Cobo安全團隊：Stargate跨鏈橋的底層協議LayerZero重大安全漏洞分析_LAYER

日前Stargate跨鏈橋的底層協議LayerZero更新了默認的交易驗證合約，經Cobo區塊鏈安全團隊分析，此次更新修復了之前版本中存在的嚴重漏洞，該漏洞可能導致所有依托LayerZero構建的跨鏈項目的資產受到影響。StargateFinance是近日最受人矚目的跨鏈橋項目，截至發文時TVL已超過35億美金。Stargate跨鏈橋底層基于LayerZero實現跨鏈消息傳遞。LayerZero完成跨鏈消息傳遞的基本原理是：Oracle會將源鏈上的blockhash和blockreceiptsRoot提交到目標鏈上Relayer會將源鏈上跨鏈消息所在交易的receipt以及該receipt與blockreceiptsRoot的路徑關係提交到目標鏈上，此時目標鏈上的交易驗證合約會基于EthereumMPT的依賴關係，對Relayer所提交的receipt和Oracle所提交的receiptsRoot的對應關係進行驗證如果驗證通過，該receipt被認為是合法的receipt，并向上層協議轉發，觸發后續的跨鏈資產操作LayerZero3月28日在未發表任何公告的情況下更新了跨鏈使用的驗證合約。Cobo安全團隊通過對比原始驗證合約和新驗證合約代碼，發現本次更新是對之前重大安全漏洞的修復。補丁核心代碼如下：

Cobo COO：目前有140家企業正在申請香港虛擬資產交易所牌照:6月19日消息，Cobo首席運營官Lily Z King表示，截止到目前，香港只有兩家企業此前已經獲得虛擬資產交易所業務所需的牌照，包括9號牌在內，目前還有140家企業在申請。Lily透露，牌照申請以及合規運營的成本非常昂貴，“每年的營運成本可能在2000萬港幣左右，初期成本可能在3000萬至4000萬港幣。”如果參考國外的情況，日本在剛開始發牌時有超過100家公司申請，結果拿到牌照的不超過20家，最后持續經營的大概只有4至5家。

此前消息，Cobo COO表示，香港虛擬資產業務牌照申請者中包括很多傳統金融企業。[2023/6/19 21:47:29]

神魚：Cobo 2022年將大力推動DeFi合規基金和DaaS鏈上業務:據官方消息，神魚在Cobo內部發出全員信，在全員信中神魚表示2021年是無窮的行業的機會與更大力度的政策壁壘相互交織的一年，同時并表示2022年Cobo將增強自身合規意識、積極擁抱監管、正確的處理好合規與發展的關系。目前正在新加坡和香港申請相關的合規牌照，同時也在不斷探索歐洲及美國地區的合規化途徑。

并在全員信中表達了對于Cobo的未來戰略規劃，將繼續堅持區塊鏈基礎設施中間鍵的戰略目標，大力發展DaaS、DeFi Fund和WaaS等多個優勢，深化自身技術安全及用戶安全意識培養。并將70%-80%的戰略重心放在已有和即將深耕的領域，分出20%-30%的精力會去做一些探索性的業務。[2022/1/5 8:26:56]

原始漏洞代碼在進行MPT驗證時，通過外部傳入的pointer來獲取下一層計算所用到的hashRoot。這裡使用solidity底層add,mload等匯編指令從proofBytes中獲取hashRoot，由于沒有限制pointer在proofBytes長度內，因此攻擊者可以通過傳入越界的pointer，使合約讀取到proofBytes以外的數據作為下一層的hashRoot。這樣就存在偽造hashRoot的可能，進一步導致偽造的交易receipt可以通過MPT驗證。最終可造成的后果是，在Oracle完全可信的前提下，Relayer仍可以單方面通過偽造receipt數據的方式來實現對跨鏈協議的攻擊，打破了LayerZero之前的安全假設。目前LayerZero協議的Oracle是一個類似多簽的合約，三位admin中的兩位提交相同的數據后，會被認為數據是有效的。但是Relayer是單簽EOA控制，任何一個Relayer都可以提交攻擊數據，完成所有的攻擊流程。補丁后的代碼使用傳入的path并使用safeGetItemByIndex函數獲取MPT下一層的hashRoot，保證了hashRoot存在于當前的proofBytes中，從而可以使MPT驗證正確的進行下去。此次爆出漏洞的代碼是LayerZero協議中最核心的MPT交易驗證部分的代碼，是整個LayerZero及上層協議正常運作的基石。雖然LayerZero項目方已經修復了目前明顯的漏洞，但是不排除還存在其他被攻擊漏洞的可能性。此外，LayerZero項目的關鍵合約目前大都還被EOA控制，沒有採用多簽機制或者時間鎖機制。如果這些特權EOA的私鑰一旦泄漏，也可能會導致所有上層協議的資產受到影響。在此，Cobo區塊鏈安全團隊提醒投資者注意新項目的風險，同時呼吁LayerZero項目方在對合約代碼進行深度審計的同時，也盡快將目前EOA控制的特權轉移給多籤或者時間鎖合約，減少攻擊風險敞口。Reference：https://eth.wiki/fundamentals/patricia-treehttps://etherscan.io/tx/0xf4f0495bfed37d4d95b3342ead0962433c7973f240b9b0739faa91e6ccac9d40https://www.diffchecker.com/RJdDTCx7

英國倫敦法院允許澳本聰對Cobra提起版權侵權訴訟:英國倫敦法院允許澳本聰對bitcoin.org網站的共同所有者Cobra提起版權侵權訴訟。澳本聰現在可以嘗試對Cobra提起訴訟，盡管被告可能居住在國外并且未透露姓名、身份或地址。法庭文件顯示，Cobra于1月20日在推特上向澳本聰的律師Ontier表示：“Bitcoin.org不基于英國，澳本聰對白皮書的版權主張可以很容易地被證實是虛假的”。澳本聰則指控Cobra錯誤地控制了bitcoin.org網站，并要求該網站刪除比特幣白皮書。Ontier律師代表表示：“本案將取決于法院是否相信澳本聰是比特幣白皮書的作者，擁有該白皮書的版權，并因此是中本聰”。目前尚不清楚Cobra是否會披露其身份，以捍衛這一主張，并避免出現有利于澳本聰的判決。此前Bitcoin.org官方表示，Bitcoin.org擁有托管比特幣白皮書的合法權利，將繼續托管比特幣白皮書，抵制虛假指控。（路透社）[2021/4/23 20:49:30]

Onchain Alfa1與Cobo Custody達成戰略合作:近日，數字資產管理機構Alfa1與數字資產托管平臺Cobo Custody達成戰略合作。雙方將在數字資產增值服務、風險管理等方向進行探索合作，共同推進資產管理新生態。

Alfa1為Onchain集團成員，核心團隊由國內外知名金融機構的高管、區塊鏈、金融科技及證券期貨交易專家組成。

Cobo Custody是面向全球機構客戶與合格投資者的錢包開發及數字資產托管服務。作為亞洲最大的托管機構，以最高安全級的HSM加密機、多重簽名及冷熱分離存儲為安全保障基礎，已服務于交易所、錢包、資管平臺等200多家機構客戶。[2020/5/18]

Tags：COBLAYERROOZERCobrabytesReady Player OnezkProofZeroFi

火必下載