日前Stargate跨链桥的底层协议LayerZero更新了默认的交易验证合约，经Cobo区块链安全团队分析，此次更新修复了之前版本中存在的严重漏洞，该漏洞可能导致所有依托LayerZero构建的跨链项目的资产受到影响。StargateFinance是近日最受人瞩目的跨链桥项目，截至发文时TVL已超过35亿美金。Stargate跨链桥底层基于LayerZero实现跨链消息传递。LayerZero完成跨链消息传递的基本原理是：Oracle会将源链上的blockhash和blockreceiptsRoot提交到目标链上Relayer会将源链上跨链消息所在交易的receipt以及该receipt与blockreceiptsRoot的路径关係提交到目标链上，此时目标链上的交易验证合约会基于EthereumMPT的依赖关係，对Relayer所提交的receipt和Oracle所提交的receiptsRoot的对应关係进行验证如果验证通过，该receipt被认为是合法的receipt，并向上层协议转发，触发后续的跨链资产操作LayerZero3月28日在未发表任何公告的情况下更新了跨链使用的验证合约。Cobo安全团队通过对比原始验证合约和新验证合约代码，发现本次更新是对之前重大安全漏洞的修复。补丁核心代码如下：
Cobra：“Bitcoin Wallet”克隆版钱包正在窃取用户金钱:Bitcoin.org网站共同所有者Cobra凌晨发推称，一个钱包在GooglePlay上被持续下载，它是现有“Bitcoin Wallet”的克隆版。它把bitcoin.org作为其联系方式，但是两者并没有关系，并且它正在从用户那里窃取金钱。[2020/11/30 22:31:18]
动态 | 新型加密恶意软件“WebCobra”出现 挖矿Monero或Zcash:网络安全研究实验室McAfee Labs的研究人员最近透露，一种被称为“WebCobra”的新型加密恶意软件正在感染用户的机器，使其暗中挖矿Monero (XMR)或Zcash (ZEC)。[2018/11/15]
原始漏洞代码在进行MPT验证时，通过外部传入的pointer来获取下一层计算所用到的hashRoot。这裡使用solidity底层add,mload等汇编指令从proofBytes中获取hashRoot，由于没有限制pointer在proofBytes长度内，因此攻击者可以通过传入越界的pointer，使合约读取到proofBytes以外的数据作为下一层的hashRoot。这样就存在伪造hashRoot的可能，进一步导致伪造的交易receipt可以通过MPT验证。最终可造成的后果是，在Oracle完全可信的前提下，Relayer仍可以单方面通过伪造receipt数据的方式来实现对跨链协议的攻击，打破了LayerZero之前的安全假设。目前LayerZero协议的Oracle是一个类似多签的合约，三位admin中的两位提交相同的数据后，会被认为数据是有效的。但是Relayer是单签EOA控制，任何一个Relayer都可以提交攻击数据，完成所有的攻击流程。补丁后的代码使用传入的path并使用safeGetItemByIndex函数获取MPT下一层的hashRoot，保证了hashRoot存在于当前的proofBytes中，从而可以使MPT验证正确的进行下去。此次爆出漏洞的代码是LayerZero协议中最核心的MPT交易验证部分的代码，是整个LayerZero及上层协议正常运作的基石。虽然LayerZero项目方已经修复了目前明显的漏洞，但是不排除还存在其他被攻击漏洞的可能性。此外，LayerZero项目的关键合约目前大都还被EOA控制，没有採用多签机制或者时间锁机制。如果这些特权EOA的私钥一旦泄漏，也可能会导致所有上层协议的资产受到影响。在此，Cobo区块链安全团队提醒投资者注意新项目的风险，同时呼吁LayerZero项目方在对合约代码进行深度审计的同时，也尽快将目前EOA控制的特权转移给多籤或者时间锁合约，减少攻击风险敞口。Reference：https://eth.wiki/fundamentals/patricia-treehttps://etherscan.io/tx/0xf4f0495bfed37d4d95b3342ead0962433c7973f240b9b0739faa91e6ccac9d40https://www.diffchecker.com/RJdDTCx7
吴忌寒回应Cobra：请阅读中本聪关于51%攻击的分析:比特大陆CEO吴忌寒回应Bitcoin官论坛持有人Cobra吐槽：在修改原始白皮书前，请阅读中本聪关于51%攻击的分析，它并不会是比特币的终结者。今早Cobra表示：吴忌寒和杨海坡可轻松实现对比特币的51%攻击，彻底击垮1300亿美元网络。[2018/6/8]
COBE上线比特币期货在即 各币种普涨:明日COBE（芝加哥期货交易所）将正式上线BTC期货，根据交易平台Bitfinex数据显示，比特币最新成交价格102,166.45元，上涨幅度1.94%。全球数字货币市场早盘各币种普涨，LTC（莱特币）、XEM（新经币）走势尤其强劲，BTC与其余币种之间的跷跷板现象暂时消除。[2017/12/9]
NFT聚合器是近期NFT热潮中出现的一种新产品。它们允许收藏家在一次交易中批量买卖他们的NFT。GEM是目前最棒的NFT市场聚合平台。NFT生态痛点购买NFT的主要问题之一在于,限制了用户一次只能购买一个NFT.
1900/1/1 0:00:00背景 当我们再次谈论跨链赛道时,时间已经告诉了我们一个模糊而正确的答案：跨链并不是伪命题,反而是兵家必争之地。因此,在过去一年中,我们看到了诸多与跨链相关的项目完成融资,而且融资金额普遍是数千万美元.
1900/1/1 0:00:00本文来自Medium,Odaily星球日报译者|Moni 有什么办法能让每个人都能积极投入到健身运动之中？——这恐怕是自“健身”概念诞生以来,人类一直在努力解决的问题。事实上,无数健身行业的公司都在试图解决这个难题.
1900/1/1 0:00:00如果你能够明智地投资,那么加密货币可以给你带来改变生活的财富。但如果你的预算不多,你应该怎么投资才能获得更多的收益呢？接下来我将给铁子们介绍我的游戏手册,让你即使只有很少的预算也能发挥最大的作用.
1900/1/1 0:00:00本文经授权转自微信公众号晚点LatePost。 什么才是更好的互联网？很多人会回答：Web3。这个概念太火爆,躲都躲不开。可我们讨论Web3,不应该仅是为了热度。而是因为其中有一些真正值得探讨的事情.
1900/1/1 0:00:00合并 Kiln合并到底发生了什么？和主网一样,Kiln以单独的PoW链和PoS链启动。通过合并,它现在完全在PoS下运行.
1900/1/1 0:00:00
宇宙链