Garantia contínua da integridade do protocolo blockchain por meio de primitivos de código aberto e recompensas por bugs @immunefi, @commonwarexyz, @arbitrum A integridade do protocolo blockchain não é uma propriedade que possa ser concluída por meio de uma única verificação ou avaliação em um momento específico, mas sim uma característica que deve ser mantida e revisada continuamente ao longo do tempo. Os sistemas blockchain modernos possuem uma estrutura composta por muitos componentes interligados, e especialmente em soluções de escalabilidade como rollups, o ambiente de execução, bridges, sequenciadores e mecanismos de verificação estão estreitamente conectados entre si. Nesse ambiente, mesmo que o código seja escrito de forma sofisticada, novas vulnerabilidades podem surgir devido a atualizações, alterações de configuração e mudanças na estrutura de incentivos econômicos. Por isso, embora auditorias pontuais tenham valor para verificar o estado do código em um momento específico, elas possuem limitações claras ao tentar garantir a integridade do protocolo por longos períodos. O caso prático do Arbitrum ilustra bem essa característica. A pilha de produção do Arbitrum é composta pelo ambiente de execução Nitro, o contrato OneStep Prover, a infraestrutura de bridge responsável por transferências entre camadas, a lógica do sequenciador que determina a ordem das transações, e o mecanismo de provas de fraude. Esses elementos não existem de forma isolada, mas interagem entre si para formar um único sistema. A atualização ArbOS 31 Bianca em março de 2024 afetou simultaneamente o Arbitrum One e o Nova, demonstrando como uma única atualização pode causar mudanças em cadeia em vários componentes da rede. Além disso, o Arbitrum realizou seis atualizações principais do ArbOS entre 2024 e 2026, mantendo um ciclo de desenvolvimento rápido, em que o código é implantado na rede principal em um período relativamente curto após a sua distribuição na rede de testes. Essa velocidade cria um ambiente difícil de acompanhar com procedimentos de auditoria tradicionais, resultando em períodos em que código não auditado pode ser usado em ambientes de produção. Além disso, já foi verificado por meio de vários casos que a revisão apenas no nível do código não é suficiente para prever com precisão os ataques que podem surgir na rede real. O ataque ao bridge Wormhole em fevereiro de 2022 e a vulnerabilidade no bridge Polygon Plasma em dezembro de 2021 ocorreram em código que havia sido auditado, e os atacantes encontraram caminhos de ataque dinâmicos explorando os incentivos econômicos, e não apenas falhas no código em si. Isso demonstra claramente que a integridade do protocolo não se limita apenas à precisão sintática do código, mas é um conceito multidimensional que inclui estruturas econômicas, formas de operação e processos de governança. Nesse contexto, a reutilização de primitivos blockchain de código aberto está se estabelecendo como um eixo da estratégia de segurança. A abordagem de "anti-framework" proposta pelo Commonware separa as funções básicas da rede, como consenso, criptografia, armazenamento, testes, etc., em primitivos modulares, em vez de construir uma única pilha monolítica. Esses primitivos são implementados como bibliotecas em Rust e incluem componentes como comunicação P2P autenticada, algoritmos de consenso tolerantes a falhas bizantinas, assinaturas e geração de números aleatórios com threshold, interfaces abstratas de armazenamento e componentes de runtime para simulações determinísticas. Cada primitivo é classificado em níveis de estabilidade — alfa, beta, gama, delta e épsilon — com base no escopo de testes e na experiência de uso em produção. A maior vantagem da reutilização de primitivos é a redução do risco de implementação. Por exemplo, ao utilizar um primitivo de consenso já verificado matematicamente, em vez de implementar um protocolo de consenso tolerante a falhas bizantinas do zero, é possível reduzir erros de implementação repetidos. Além disso, primitivos com alto nível de estabilidade têm alvos claros para auditorias e programas de recompensas por bugs, permitindo que os recursos de segurança sejam concentrados nos componentes críticos. O ambiente de simulação determinística fornecido pelo runtime do Commonware permite reproduzir condições de rede e executar testes de regressão entre versões, desempenhando um papel importante na manutenção da integridade durante as atualizações. No entanto, essa abordagem também traz riscos de outro tipo. Quando múltiplos protocolos compartilham os mesmos primitivos, surge o risco de centralização estrutural, no qual uma única vulnerabilidade pode afetar a ecologia inteira. Para