关键词： 区块链   智能合约   漏洞检测   符号执行   动态测试  

摘要： 区块链是一个开放源代码的分布式数据库管理系统，它提供用户对资源的使用权限以及与用户交互时的信息保密机制，并允许第三方参与到系统开发过程之中。智能合约是区块链的重要应用，能够在确保安全的同时，通过实施特定的操作，实现例如数据加密和交易处理等特定的功能，但是，因为未经严格的验证，开发工具的支持也不得力，智能合约上已检测出多种漏洞，导致多宗合约漏洞被攻击事件，损失数千万美元。由于智能合约本身具有开放性和不可篡改性，一旦出现漏洞，将会导致大量的系统失效甚至瘫痪。综上所述，增强智能合约安全性，实现高效的智能合约漏洞检测具有十分重要的研究意义。　　现有智能合约漏洞检测的技术手段比较单一，大多数方法都只是对合约进行源代码静态检测，很少有对已部署智能合约的测试。随着区块链技术在互联网中的应用越来越广泛，对现有的智能合约漏洞检测工具提出了更高要求。本文旨在解决四类最为普遍的合约漏洞问题：可重入漏洞，以太币锁定漏洞、限制写入漏洞与委托调用漏洞，提出了一种基于符号执行与动态模糊测试相结合的智能合约漏洞检测方法。其中动态模糊测试是主要的检测手段，静态符号的实现作为一种辅助检测方法。　　进行静态符号分析检测时，本文提出了利用符号执行的方法生成关键指令的方法检测智能合约漏洞。首先采用反编译合约字节码的方法构造控制流图CFG。根据控制流图可识别出代码内部隐藏的漏洞或潜在缺陷。二是通过对漏洞特点的剖析，针对不同漏洞，定义了对应关键指令和漏洞检测规则，以及根据所述控制流图以及所述关键指令，提取关键路径。最后根据漏洞检测规则进行检测，针对关键路径，产生路径约束，以及采用约束求解算法求解约束，产生漏洞的关键路径向所述模糊测试反馈约束求解结果。进行动态模糊测试检测时，本文应用二进制接口，分析输入数据的特征，针对不同种类数据，产生不同特定输入候选值集合，并将符号执行时约束求解结果与之相结合，生成覆盖率更高的模糊测试用例，通过分析合约上下文记录和路径内编码来实现合约部署运行时的控制流观察和监控，从而确定潜在缺陷。当出现异常控制流时可以调用内部的嵌入式IDS，将智能合约状态回滚减少损失，维护合约正常运行，最终开展漏洞收集和日志分析工作。　　本文提出了一种动态与静态相结合的检测方法，使用符号执行过程中对约束的解算，产生模糊测试未触发的输入数据，从而提高模糊测试的覆盖率。此外，在分析和研究现有的基于静态符号测试用例集的漏洞检测工具的基础上，设计出一种适用于智能合约的动态检测策略，提高了智能合约的安全性。本文在etherscan智能合约交易网站上的实验表明，采用将静态符号执行和动态模糊测试相结合的方式，有效的提高智能合约漏洞检测效率，并且部署消耗的额外Gas平均增加了26％，是一个可以接受的范围。

关键词： 区块链   去中心化金融   智能合约   教师学生网络   漏洞检测  

摘要： 去中心化金融(DeFi,Decentralized Finance)是一个基于区块链技术的点对点金融生态系统,它允许用户在分布式区块链系统上交易金融产品。去中心化金融在近几年取得了重大进展,已然成为国家新基建自主创新的关键核心技术。迄今为止,去中心化金融应用程序已持有价值超过1万亿美元的数字资产,而针对去中心化金融生态系统的各种攻击已造成超过200亿美元的经济损失,严重威胁着整个去中心化金融生态的安全。虽然研究人员及安全工程师已经设计了大量智能合约漏洞检测工具进行检测,但这些方法中的大多数都是为传统智能合约量身定制的。基于此,本文以去中心化金融智能合约漏洞检测为研究主题,调研去中心化金融攻击事件及传统检测工具的检测效果,并提出基于教师学生网络模型的新型检测技术:(1)去中心化金融攻击分类及实验。我们全面研究了51起去中心化金融攻击事件,并总结了四类常见的去中心化金融攻击。为了更细致的描述现阶段去中心化金融安全问题,我们构建了一个包含6347份去中心化金融智能合约且涉及四种攻击类型的去中心化金融注释数据集,最后我们对35种最先进的智能合约漏洞检测工具进行去中心化金融协议的有效性分析和兼容性评估。(2)基于教师学生网络的DeFi智能合约漏洞检测。本文设计了一种新型源码辅助教师学生网络的相互学习框架,该架构利用代码语义感知模块将源码和字节码编码为相应的图结构数据,并采用网络结构感知模块分别构建单模态学生网络和双模态教师网络。为了促进两个网络之间有效知识迁移,我们提出了一种跨模态相互学习框架,通过引入字节码-字节码和源码-字节码迁移损失来协助学习源码-字节码的相关性。实证结果表明,针对于去中心化金融智能合约漏洞检测,我们的方法产生了最优异的检测效果,其中四类攻击的准确率分别达到84.35%、80.72%、88.33%和77.53%,对比最先进的检测工具在相对准确率上分别提高了8.86%、6.78%、7.91%和7.75%。最后,我们探讨了去中心化金融迫切解决的问题和挑战,希望可以为未来的工作提供帮助。

