实时防御、GNN检测与Web3威胁情报

AI 网络钓鱼系列：第五部分 - 实时防御、GNN 检测和 Web3 威胁情报

如何在 Web3 中进行实时防御。了解流分析、LLM 和 GNN 如何帮助更快地发现诈骗，以及威胁共享如何降低跨链风险。

2025-06-10 - 8 分钟阅读

作者：Simeon Cholakov

OpsecWeb3 安全

threesigma 的 twitterthreesigma 的 linkedinthreesigma 的 github

服务

支持

信息

简介

加密货币攻击者行动迅速，有时用户点击和钱包被盗之间只有几秒钟的时间。本文着眼于防御者如何跟上。我们首先介绍如何将原始的 mempool 数据转换为清晰的实时信号，然后展示大型语言模型、图神经网络和自动化剧本如何缩短“某些事情看起来不对劲”和“威胁已停止”之间的时间间隔。最后，我们介绍跨项目共享威胁情报如何帮助每个人在下次更快地做出反应。每个部分都是一个构建块；它们共同构成了一个剧本，用于以攻击发生的速度响应现代链上攻击。

流式特征存储

生产级的链上安全分析需要快速访问 mempool 流量。一种常见的架构是从 Ethereum JSON-RPC 或 WebSocket 端点捕获待处理的交易，并将其发布到 Apache Kafka 主题。开源演示展示了如何通过将 Python 客户端与 Kafka brokers 耦合来实时流式传输 ERC-20 transfers 并持久化以进行分析。在流处理层（Kafka Streams 或 Apache Flink）中，transaction 被丰富为特征向量：

• Opcode 频率，对 inputData 或合约 bytecode 进行静态反汇编会生成每个 transaction 的 opcode 直方图；CREATE2、SELFDESTRUCT 或 DELEGATECALL 的突然峰值与 drainer 活动密切相关。
• Gas 异常，gasPrice 和 gasLimit 上偏离滚动中位数会暴露 sandwich bots 和 liquidity-rug 脚本。
• Token-flow deltas，实时聚合 ERC-20 Transfer 事件可识别大型、多 token 的批准，这是 drainer kits 的典型特征。

为低延迟推理构建的特征存储（Feast、SageMaker Feature Store streaming mode）会持久化这些计算出的字段，以便下游模型和启发式算法可以在区块包含之前对每个 transaction 进行评分。结果是一个不断更新、可重放的结构化欺诈指标分类账，而不会泄漏原始用户机密。

LLM 辅助分类

大型语言模型越来越多地嵌入到安全运营中心 (SOC) 工作流程中，以加速警报丰富。运营剧本现在将网络钓鱼域名、诈骗网站 HTML 和 drainer JavaScript 路由到 GPT 级别的模型，这些模型可以：

1. 标记 IOC，通过将 URL 或文件名与已知的词汇、品牌抢注和混淆模式进行匹配，将其分类为良性、可疑或恶意。
2. 总结上下文，提取受害者诱饵、钱包连接流程和嵌入地址，以便分析师快速审查。
3. 合成检测规则，输出草稿 YARA 或 Suricata 签名，以捕获以前未见过的混淆主题。

现场报告表明，将自定义 GPT 与威胁情报平台相结合，可以将 YARA 规则的编写时间缩短一半以上，同时在验证语料库中将匹配精度保持在 0.9 F-score 以上。生成的规则仍然需要同行评审，但语言模型消除了第一遍的繁琐工作，并揭示了基于 regex 的生成器经常遗漏的新颖指标。

EVM 数据上的图神经网络

Transaction graphs 编码了单一 transaction 启发式算法无法获得的丰富结构化信号。图神经网络的 TLMG4Eth 家族将 transaction calldata 的语句级嵌入与帐户交互图上的消息传递相结合。对多年 Ethereum 快照的实验报告显示，在发现与网络钓鱼相关的 funding paths 时，AUC > 0.93，比 volume-threshold 过滤器在召回率方面高出 20-30 pp。

对 transaction-graph 压缩 (TGC4Eth) 的补充工作减少了 graph size，同时保留了恶意帐户的可分离性，从而可以在消费级 GPU 上进行批量推理。总之，这些研究表明，GNN pipelines 可以在近实时地在持续摄取的 graphs 上运行，并在信誉黑名单更新之前很久就发现低度、隐蔽的 drainer 节点。

社区威胁情报

只有通过广泛的信息共享才能有效地扩展防御。安全工作组现在以 STIX 2（结构化威胁信息表达，版本 2）包的形式发布机器可读的威胁报告。基于签名的入侵指标 (IOC)（恶意 bytecode hashes、ENS 域名、transaction 模式）被打包，使用组织密钥签名，并固定到 IPFS；然后，内容标识符 (CID) 嵌入到简短的链上公告中，或通过 TAXII（可信的自动化指标信息交换）feeds 推送。Service Ledger pilot 等工具演示了端到端工作流程，企业可以通过许可的 IPFS 覆盖交换加密的 STIX objects，同时保留真实性和篡改证据。

共享的网络威胁情报 (CTI) 降低了跨生态系统的平均检测时间：在一个 roll-up 上捕获的网络钓鱼合约指纹可以被安全工具标记，并将预防规则在数小时内推送到其他 roll-up。随着这些注册表的成熟，DAO 资助的漏洞赏金计划正在奖励那些其情报可以防止可衡量的损失的贡献者，这与 Web2 漏洞赏金经济学相呼应，但锚定在透明的基于 token 的资金库中。

• 原文链接： threesigma.xyz/blog/opse...
• 登链社区 AI 助手，为大家转译优秀英文文章，如有翻译不通的地方，还请包涵～