Cosmos聯創：BNB Chain攻擊事件中黑客通過RangeProof偽造Merkle證明_COS

對于近日BSC跨鏈橋攻擊事件，Cosmos聯合創始人EthanBuchman在推特上表示，此次事件問題的關鍵在于黑客能夠偽造Merkle證明。這本不應該，因為Merkle證明應該提供高完整性。區塊鏈輕客戶端建立在Merkle證明之上，許多區塊鏈將數據存儲在Merkle樹中，這樣就可以生成證明，證明某些數據包含在樹中。幣安的情況是攻擊者能夠證明某些數據在樹中，但它實際上不在樹中。Cosmos鏈使用一種稱為IAVL的Merkle樹，IAVL存儲庫公開了一個使用范圍證明“RangeProof”的API，但事實證明RangeProof的內部工作存在嚴重錯誤。一個證明應該由一個葉節點和一系列內部節點組成，這些節點勾勒出樹中從葉到根的路徑，具有足夠的信息來計算樹的Merkle根哈希并驗證葉實際上是樹的一部分。因為這是一個二叉樹，所以每個內部節點都可以有一個左分支和右分支。但證明是通過跟蹤樹中的路徑，所以內部節點應該只包含其左分支或右分支哈希，另一個是根據證明中其他節點的哈希構造的。IAVLRangeProof的代碼問題在于其允許填充InnerNode中的Left和Right字段，攻擊者基本上利用了將信息粘貼到Right字段中的優勢，這些信息從未得到驗證，也從未影響哈希計算，以使驗證者相信某些葉節點是樹的一部分。因此，他們成功地偽造了Merkle證明。

Cocos-BCX對外宣布：請主網COCOS持有者進行資產遷移:近日，Cocos-BCX對外宣布主網將于6月底暫停，Cocos-BCX團隊將繼續深度擁抱以太坊大生態，并持續推出NFT與Layer2產品。

Cocos-BCX作為下一代游戲數字經濟平臺，于2021年春節推出了新春規劃，為了更好地適應當前行業發展，Cocos-BCX選擇擁抱當前生態最繁榮亦是區塊鏈游戲生態最繁榮的以太坊大生態，并優先擁抱幣安智能鏈BSC生態，以更好地推動區塊鏈游戲發展。

經過一個季度的良好融合發展，Cocos-BCX決定于6月底暫停主網運行，將更多的資金、精力專注于NFT與Layer2產品研發，并已經于4月28日暫停了主網節點與理事會收益，收益轉為NFT挖礦收益發放給所有參與者。[2021/4/29 21:11:22]

Buchman表示，雖然使用RangeProof不是一個好主意，但有一個方式或可以解決這個問題，即當任何內部節點同時填充了左右字段時，則預先拒絕證明。雖然RangeProof是核心Cosmos存儲庫(IAVL)的一部分，但它實際上并未用于Cosmos堆棧中的區塊鏈協議。IAVL樹本身被所有Cosmos-SDK鏈使用，但RangeProof不是。對于IBC中的Merkle證明，IBC沒有使用IAVL樹的內置RangeProof系統，而是使用ICS23標準從IAVL樹生成和驗證Merkle證明，ICS23代碼沒有這個漏洞，它可明確“拒絕”范圍證明。

COCOS 全球社區總規模超20萬人，國內社區總規模超過12萬人:在2020年8月1日舉辦的 Cocos-BCX ChinaJoy 老友會2020上，Cocos-BCX 全球社區貢獻者 Alvin 分享到，截止2020年7月30日，Cocos-BCX 全球社區總規模超過20萬人，國內社區總規模超過12萬人。其中，微信群人數超10萬，微信社區線上活動超70場，微信線上活動參與人數超100萬人，活動獎勵超1000萬 COCOS；Twitter 關注量超1.9萬；Telegram 總規模超4.6萬。[2020/8/1]

據悉，Cosmos舊版本存在RangeProof相關漏洞，目前Cosmos鏈經過多次迭代更新，根據Buchman的說法，雖然幣安是Cosmos軟件的最大用戶，但其不關注Cosmos進展，所以導致此次攻擊事件。

COS今日上線韓國交易平臺Bithumb:韓國交易平臺Bithumb Korea今日發布公告，將上線數字內容公鏈 Contentos（COS），并開通COS/KRW交易對。[2020/3/11]

Tags：COSCOCOCOCMERGridX EcosystemEncocoinplusShibacockEvimeria

XMR