木星链 木星链
Ctrl+D收藏木星链

OSMO:Cosmos联合创始人:一个密码学漏洞引发的币安跨链桥攻击

作者:

时间:1900/1/1 0:00:00

原文作者:Cosmos联合创始人EthanBuchman

关于币安黑客事件的一些想法。Binance是Cosmos软件的最大用户,他们运营着一个价值数百亿美元的平台,但没有对核心软件做出有意义的贡献或参与。从这里发生的事情中,我们可以学到很多。

你可能看到了samczsun的优秀推文贴展示了这个问题。https://twitter.com/samczsun/status/1578167198203289600?让我们尝试补充一些有关情况的详细信息。

The Sandbox投资区块链媒体与合作公司Cosmo Media Labs:9月16日消息,元宇宙平台The Sandbox宣布对区块链媒体与合作公司Cosmo Media Labs进行投资,具体投资金额暂未披露。Cosmo Media Labs希望利用其品牌内容策略来弥合新旧媒体之间的差距,后续还将在The Sandbox内构建元宇宙社交和数字体验中心。

The Sandbox首席执行官Sebastien Borget表示,投资Cosmo Media Labs可以让他们在媒体之间架起一座桥梁,更好地利用Web3力量来塑造元宇宙文化。(list23)[2022/9/16 7:01:02]

一个官方防御补丁已发布在这里:https://forum.cosmos.network/t/cosmos-sdk-security-advisory-dragonfruit/7614

Tendermint CEO:2022年底前Cosmos 原生跨链协议IBC将支持30条链:金色财经报道,据 Cosmos 生态系统核心贡献者、Tendermint 首席执行官 Peng Zhong 透露,目前 Cosmos 原生跨链协议 IBC 已支持 20 多条链,比如 Osmosis、Cosmos Hub 和 Terra 等,预计在 2022 年底前,IBC 协议将支持约 30 条链,到 2023 年底前,这一数字将超过 200。Peng Zhong 称:“以太坊有智能合约,一条链上存在数以万计的智能合约,但在 Cosmos 中,可能会有数以万计的以太坊,其中每个链上都有数以万计的合约。”[2022/1/7 8:31:04]

友情提醒:如果你发现Cosmos软件存在潜在漏洞,请遵循我们负责任的披露流程:

https://github.com/cosmos/cosmos-sdk/blob/main/SECURITY.md

火币全球站已暂停ATOM(Cosmos)充提业务:官方消息,由于ATOM钱包升级,火币全球站已暂停ATOM(Cosmos)的充提业务。[2021/6/24 0:02:06]

问题的症结在于黑客能够伪造一个默克尔证明,这不应该是可实现的-默克尔证明应该是高度安全的。区块链轻客户端建立在默克尔证明之上,因此正确处理它们很重要。

默克尔证明是数据存储中存在某些键值对的密码学证明,我们可以称之为“包含证明”。很多区块链将其数据存储在一棵默克尔树中,以便可以生成证明某些数据包含在树中的证明。

默克尔证明在IBC中被大量使用,例如,一个区块链可以证明它有一个指向另一个区块链的数据包。当然,如果你可以证明某些数据在树中,但实际上并没有,那将是一个大问题。而这就是在Binance身上发生的事。

Cosmos生态突发高额Slash惩罚,超过200万KTSt代币被销毁:北京时间2020年11月19日,Cosmos生态下的Kratos网络发生首起巨额Slash事件,四个Kratos验证节点疑似因对区块657926进行双重签名(Dobule Signing), 触发了Kratos系统的Slash机制,超过200万枚KTSt在此次节点惩罚中被销毁。Kratos是去中心化金融平台库币公链KuChain的试验网络,凭借推动金融创新、求证创意落地的技术理念,在Cosmos生态中受到广泛关注,目前正处于测试阶段。[2020/11/20 21:32:31]

Cosmos链使用一种称为IAVL的默克尔树,它位于IAVL存储库中。它附有一首关于默克尔树有多棒的诗。IAVL是一个自定义的默克尔化平衡二叉搜索树,它类似于以太坊的帕特里夏树。

动态 | 海尔将应用区块链等技术优化其工业互联网平台COSMOPlat:据人民网3月18日消息,近日,在海尔产城创生态发布会上,海尔工业互联网平台COSMOPlat与生态资源企业代表就laaS平台、PaaS平台、大数据平台、AI平台、物联网平台、开发者社区及COSMO APP STOre等平台核心版块,结合区块链等新技术领域技术优势,共同拓展工业互联网平台在装备制造、航空航天、生物医药、钢铁化工、电子信息、教育培训等行业的应用与推广,建立生态合作。[2019/3/18]

https://github.com/cosmos/iavl/blob/master/POEM

每个区块链开发人员在接触这些结构的架构和算法时,都不得不陷入默克尔树的疯狂之中。

IAVL存储库公开了一个API,用于使用一个“RangeProof”对象构建和验证证明。一个范围证明用于证明某些范围的key在默克尔树中并列存在。

一个范围证明还可用于证明单个键值对,或证明某个键不在树中。

IAVL存储库将RangeProof对象用于所有三种证明。但事实证明RangeProof的内部工作存在一个严重漏洞。

一个证明应该由一个子叶节点和一系列内部节点组成,这些节点勾勒出从子叶到根的路径,并具有足够的信息来计算树的merkle根哈希并验证子叶实际上是树的一部分。

由于这是一棵二叉树,所以每个内部节点都可以有一个左分支和右分支。但是在证明中,你是在树中跟踪路径,因此内部节点应该只包含其左分支或右分支哈希。另一个是由证明中其他节点的哈希构造的。

