日前Stargate跨链桥的底层协议LayerZero更新了默认的交易验证合约，经Cobo区块链安全团队分析，此次更新修复了之前版本中存在的严重漏洞，该漏洞可能导致所有依托LayerZero构建的跨链项目的资产受到影响。StargateFinance是近日最受人瞩目的跨链桥项目，截至发文时TVL已超过35亿美金。Stargate跨链桥底层基于LayerZero实现跨链消息传递。LayerZero完成跨链消息传递的基本原理是：Oracle会将源链上的blockhash和blockreceiptsRoot提交到目标链上Relayer会将源链上跨链消息所在交易的receipt以及该receipt与blockreceiptsRoot的路径关係提交到目标链上，此时目标链上的交易验证合约会基于EthereumMPT的依赖关係，对Relayer所提交的receipt和Oracle所提交的receiptsRoot的对应关係进行验证如果验证通过，该receipt被认为是合法的receipt，并向上层协议转发，触发后续的跨链资产操作LayerZero3月28日在未发表任何公告的情况下更新了跨链使用的验证合约。Cobo安全团队通过对比原始验证合约和新验证合约代码，发现本次更新是对之前重大安全漏洞的修复。补丁核心代码如下：
金融科技公司Tassat推出新的区块链产品Digital Interbank Network:金色财经报道，位于纽约的金融科技公司Tassat于周六推出了其新的区块链产品Digital Interbank Network，在其正式运营的前三个正式日内加入了三家银行并完成了超过 8 亿美元的交易。Tassat 创建了 TassatPay，这是一种基于区块链的私有商业银行解决方案，允许其商业客户一年365天、每天24/7 发送即时付款。自 2019 年以来，TassatPay 已为Signature Bank等客户处理了超过 5000 亿美元的交易。?[2022/10/4 18:38:52]
PRG游戏Stella Fantasy完成一轮私募轮融资，总融资额达到600万美元:9月13日消息，由区块链游戏开发商Ring Games开发的PRG游戏Stella Fantasy宣布完成一轮私募轮融资，总融资额达到600万美元，Krust Universe作为主要投资者参与本轮融资，其他投资者包括Animoca Brands、Planetarium以及Defiance Capital、Play Ventures、Double Peak、D Web3 Capital、GuildFi、Avocado DAO和PathDAO。
目前暂不清楚该总融资额是否包括RingGames在6月底宣布完成的500万美元融资。今年6月底，Ring Games宣布完成500万美元融资。[2022/9/13 13:26:42]
原始漏洞代码在进行MPT验证时，通过外部传入的pointer来获取下一层计算所用到的hashRoot。这裡使用solidity底层add,mload等汇编指令从proofBytes中获取hashRoot，由于没有限制pointer在proofBytes长度内，因此攻击者可以通过传入越界的pointer，使合约读取到proofBytes以外的数据作为下一层的hashRoot。这样就存在伪造hashRoot的可能，进一步导致伪造的交易receipt可以通过MPT验证。最终可造成的后果是，在Oracle完全可信的前提下，Relayer仍可以单方面通过伪造receipt数据的方式来实现对跨链协议的攻击，打破了LayerZero之前的安全假设。目前LayerZero协议的Oracle是一个类似多签的合约，三位admin中的两位提交相同的数据后，会被认为数据是有效的。但是Relayer是单签EOA控制，任何一个Relayer都可以提交攻击数据，完成所有的攻击流程。补丁后的代码使用传入的path并使用safeGetItemByIndex函数获取MPT下一层的hashRoot，保证了hashRoot存在于当前的proofBytes中，从而可以使MPT验证正确的进行下去。此次爆出漏洞的代码是LayerZero协议中最核心的MPT交易验证部分的代码，是整个LayerZero及上层协议正常运作的基石。虽然LayerZero项目方已经修复了目前明显的漏洞，但是不排除还存在其他被攻击漏洞的可能性。此外，LayerZero项目的关键合约目前大都还被EOA控制，没有採用多签机制或者时间锁机制。如果这些特权EOA的私钥一旦泄漏，也可能会导致所有上层协议的资产受到影响。在此，Cobo区块链安全团队提醒投资者注意新项目的风险，同时呼吁LayerZero项目方在对合约代码进行深度审计的同时，也尽快将目前EOA控制的特权转移给多籤或者时间锁合约，减少攻击风险敞口。Reference：https://eth.wiki/fundamentals/patricia-treehttps://etherscan.io/tx/0xf4f0495bfed37d4d95b3342ead0962433c7973f240b9b0739faa91e6ccac9d40https://www.diffchecker.com/RJdDTCx7
Web3游戏STELLA FANTASY完成600万美元融资，KRUST UNIVERSE参投:9月13日消息，据外媒报道，RING GAMES旗下Web3游戏STELLA FANTASY宣布完成600万美元融资，韩国互联网巨头Kakao旗下公链KLAYTN主网开发商兼KLAYTN生态系统孵化器KRUST UNIVERSE参投。RINGGAMES首席执行官JoohoYUN透露，在KRUSTUNIVERSE支持下，预计能在年内为全球游戏玩家推出一款真正的P2E游戏，此外STELLA FANTASY第一次NFT预售将于9月14日开启。（雅虎财经）[2022/9/13 13:25:16]
动态 | Electroneum将于1月底上线其自由职业平台AnyTask的测试版本:英国加密项目Electroneum表示，他们在自由职业平台AnyTask上取得了很大进展。在1月10日的一份声明中，Electroneum表示，经过两个成功的测试阶段后，这个自由平台已经准备好发布了。Electroneum补充说，已经确认该平台处于良好的状态，这意味着该平台将在1月底前上线测试。据悉，与Fiverr类似，AnyTask是一个自由职业平台，旨在支持发展中国家的居民。在AnyTask上，用户可通过他们提供的服务获得加密货币。（News Logical）[2020/1/11]
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。