mitigar isso, o Commonware introduziu um sistema de classificação de estabilidade, separou claramente as interfaces e incentiva a existência de implementações concorrentes para as mesmas interfaces.Não se pode negar que o nível de risco no design pode se concentrar, tornando a detecção contínua de vulnerabilidades um elemento essencial. Na arquitetura rollup, a superfície exigida para a integridade do protocolo é muito ampla. No caso do Arbitrum, o contrato do Nitro Prover pode conter erros matemáticos ou problemas no cálculo de gás, enquanto o contrato da ponte que conecta a L1 e a L2 carrega riscos fatais, como o roubo de fundos ou a interrupção de saques. A lógica do sequencer implica a possibilidade de ganhos injustos por meio de censura ou reordenação de transações, e o mecanismo de governança também pode estar exposto a ataques, como manipulação de propostas ou contornos de bloqueios de tempo. Além disso, do ponto de vista operacional, fatores como interrupção do sequencer, falha na gestão de chaves e ausência de monitoramento afetam diretamente a integridade. Como meio para detectar continuamente esses diversos riscos, os programas de recompensa por bugs desempenham um papel importante. O programa de recompensa por bugs da Immunefi classifica a gravidade com base na severidade do impacto, oferecendo uma proporção determinada de ativos de risco como recompensa para vulnerabilidades críticas, como o roubo de fundos ou a interrupção da rede. Essa abordagem foi projetada para aumentar as recompensas à medida que a rede cresce, alinhando os incentivos entre pesquisadores e protocolos a longo prazo. Além disso, por meio do processo de divulgação responsável, que regula o momento da divulgação, as vulnerabilidades são anunciadas após a correção, minimizando o impacto nos usuários. Apesar disso, os programas de recompensa por bugs não cobrem todos os riscos. Ataques econômicos, como a extração de MEV ou erros no design de incentivos, cenários que exploram o processo de governança e erros operacionais frequentemente ficam fora do escopo. Na verdade, o incidente Wormhole mostra que, mesmo com recompensas em grande escala, o incidente em si não foi totalmente evitado, sugerindo que, embora os programas de recompensa por bugs sejam uma primitiva de segurança importante, eles não são uma solução completa por si só. A combinação de primitivas de código aberto e programas de recompensa por bugs forma um sistema de ciclo de vida para garantir a integridade. As primitivas são alvo de verificação externa e revisão baseada em recompensas à medida que o nível de estabilidade aumenta, reduzindo a possibilidade de erros na implementação. O escopo do programa de recompensa por bugs do Arbitrum está limitado às versões de implantação em execução, incentivando os pesquisadores a se concentrarem no código onde realmente existem riscos. Quando uma vulnerabilidade é descoberta, o caso é refletido nos testes de simulação, garantindo que o mesmo problema não se repita nas versões futuras. Nesse processo, também é necessário reconhecer claramente os limites da responsabilidade. O mantenedor da primitiva deve garantir a precisão e a compatibilidade dentro do escopo da interface, enquanto o integrador é responsável por combinar e operar de forma segura de acordo com o ambiente real. Embora as licenças de código aberto limitem a responsabilidade legal, a integridade real depende dessa divisão de papéis e da cooperação. O processo de coordenação entre a divulgação da vulnerabilidade e a distribuição do patch também exige cooperação entre vários projetos. O processo de governança e atualização também é um elemento central para manter a integridade. O Arbitrum gerencia os riscos de atualização por meio de bloqueios de tempo para propostas constitucionais, períodos de desafio de mensagens da L1, poderes de emergência do comitê de segurança e procedimentos de implantação progressiva por meio de testnet. Esses procedimentos podem ser vistos como um esforço para equilibrar a resposta rápida e a descentralização. No fim das contas, as primitivas de blockchain de código aberto e os programas de recompensa por bugs contínuos permitem uma abordagem que trata a integridade do protocolo não como uma certificação pontual, mas como um processo contínuo. As primitivas reduzem erros de implementação repetidos, enquanto os programas de recompensa por bugs incentivam a verificação externa contínua por meio de incentivos econômicos. O caso de operação do Arbitrum mostra como essa combinação funciona em uma rede de grande escala, claramente demonstrando que a integridade não é um estado fixo, mas uma propriedade que deve ser continuamente verificada e mantida. $ARB $ETH $XRP $POL