关键词： 智能合约   智能庞氏骗局检测   源程序构图   图注意力网络  

摘要： 区块链作为一种新兴技术,以其去中心化、不可伪造、不可篡改和可溯源的特性,得到了极大的发展。由于匿名性和监管困难,作为现阶段最繁荣的区块链平台之一,以太坊的健康发展仍然面临诸多难题,欺诈问题日益频发,智能庞氏骗局便是其中之一。目前,国内外针对以太坊智能庞氏骗局检测研究尚不充分,现有的检测方法大多从字节码和操作码层面提取特征,不能完整地表达智能合约源码中丰富的语义语法和结构信息,难以准确高效地识别智能合约中的欺诈行为。 针对上述问题,本文将深度学习的相关技术和方法引入以太坊智能庞氏骗局检测研究,在对智能庞氏骗局合约源码分析的基础上,采用深度学习的图神经网络和注意力机制技术展开研究,主要工作如下: (1)针对较为常见的智能庞氏骗局有树形骗局、链式骗局、瀑布骗局和权限转移骗局四种骗局合约,通过对Solidty源代码进行人工分析研究,总结其诈骗逻辑和资金流向规律,为智能合约构图提供逻辑基础。 (2)提出了一种基于智能合约源代码的合约执行依赖图构建方法,该方法将智能合约的重要函数和变量作为核心节点和普通节点,程序语义执行流作为有序边,构建智能合约执行依赖图,经过对依赖图的归一化处理和图嵌入等过程,将图数据转变为由核心节点特征和有序边特征构成的特征矩阵,作为智能庞氏骗局检测的输入。通过合约图的构建,可以保留智能合约中丰富的语义结构信息和数据依赖信息,从而更加充分地挖掘到智能庞氏骗局合约代码中的特征。 (3)对基于合约依赖图的时序特征增强方法进行研究,为捕获合约的程序执行流,通过强化边序号的重要性,重点关注合约执行过程中的转账操作和账户余额变化,以此来更好地挖掘智能庞氏骗局执行过程中的时序特征,提出一种时序增强的图注意力网络模型(TMGAT),具体思想为将多头注意力系数作为权重引入到核心节点级特征和有序边级特征上,最终对两级注意力系数进行特定加权计算,得到的新的注意力系数,作为核心节点特征更新的重要参数。 (4)本文在开源数据集下,验证了基于深度学习的智能庞氏骗局检测方法的有效性;并将本文的智能庞氏骗局检测方法与其它检测方法进行对比实验,实验结果表明该方法有效提高了智能庞氏骗局检测效果。

关键词： Web 3.0   智能合约   区块链预言机   认证密钥交换协议  

摘要： Web 3.0概念已经成为近年来讨论的热门话题之一,它可以构建属于用户的价值互联网,数据将借助区块链以去中心化的方式进行存储。除此之外,Web 3.0利用区块链的协议创造与自动执行的技术,即通过智能合约,使权利与价值的分配协议可以不通过第三方,可以得到高效、准确、可信的执行,并且全过程可审计可追溯。然而伴随而来的问题就是智能合约无法确定数据源的安全性,会导致由这些不可靠数据产生不可靠交易,从而损坏Web 3.0系统的可靠性。因此区块链预言机被提出,旨在将区块链与现实世界连接起来,为区块链提供真实可靠的数据;然而区块链预言机的性能和安全问题也被提出。主要研究内容如下:本文首先完成Huang Studio(HS)链平台的搭建,为后续工作开展打下基础,并对该区块链的交易延迟和可扩展性进行测试;本文完成基于HS链的论文存证系统搭建,提出一种Web 3.0系统架构并实现,完成了期刊论文的存证过程,保障期刊论文发表过程中的完整性和真实性;本文完成了HS链的预言机搭建,基于安全的认证密钥交换协议和链上预言机合约实现,充分考虑到物联网实际环境下设备计算力差异较大的情况,可以保障物联网终端数据安全高效上链。综上所述,本文基于搭建的区块链平台完成了一个Web 3.0系统和区块链预言机的架构设计与实现,将传统Web项目与区块链互相兼容,有助于推动区块链技术的应用和进一步的发展。

