Значительная часть эксплуатируемых ошибок в смарт-контрактах относится к категории функциональных ошибок, которые невозможно обнаружить с помощью простых и общих оракулов.

Обратите внимание, что этот репозиторий находится в активной разработке, и данные могут меняться со временем из-за текущих конкурсов code4rena.

Описание набора данных

Структура каталогов

Набор данных организован в четыре папки:

• papers/: содержит нашу статью ICSE23, обобщающую предварительные результаты, а также дополнительные материалы к статье.
• results/: содержит классификацию ошибок в bugs.csv и описание каждого конкурса в contests.csv.
• contracts/: содержит все смарт-контракты, которые мы исследовали, с использованием версии на момент проведения конкурса.
• reports/: содержит все отчёты, предоставленные code4rena.

Метки ошибок

Мы классифицируем исследованные ошибки по трём основным категориям в зависимости от их природы:

• Ошибки вне области действия (обозначаются O)
• Ошибки, обнаруживаемые простыми и общими тестовыми оракулами (обозначаются L)
• Ошибки, требующие высокоуровневых семантических оракулов (обозначаются S)

Поскольку классификация функциональных ошибок может быть неоднозначной, мы приветствуем предложения по улучшению наших стандартов классификации. Более подробную информацию о метках вы можете найти в нашей документации, и мы рекомендуем обратиться к нашим текущим рекомендациям по классификации.

Рекомендуемые инструменты анализа безопасности

Наша цель — создать исчерпывающий список методов обнаружения уязвимостей, который станет ценным ресурсом для Web3-разработчиков и аналитиков безопасности. Мы сосредоточимся на двух основных категориях:

• Методы обнаружения уязвимостей, в которых приоритет отдаётся разработке семантических оракулов для смарт-контрактов.
• Общедоступные инструменты анализа безопасности, которые можно использовать для аудита

Мы искренне приветствуем любые дополнительные предложения и вклад сообщества, чтобы помочь расширить и улучшить этот список.

Обнаружение уязвимостей с помощью автоматических семантических оракулов

Мы считаем, что будущие усилия в области безопасности web3 будут сосредоточены на выявлении функциональных ошибок и разработке соответствующих оракулов. Для этого мы намерены составить список методов, которые помогут в создании автоматических семантических оракулов. Эти методы будут взяты из различных источников, таких как рецензируемые исследовательские статьи, препринты, отраслевые инструменты и онлайн-ресурсы.

Общедоступные методы анализа безопасности

В этом разделе будут представлены открытые методы, которые находятся в открытом доступе и активно развиваются. Эти методы могут использоваться напрямую Web3-разработчиками и аналитиками безопасности или как составные части для других инструментов. Мы отдаём приоритет методам, работающим на уровне исходного кода, которые лучше подходят для Web3-разработки и аудита.

Ценные ресурсы для безопасности Web3

Вклад в проект

Мы приветствуем все виды вклада в наш проект, включая, но не ограничиваясь:

• Предложение новых эталонных методов анализа безопасности смарт-контрактов.
• Добавление новых раскрытых ошибок конкурсов code4rena.
• Предложение улучшений стандарта классификации.
• Исправление ошибочно помеченных ошибок.
• Заполнение недостающих сущностей defillama в results/contests.csv.

Более подробную информацию можно найти в наших рекомендациях по внесению вклада.

Цитирование

Если вы используете наш набор данных в академической публикации, мы будем очень признательны за цитирование следующей работы:``` @inproceedings{DBLP:conf/icse/ZhangZXL23, author = {Zhuo Zhang and Brian Zhang and Wen Xu and Zhiqiang Lin}, title = {Demystifying Exploitable Bugs in Smart Contracts}, booktitle = {{ICSE}}, pages = {615--627}, publisher = {{IEEE}}, year = {2023} }