匯期貨以及其他數字資產衍生交易產品。目前已獲得共識實驗室、BR Capital、科銀資本、初夏虎基金、Nova Club等多家機構投資。

WaaS聯盟是鏈上ChainUP集團依托3年時間所服務的300多家交易所經驗，將底層資產托管和錢包封裝而成的一套完整的服務，包含資產托管、節點服務、主鏈幣種開發、熱門幣種一鍵接入、共管錢包、借貸理財等多種功能服務，通過開放錢包API與SDK，幫助交易所、項目方、媒體等快速高效接入，實現云端資產安全托管，聯盟內部轉賬0手續費，即時到賬。目前，已有超過500家企業加入ChainUP WaaS聯盟。[2020/10/9]

ChatGPT?遺漏了什么

鏈上ChainUP與萬幣網達成合作:據官方消息，近日萬幣網與鏈上ChainUP達成戰略合作，鏈上ChainUP將為萬幣網提供技術支持和資產安全雙重保障。

萬幣網為新加坡知名基金會ADFL旗下產業，基金會業務涵蓋區塊鏈社交商城、區塊鏈投資機構、區塊鏈孵化平臺、傳統國際貿易以及公益基金等。目前服務用戶數十萬計，地域涵蓋歐亞數十國家，以實體為基建，賦能線上。

鏈上ChainUP是區塊鏈技術服務商，目前已為全球500多家客戶提供了區塊鏈技術服務，覆蓋美國、英國、加拿大、澳大利亞、日本、新加坡、馬來西亞、泰國等30多個國家和地區。在非小號排名前100的交易所中，ChainUP客戶占有率超過30%。[2020/8/24]

ChatGPT?提到了在許多智能合約實現中都會存在的幾個常見安全問題。

但是，它未能識別某些嚴重的風險，包括：

項目特定的邏輯漏洞

不準確的數學計算和統計模型

代碼實現和項目設計的不一致

動態 | 區塊鏈科技公司Graph Blockchain獲韓國郵政試點合同，將采用區塊鏈來確保信息隱私:據Tokenpost消息， 區塊鏈科技公司Graph Blockchain已獲得韓國郵政（Korea Post）的試點合同，并將與韓國電信（Korea Telecom）合作，采用私有區塊鏈來確保信息隱私。據悉，Graph Blockchain將使用開源的Hyperledger Fabric框架，通過近乎實時的數據處理和直觀的數據可視化，將賬本透明化并防止篡改。據此前報道，Graph Blockchain數天前曾宣布與韓國國土交通部達成合作，旨在將韓國交通數據保存到區塊鏈當中，并提供數據有效化與保護解決方案。[2019/6/28]

漏洞#1?：項目特定的邏輯問題

ChatGPT?未能識別出一個關鍵漏洞，該漏洞會導致攻擊者可以不斷地贏取并耗盡?Bankroll?合約中用戶的資金。玩家可以通過調用可驗證隨機函數加入游戲，Chainlink?的?VRF?會使用隨機數觸發?fulfillRandomWords()函數以完成游戲。

ZKasino?的代碼允許用戶在?fulfillRandomWords()?調用失敗的情況下將資金取回。

在?CertiK?對同一智能合約代碼的審查中，發現了一個潛在且有害的_transferPayout()調用，該函數被設計為可將贏取的資金轉移至玩家的賬戶。

然而攻擊者可以在輸了的時候調用_transferPayout()使其回滾，導致整個?fulfillRandomWords()調用失敗——這會使其進入長為?100?個區塊的等待期，繼而觸發?CoinFlip_Refund()進行退款，這意味著攻擊者相當于永遠不會輸錢。

雖然?ChatGPT?認識到了調用失敗的問題，但卻未能發現在這個項目中利用調用失敗的攻擊手法。

因此，ChatGPT?沒有發現該漏洞與項目邏輯相結合所產生的影響。有關具體攻擊流程的描述，請參閱?ZKasino?的完整審計報告。

漏洞#2?：不準確的數學計算和統計模型

確保滿足合理預期的隨機性和結果在任何游戲項目中都至關重要。為了證實這一點，需要在審計過程中對所有游戲結果的隨機性進行全面評估。

盡管?ChatGPT?同樣「認同」這一點的重要性，但它并未發現任何不公平的游戲結果。它提出了?VRF?的使用，以及如果?VRF?合約被破壞或被操縱，可能會出現不公平的結果：