关键词： 区块链   智能合约   民法问题  

摘要： 伴随着我国经济的高速发展，越来越多的互联网信息也开始被广泛应用于各行各业，并为人们的生活提供了便利的条件。现如今，我国智能合约已经运用在多个领域之中，伴随着各大领域的高速发展，智能合约在未来也将会成为一种不可阻挡的潮流趋势。智能合约凭借着其规范性、不可逆性和匿名性，在实际的运用当中，也获得了一致的好评，但即便如此，从法律的监管上来说，智能合约仍旧存在着些许问题，除此之外，智能合约虽然已经得到了广泛的应用，但毕竟发展时间较短，其功能的挖掘还处于较为浅薄的阶段。与金融和计算机领域的发展相比较，智能合约仍需要更多的法律法规将其进行进一步规范完善，其中，最为重要的就是与民法的良好契合，如果在实际应用中配合不当，就会出现严重的网络漏洞，造成不可逆的损失，因此，民法和智能合约的契合问题，也成为我国研究界争论较大的课题之一，而本文正是立足于民法思考之上，对智能合约进行的概述和研究，并在此过程中，添加了一些境外对于智能合约的实践经验和理论结果，希望能在一些有限的文献上，提取到有利于我国智能合约在法律法规中的生存之道。

关键词： 区块链   分片   双层架构   欺诈证明   智能合约  

摘要： 区块链作为Web3.0的基础设施,有望在金融与实体产业中发挥重大作用,在多个领域极具应用价值,但其可扩展性问题严重。分片是提升区块链可扩展性的有效方法之一,而大多分片区块链中的节点仅维护记录分片相关交易的单层链,处理跨片交易和重组时引入昂贵开销,且对恶意节点的容忍度较低,故限制了其广泛应用。 基于乐观假设:“在具有严厉惩罚机制的系统中,绝大多数的参与者没有作恶动机”,即恶意事件是低频的,设计并实现一种名为层片链的区块链系统,以提高区块链的可扩展性。层片链使用双层分片架构,由主链和相互隔离的分片链组成。分片链负责处理和存储与其对应分片相关的交易,跨片交易经过聚合后与分片状态一并存储于主链上,即主链仅保存分片的聚合状态而非所有节点状态。当恶意事件发生时,分片中的节点可提交欺诈证明,通过调用运行于主链上的智能合约触发主链共识来惩罚攻击者。在乐观假设下,由于仅需保存分片状态和恶意事件低频性的特点,系统得以支持较大规模的主链,进而提升整体的安全性。由于主链提供了足够的安全保障,层片链不再需要通过频繁重组来获得较高的抗共谋能力,从而提升了其可扩展性。 基于Harmony和以太坊实现了层片链原型,使用以太坊真实工作负载验证了其的可扩展性。实验结果表明,层片链的吞吐量具有近似的线性可扩展性,分片数量为8时,可达3510 TPS,比以太坊提升了约233倍,比目前较优的分片方案之一Rapid Chain提升了11.93%。层片链将全网交易数据划分到每个分片链中,只引入极小的主链开销,使得节点的总存储开销很小,与相似网络规模下的Rapid Chain相比,降低了34.03%。使用举报机制后,32个分片时层片链的分片失败概率相较于其他分片方案低7个数量级。

