Отметим: когда через ваш смарт-контракт проходят десятки тысяч транзакций в сутки, отличить обычного пользователя от атакующего, использующего flash loan, сложно. Одна атака может привести к потерям в $500k и более. Без системы мониторинга подозрительных транзакций вы узнаёте о взломе через твиттер, когда уже поздно. Мы разрабатываем кастомные системы, которые детектят аномалии в реальном времени и отправляют алерты. За 6 лет в Web3 мы сталкивались с разными угрозами — от reentrancy до cross-chain bridge атак, и теперь строим защиту для проектов от $1M TVL.
Проблемы, которые решаем
Real-time детекция reentrancy и flash loan атак
Типичная flash loan атака длится меньше 10 секунд. Обычный блокчейн-эксплорер показывает транзакцию спустя 30 секунд, когда средства уже выведены. Наша система мониторинга подозрительных транзакций анализирует mempool и состояние контракта через RPC-пул. Если за 1 блок происходит более 3 внутренних вызовов к одному контракту от одного отправителя — система триггерит алерт. Например, мы обнаружили атаку на Aave v3 (Ethereum) за 2 секунды до завершения, что позволило клиенту вручную остановить контракт. Экономия на предотвращении взлома может достигать $2M.
Выявление транзакций с миксерами и санкционными адресами
Мы подгружаем списки OFAC, Chainalysis и собственных сигнатур через Chainlink Keepers. Каждая входящая транзакция проверяется по базе хешей Tornado Cash и контрактов-миксеров. Если адрес взаимодействовал с миксером, система повышает его риск-скор. Для клиента с DEX мы заблокировали 15 адресов за первый месяц, что сократило количество подозрительных ордеров на 40%.
Мониторинг крупных переводов и необычных паттернов газа
Перевод выше $100k с вновь созданного аккаунта (возраст < 7 дней) — типичный признак дрейна. Мы также отслеживаем аномалии в gas price: если аккаунт платит 200 gwei вместо средних 50 gwei, это может указывать на попытку обогнать блок (MEV). На кастомном детекторе для клиента на Polygon мы снизили количество ложных срабатываний на 60% по сравнению с публичными API.
Архитектура детекции аномалий в реальном времени
Архитектура базируется на микросервисах с очередью RabbitMQ. Каждый тип аномалии — отдельный детектор (сервис на Node.js/TypeScript), который подписывается на события из очереди. Сервисы stateless, что позволяет горизонтально масштабировать под нагрузку.
// Пример вебхука от Tenderly const { Webhook } = require('@tenderly/webhook'); const wh = new Webhook({ webhookSecret: process.env.WEBHOOK_SECRET }); app.post('/tenderly', (req, res) => { const tx = req.body.transaction; if (tx.gas_price > 100e9 && tx.value > 1e21) { alert(`High gas + large transfer: ${tx.hash}`); } res.status(200).send(); }); Алерты отправляются в Telegram, Slack или PagerDuty. Для критичных случаев (атака в процессе) используем Chainlink Automation для автоматической паузы контракта.
Сравнение с готовыми решениями
Готовые решения вроде Chainalysis или Elliptic дают хороший high-level анализ, но они не адаптированы под вашу бизнес-логику. Наш кастомный детектор обрабатывает 5000 tx/c — в 10 раз быстрее публичных API, и позволяет задавать правила под специфику вашего контракта: например, игнорировать белые адреса или менять порог срабатывания в зависимости от ликвидности пула.
Сравнение подходов
| Подход | Задержка | Гибкость | Цена | Сложность внедрения |
|---|---|---|---|---|
| Публичные API (Etherscan) | 5-30 сек | Низкая | Бесплатно (лимиты) | Нулевая |
| Готовые AML-платформы | 0.5-2 сек | Средняя | $1000-5000/мес | Средняя |
| Наш кастомный детектор | <100 мс | Высокая | Индивидуально | Высокая (окупается при >1000 tx/день) |
Типы атак и методы обнаружения
| Тип атаки | Время обнаружения | Метод |
|---|---|---|
| Reentrancy | <1 сек | Анализ call trace |
| Flash loan | <2 сек | Мониторинг баланса пула |
| MEV | <0.5 сек | Анализ газа |
| Санкционные | <1 сек | Проверка адреса |
Что входит в работу
- Исходный код всех детекторов (закрытый репозиторий).
- Конфигурационные файлы (Docker, Kubernetes).
- Дашборд Grafana с метриками (latency, throughput, false positive rate).
- Документация по настройке и эксплуатации (10+ страниц).
- Обучение команды (2-часовой воркшоп).
- Поддержка в течение 30 дней после запуска.
Какие ошибки допускают при внедрении мониторинга?
- Не учитывать gas price spikes (срабатывание на каждой крупной транзакции после хайпа).
- Игнорировать внутренние транзакции (call traces). 30% атак используют их для обхода фильтров.
- Отсутствие автоматического отката ложного алерта — разработчики привыкают игнорировать алерты. Настраивайте дедупликацию и эскалацию.
Мы гарантируем, что система покроет все ваши бизнес-требования. Оценим ваш проект за 2 дня — пишите. Чтобы узнать больше, свяжитесь с нами. Получите консультацию бесплатно.
Дополнительно: пример конфигурации детектора
Детектор настраивается через YAML-файл:
detector: name: reentrancy chain: ethereum rpc_endpoint: https://mainnet.infura.io/v3/YOUR_KEY threshold: 3 alert: channels: [telegram, slack] cooldown: 60s Согласно Ethereum Yellow Paper, reentrancy является одной из наиболее распространённых уязвимостей смарт-контрактов. Наша система позволяет минимизировать риски.