“如果?VRF?合約不安全或被操縱，則可能會導致游戲出現不公平的結果。”

然而，這個結論僅僅只是一個結論，并沒有真正解決導致游戲結果不公平的根本原因。而且我們在審計過程中也發現了一些關于隨機性的潛在風險問題。

不公平的隨機性

發現的其中一個關于隨機性的中等級別風險是?VideoPoker?游戲中不公平的隨機數使用問題，玩家獲得某些牌的機會較少。

小數截斷

另一個風險問題是在骰子類游戲中發現的，它允許玩家選擇特定的倍數來使他們的預期收益最大化。

漏洞#3?：代碼實現和項目設計的不一致

ChatGPT?往往能夠理解單一函數的實現，卻無法理解這樣寫的根本原因。

例如，它可能了解某個函數在技術層面是怎樣執行的，但他無法理解在整個智能合約中，該函數有著什么樣的目的。

為了確保?ChatGPT?在編碼中不出問題，它需要更好地理解智能合約的代碼邏輯。

就目前的情況而言，ChatGPT?提供的是對代碼的表面閱讀。為了使其審計工作和水平更上一層樓，它必須學會從一個函數反向推導出其初始邏輯——這點非常重要。

不正確的輸入驗證

我們在?Plinko?合約中發現了一個輸入驗證問題，導致倍數設置不正確。

根據?ZKasino?的說法，Plinko?中使用的行數應該是?8?到?16?。但是，由于以下檢查中的錯誤，Bankroll?合約所有者可以通過函數?setPlinkoMultipliers()設置一個超出預期范圍的行數值。

代碼顯示，如果?numRows?和?risk?均不滿足條件，該流程將被回滾。

但是，如果兩個條件中只有一個不滿足，那么檢查仍然會通過，并且代碼不會被回滾。

ChatGPT?在回答第二個問題時給出了不同的答案：該函數檢查“numRows”的值是否在?8?到?16?之間，以及“risk”的值是不是小于?3?。如果不滿足上述任一條件，函數將返回錯誤“InvalidNumberToSet”。

ChatGPT?似乎理解了這個函數的目的。然而，它并不具備相應的應用程序知識，在沒有額外信息的情況下也無法識別真正的漏洞。

值更新的不一致

在?Slots?合約中，發現了與?totalValue?更新不一致相關的問題，這可能導致游戲過早結束。totalValue?用于監控用戶的輸贏，但它只跟蹤了支付情況，卻未從實際游戲中扣除，導致用戶的損益計算錯誤。

寫在最后

盡管經過了相應培訓，但?ChatGPT?在其審計中還是遺漏了某些關鍵性的安全問題。這是由于人工智能在充分理解代碼的復雜性和細微差別方面的局限性，以及其缺乏在現實場景中的實踐經驗。

正如其官網所述，ChatGPT?是一個依賴自然語言處理進行對話的研究版本。它通常無法像人類審計專家那樣去理解代碼背后的意圖和邏輯推理。

因此，重要的是需要通過經驗豐富的安全專家的手動審計來補充?ChatGPT?分析的不足之處，以確保全面的準確性。

下圖強調了基于人工的服務以及?ChatGPT?在各種標準上的優勢和劣勢。

就像是我們使用百度翻譯一樣，英文翻譯結果的準確性往往取決于我們的中文措辭——ChatGPT?回答的有效性在很大程度上取決于?prompt的格式。

在本文中，我們將?ZKasino?與?ChatGPT?交互的預審計結果和?CertiK?專家執行的最終審計結果進行了比較。

隨著技術的進步和對?prompt?工程的更清晰的理解，工程師將能夠更好地利用ChatGPT。

在?CertiK?官方公眾號接下來發布的內容中，我們將會就如何向?ChatGPT?提出有效問題來與大家探討?prompt?工程的更多深入性內容。

但是現在，ChatGPT?甚至已經可以幫助我們參加奪旗比賽了：歡迎大家點擊閱讀！

Tags：CHAHATGPTCHATisechainHATOK價格ChainGPTchatcoin幣最新消息

BNB