关键词： 深度学习   智能合约   漏洞检测   图神经网络   信息传递  

摘要： 随着区块链技术的快速发展和普及,智能合约作为一种可自动执行的计算机程序,在数字货币、电子合同等领域中得到了广泛的应用。然而智能合约中可能隐藏着致命的漏洞,这些漏洞会导致资产损失或者系统崩溃,智能合约的安全性已然成为备受关注的焦点。在上述背景下,提高合约安全性是开发者亟需解决的重要问题。 目前,常用的智能合约漏洞检测方法是自动化审计,但是该方法存在依赖专家模式、消耗资源多和准确率低的问题。近年来,研究人员提出了一些基于深度学习的漏洞检测方法,这些方法具备自适应地进行特征学习、准确性高等优点,可以高效地检测出传统方法难以察觉的漏洞。但是部分深度学习方法往往会忽略合约源代码中函数调用或执行流等结构化信息。为解决上述问题,本文设计了一个基于信息传递神经网络的智能合约漏洞检测方法。本文主要研究内容如下: (1)本文提出了改进的智能合约源代码数据处理方案,细分边的类别,并对图中每一条边的按执行顺序进行编号,以加强模型对程序的时序特征的挖掘,进一步提高边对图整体特征信息的贡献; (2)本文提出了改进的基于信息传递的神经网络模型,引入边和全局信息更新机制,增强模型信息传递能力,提高模型对程序中函数调用或者执行流等结构化信息特征的挖掘表现; (3)本文对频发且危害巨大的几种智能合约漏洞进行分析建模,收集智能合约数据,并进行去重、标注处理,整理成一个完整可靠的智能合约数据集; (4)本文设计一个智能合约漏洞检测系统,将本文提出的智能合约源代码数据处理方案和神经网络模型进行整合并应用于此系统,辅助开发人员开展智能合约漏洞检测工作。

关键词： 区块链   电子拍卖   密封拍卖   群签名技术   智能合约   去中心化  

摘要： 电子拍卖的出现极大地方便了人们的商务活动,带来了巨大的经济价值。然而,传统中心化的拍卖管理方式仍存在拍卖过程不透明、竞标人隐私信息泄露等问题,这些问题严重影响了电子拍卖的可信度。区块链具有去中心化、不可篡改以及公开透明的特点,为解决以上问题提供了新的思路。针对传统中心化拍卖存在的信任问题,本文研究了去中心化的、面向密封拍卖的可信电子拍卖相关技术和方案,主要的工作如下:(1)研究去中心化可信投标中采用群签名技术来保护竞标人的匿名性,使用佩德森承诺方案保护投标阶段标价的保密性。针对投标交易的真实性问题,参考比特币中交易验证方法,提出投标交易的真实性验证模型、投标交易计算以及真实性验证算法,并使用谓词逻辑推理方法证明交易验证算法的正确性。(2)研究去中心化可信开标中提出平衡区块链公开透明以及标价隐私保护的方法,基于群签名技术以及零知识范围证明,提出了中标结果计算以及中标发布交易的真实性验证算法。(3)设计了基于区块链的可信电子拍卖方案。分析方案功能需求并提出功能模型,提出了适用于电子拍卖领域的交易数据结构、区块结构以及链结构和具体功能模块。基于以上研究内容以及设计的方案进行仿真实验。基于FISCO BCOS区块链平台构建本地私有链,借助智能合约技术实现了设计方案的核心功能。在仿真环境下对本文提出的方案开展了功能测试,测试结果验证了本文方案的正确性。

关键词： 智能合约   匿名性   自动执行   去中心化   救济  

摘要： 依靠区块链技术生存的智能合约是科技与法结合的产物,值得我们研究。文章采用文献分析法、规范分析法和比较分析法,在解读现有法律法规的基础上,收集大量文献资料,从智能合约与传统合同的相似性出发明确智能合约的法律属性,得出了智能合约是一种智能法律合同的结论。不仅如此,智能合约匿名化会导致难以识别民事主体的行为能力,自动执行性会导致当事人的自由意思受限,去中心化会排斥传统解纷机制等风险。同时,这些风险在民法制度领域也会引发一系列适用问题,例如,难以判断民事主体的行为能力自然也无法判断智能合约的效力;当事人的真实意思受限不但使得当事人难以行使合同履行抗辩权、撤销权、解除权等相关合同权利,而且使得不可抗力以及情势变更等规则没有适用空间;智能合约纠纷既不适合传统线下的解纷机制解决,也没有多元化的在线解纷机制可供选择。针对以上问题笔者分别提出了构建数字身份统一认证机制、超级用户中止执行机制和具有中国特色的在线纠纷解决机制,这些机制合力组成智能合约救济机制。文章共由四部分组成:第一部分先行说明智能合约的概念和技术特性;第二部分详细分析智能合约特性可能带来的风险点;第三部分介绍域外国家和地区的智能合约相关救济情况;第四部分针对于第二部分智能合约的相关风险,结合第三部分的域外经验,提出相应的完善救济机制。智能合约的救济以代码自治为主旨,治理智能合约的风险点,不仅能促进科技与法律的相互融合,还能更好地应对新兴技术引起的法律问题。

