SI skraca ważność audytów smartkontraktów

Eksperci ds. bezpieczeństwa informują, że narzędzia sztucznej inteligencji przyspieszają wykrywanie luk w smartkontraktach. W efekcie jednorazowy audyt przeprowadzony przed uruchomieniem projektu coraz częściej nie chroni środków użytkowników, dlatego specjaliści proponują model ciągłego monitorowania protokołów DeFi.

Nowe narzędzia SI potrafią szybko przeszukać duże zbiory kodu i automatycznie wskazać ukryte błędy. Takie możliwości skracają czas potrzebny na znalezienie podatności zarówno dla badaczy, jak i dla napastników korzystających z automatyzacji.

Firma CertiK podaje, że w pierwszej połowie 2026 roku branża kryptowalut straciła w wyniku włamań około 1,32 mld USD. Dane te zwiększają presję na operatorów protokołów, by regularnie weryfikowali kod swoich smartkontraktów.

Przykładem wykorzystania narzędzi automatycznych była luka w oprogramowaniu sieci Zcash wykryta przez inżyniera Taylora Hornby z Shielded Labs przy użyciu agenta audytowego opartego na modelu Claude Opus 4.8. Błąd istniał przez około cztery lata i mógł umożliwić tworzenie nieautentycznych aktywów w prywatnym pulie; po odkryciu został usunięty.

Ataki na nieaktywne lub zamknięte protokoły nasiliły się w czerwcu. 14 czerwca z protokołu Aztec Connect skradziono 2,1 mln USD. Kilka dni później z DEX mySwap wyprowadzono około 300 000 USD, mimo że platforma nie przyjmowała nowej płynności od ponad pół roku.

W maju biały haker znany jako 0xflorent pomógł odzyskać 1003 ETH (ponad 1,7 mln USD) dla 48 inwestorów projektu ICO Hong Coin z 2016 roku. Środki były od lat zablokowane z powodu błędu w mechanizmie automatycznego zwrotu.

Ari Redbord z TRM Labs wskazał: „Nasze dane przemawiają za ciągłą weryfikacją, a nie jednorazowym audytem. Metody ataków rozwijają się szybciej, niż audyt przeprowadzony w dniu uruchomienia projektu jest w stanie to uwzględnić.” CertiK przypomniał: „Okres maksymalnej podatności nie kończy się po uruchomieniu projektu. Projekty ze starą infrastrukturą powinny traktować ponowne audyty jako regularny wymóg operacyjny, a nie jednorazową procedurę podczas wdrożenia.”

Firmy zajmujące się bezpieczeństwem proponują wprowadzenie ciągłego monitorowania kodu oraz cyklicznych audytów albo automatycznych kontroli po zmianach w kodzie zamiast polegać wyłącznie na audycie przeprowadzonym przy starcie projektu.