WACANA：一种用于检测WASM智能合约中链上数据漏洞的协同分析工具

《ACM Transactions on Software Engineering and Methodology》：WACANA: A Concolic Analyzer for Detecting On-chain Data Vulnerabilities in WASM Smart Contracts

WebAssembly智能合约安全检测中，现有工具因链上数据API粗粒度模拟导致准确率不足，本文提出WACANA工具通过细粒度API模拟结合concrete/symbolic执行和覆盖引导循环平衡精度与效率，评估显示其准确率优于现有工具，并在2012+漏洞数据集和5602个真实合约验证中有效。

　　

摘要

WebAssembly（WASM）已成为多个区块链平台智能合约开发中的关键技术。不幸的是，自WASM智能合约问世以来，由于合约漏洞的存在，它们多次遭遇安全事件，导致了巨大的经济损失。然而，现有的用于检测WASM合约漏洞的工具在准确性方面存在局限性，主要原因之一是对链上数据API的模拟过于粗粒度。在本文中，我们介绍了WACANA——一种能够通过细粒度模拟链上数据API来准确检测漏洞的WASM合约分析器。WACANA能够精确模拟链上数据表的结构及其对应的API函数，并在基于覆盖范围的循环中结合具体执行和符号执行，以平衡准确性和效率。通过对2,012个合约的漏洞数据集进行评估，结果显示WACANA在准确性方面优于现有的最先进工具。进一步对5,602个真实世界合约的验证进一步证实了WACANA的实际有效性。