这就是IAVLRangeProof的代码遇到问题的地方。IAVLRangeProof允许填充InnerNode中的Left和Right字段。而这不应该发生。

攻击者基本上利用了将信息粘贴到Right字段中的优势,它们从未经过验证,也从未影响哈希计算,从而使验证者相信某些子叶是树的一部分。因此,他们成功地伪造了一个默克尔证明。

值得注意的是,这个问题取决于攻击者能否将子叶添加到单个证明中,因为RangeProof允许你一次证明多个子叶。因此,即使你的协议只希望一次证明一个key,使用RangeProof也会为攻击者打开攻击面。

所以使用RangeProof并不是一个好主意。但是我们也可以提出一个简单的防御措施——如果任何内部节点同时填充了Left和Right字段,则预先拒绝证明。这样做应该可以解决这个问题。

虽然RangeProof是一个核心Cosmos存储库(IAVL)的一部分,但它实际上并未用于Cosmos堆栈内的区块链协议中。IAVL树本身被所有CosmosSDK链使用,但RangeProofs并没有。这是理解的关键!

相反,对于IBC中的默克尔证明,开发者按照IBC标准设定的更严格的流程开发了一个新规范。该规范称为「ICS23」,它位于IBC规范存储库中:https://github.com/cosmos/ibc中。

那什么是ICS23?这是支持多种默克尔树的默克尔证明的通用标准。ICS23定义了一种用于序列化和验证默克尔证明的通用格式。

IBC没有使用IAVL树的内置RangeProof系统,而是使用ICS23标准来生成和验证IAVL树的默克尔证明。而ICS23代码中并没有这个漏洞。

这不仅仅是使用不同的代码,并因此侥幸躲过一劫的问题。这代表了一种根本不同的软件工程方法。

ICS23遵循更严格的设计流程,旨在最大限度地减少攻击面,同时仍然是通用的,这是一项艰巨的任务!作为其中的一部分,它明确地拒绝了rangeproofs,ICS23中并没有rangeproofs。

因此,该漏洞本身在ICS23规范中是不可接受的,这是好的,IBC的目标是使跨链通信更加安全。

当然,IBC规范和协议可能并不完善,并将继续改进。作为一个复杂的协议和软件实现,它甚至可能存在我们社区必须应对的尚未被发现的漏洞,安全需要一个社区。

我们都必须认真对待安全。如果发现潜在漏洞,请负责任地披露:https://github.com/cosmos/cosmos-sdk/blob/main/SECURITY.md。

如果你可以为改进软件和协议做出贡献,我们邀请您这样做!

总的来说,这次事件是一个机会,它提醒了大家在软件开发生命周期中加强安全实践的重要性,传播一些关于IBC是什么及其工作方式的一些认识,并邀请整个生态来帮助改进IBC。

跨链桥黑客对我们的行业来说是一个真正的问题,如果不认真致力于更高的安全性和标准流程,它们就不会变得更好。让IBC成为一个光辉的例子。

这里还有一个关于使用开源软件的重要教训:遵循最佳实践,保持最新状态,并向上游贡献资源!很高兴看到binance成为更负责任和协作的生态参与者!

标签:OSMOOSMCOSCOSMosmosis币想要实现什么3X Long Cosmos TokenECOSCCosmik Finance

比特币价格实时行情热门资讯
MIC:美联储“疯狂”加息周开启 高盛预测降息或需等到 2024 年

投资者正在为更“疯狂”的加息做准备。周一,10年期美国国债收益率跃升至3.5%以上,创2011年以来最高水平,美联储将在9月20日至21日开启为期两天的会议,市场普遍预计官员们将在美东时间周三下.

1900/1/1 0:00:00
NFT:深度长文:Web3时代 品牌应该如何把握新机遇?(上篇)

最近看了很多讲Web3怎么助力品牌营销的长文,收获颇丰。但分享给还在一线做品牌的小伙伴,收到的反馈却是:还是看不懂,你就直接告诉我咋搞,怎么搞,有没有什么成功案例可以参考?效果好不好?这倒是提醒.

1900/1/1 0:00:00
以太坊:以太坊合并后:英伟达受难 “矿工”暴富梦终结

在全世界的注视下,世界第二大虚拟货币以太坊正式从PoW转为PoS机制,完成了业界革命的“TheMerge”合并升级.

1900/1/1 0:00:00
COS:逐页解读白皮书 Cosmos 2.0 强在哪里?

原文作者:CharlieMorris原文编译:Jack(0×137),BlockBeats新的Cosmos白皮书刚刚发布.

1900/1/1 0:00:00
WEB:社交没有终局:听三位 SocialFi 创业者聊他们的故事

社交,全称社会交往。书面定义为「个体之间相互往来,进行物质、精神交流的社会活动」。社交中,人与人之间分享着观点、情绪、经验。人是社会性动物.

1900/1/1 0:00:00
EFI:一文读懂开放金融不可或缺的 DeFi 保险

银行、证券、保险是支撑传统金融行业运作的三驾马车。银行业目前估值8.4万亿美金,证券业目前估值100万亿美金,保险业估值5.5万亿美金.

1900/1/1 0:00:00