关键词： 区块链信用证   智能合约   独立原则   严格相符原则  

摘要： 近年来,区块链技术随着加密货币的火热逐渐走进了人们的视野,热潮褪去后,区块链技术的核心——分布式记账功能的应用也被重视和发掘,其在复杂信用环境下建立信任,传递信任的功能与有着两百多年历史的现代信用证不谋而合。2016年9月,英国巴克莱银行(Barclays Bank)率先使用区块链技术完成全球首笔出口贸易结算交易,打响了区块链信用证交易的第一枪。此后2017年7月,民生银行上线了基于区块链技术的国内信用证传输系统,实现了国内信用证电开代替信开,迈出了中国区块链信用证实践的第一步;及至2020年5月,渣打银行通过区块链贸易融资平台康拓(Contour)开出了全球首张以离岸人民币计价的跨国区块链信用证,实现了首宗全流程、点对点及无纸化的人民币结算,在新冠疫情的催化下,区块链信用证的优势愈发凸显,发展势头猛烈。然而,立法往往是具有滞后性的,信用证如果没有法律规制不过是几张废纸或无用的加密字段,因此,有必要就当前环境下,对区块链信用证适用可能面临的法律问题进行探究,为区块链信用证的合规应用铺平道路。除了绪论与结语之外,文章主要包括四个部分:第一部分主要分析了区块链信用证产生的原因。分别从区块链技术和信用证自身两个方面出发,详细阐述了区块链技术的基本概念、在金融领域的应用,以及信用证的基本概念和发展,两相对比之下,可知区块链信用证产生的必然性和原因,并对区块链信用证的概念、特点和优势进行了分析,以便于更加准确地回答“区块链信用证是什么”这一问题,为对其法律规制的讨论提供了客观的基础。区块链信用证是一种基于区块链技术的电子信用证,区块链技术的核心是分布式记账理念,它是实现信息的实时更新和共享的基础,而实现这两点还需要智能合约和物联网等技术的加持。就区块链信用证本身而言,其大幅降低了传统信用证中存在的欺诈风险,以及人力需求和耗时,并具有重新平衡信用证交易各方风险负担的可能,使其更受买卖双方的欢迎。第二部分针对当前信用证涉及的国际法规进行了简要评析,主要是国际商会的UCP600和eUCP2.0,前者是当前全球范围内适用最广的信用证规则,但已颇具老态,其出台于2007年,对于电子信用证的适用指导意义有限,后者则是2019年新生效的有关电子信用证的相关规定,特别是在审单方面,对于采用区块链技术的电子信用证有很大参考价值。此外还有《美国统一商法典》,虽然其并非信用证专门规则,但其对于单据电子化的超前考虑仍对区块链信用证的合法使用有着指导意义。还有一些联合国下属的组织机构制定的贸易协定,对区块链信用证交易环节提单电子化的规定有所涉及,基本上都肯定了一定条件下电子提单的物权凭证化。第三部分则从区块链信用证的实际使用流程出发,叙述了区块链信用证的开立细节,对可能存在的问题提出对应的解决思路。在智能合约乃至物联网技术的加持下,区块链信用证相比传统信用证的条款内容可以大大丰富。而在开立区块链信用证时对规则适用的选择上,eUCP2.0是当下区块链信用证最“成熟”可靠的法律适用选择,但仍然不够适宜,许多交易可能需要在信用证条款里自行约定来实现。而对于信用证纠纷的管辖权归属,区块链信用证作为电子信用证的下位概念,可以对传统信用证参照适用。第四部分则从区块链信用证付款阶段的角度,探讨了藉由智能合约等技术对审单条款的丰富和审单规则的创新,到底是对传统信用证独立原则和严格相符原则的挑战还是遵守,并提出相应意见。在传统信用证中由于货物实际检查困难,银行通常只需进行纸面审查,这使得开证申请人和受益人的责任和风险被放大,对于不符点的处理往往依赖于开证申请人的放弃。但是,区块链信用证中新技术的出现,使得所有货物和基础合同信息都能够在无人工干预的情况下及时更新和共享,银行在信用证交易中的审单工作量大幅下降,更加客观和透明的流程也降低了欺诈风险。笔者认为,在区块链信用证中,开证行获取到比传统信用证业务中单据之外的信息并非是突破了独立原则和严格相符原则,反而自动执行的智能合约使得整个审单过程更加客观,对于非标准化的不符点,银行也有比传统信用证交易中更多的信息作判断,因而非但不构成对传统信用证基本原则的突破,反而是加倍遵守。本文希望借助跨学科背景,更好地将区块链信用证这一新兴事物做一个较为通俗又透彻的分解,初步探寻其适用所面临的法律问题并提出对策和建议,起抛砖引玉之作用,有待后来者做出更深入的研究,共同为区块链信用证落地扫除法律障碍。