Polygon maakt kwetsbaarheden bekend die via Austin- en Kyoto-forks zijn gedicht

Polygon Labs maakte op 29 augustus bekend dat het stilletjes beveiligingskwetsbaarheden had gedicht via twee hard forks: Austin op de Bor-client en Kyoto op Heimdall. De fixes werden privé uitgerold, gevalideerd op het Amoy-testnet en geactiveerd op het mainnet voordat de details publiek werden, aldus Decrypt’s verslag over de bekendmaking van Polygon.

De Austin-fork dichtte twee denial-of-service-paden in de blokverwerking. Een daarvan maakte het mogelijk voor een kwaadwillende blokproducent om peer-nodes te laten crashen door een blok te vullen met een overdimensioneerd datavaardigheid. Polygon stelt dat geen van de kwetsbaarheden op het mainnet is misbruikt en dat alle proactief zijn verholpen.

Kyoto pakte een bredere groep aan consensus-versterkende problemen aan. Het meest ernstige probleem, volgens de bekendmaking, had een aanvaller in staat kunnen stellen om met één geprepareerde transactie kostbare, gecoördineerde werklast af te dwingen over de gehele validatorset. De getroffen gebieden omvatten uitputting van validatorbronnen, evenals checkpoint- en milestone-verwerking, meldde Cointelegraph.

Dat onderscheid is van belang voor operators. Austin had betrekking op Bors blokverwerkingspad, terwijl Kyoto betrekking had op Heimdalls validator- en consensusfuncties. Beide upgrades zijn al actief en verplicht: Bor v2.10.0 is vereist voor alle Polygon PoS-nodes, en Heimdall v0.11.0 is vereist voor validators en full nodes. Operators hoeven geen state te migreren of opnieuw te synchroniseren.

Er zijn geen aanwijzingen dat POL-houders geld zijn kwijtgeraakt, en Polygon meldde geen waargenomen misbruik op het mainnet.

De bekendmaking legt ook een gat in de documentatie bloot. Het beschikbare verslag identificeert de fixes van Austin en Kyoto aan de hand van het type kwetsbaarheid en de clientversie, maar specificeert niet de individuele EIP’s, commits of codewijzigingen die elk pad hebben gedicht. Ook worden geen exacte activeringsdata voor beide forks gegeven, anders dan dat ze op Amoy zijn gevalideerd vóór de uitrol op het mainnet. Dat beperkt de mogelijkheid voor buitenstaanders om te beoordelen of de fixes transactielimieten, validatielogica of validatorplanning hebben veranderd.

De sterkste verdediging van Polygons aanpak is duidelijk: kwetsbaarheden die de consensus raakten, werden privé gepatcht, getest vóór activering, en pas bekendgemaakt nadat het netwerk als veilig werd beschouwd. Volgens de redactie verkleinde dit het tijdsvenster waarin een aanvaller had kunnen toeslaan, maar liet het handelaren en node-operators wel met minder openbare details over wat er precies is veranderd en wanneer.

POL werd zondag verhandeld rond $0,09983, een daling van 2,3% op de dag en 6,8% op weekbasis, volgens Decrypt. Cointelegraph noemde een daling van ongeveer 4% over de afgelopen week en een koers nabij $0,10. Het verschil tussen die weekcijfers bedraagt 2,8 procentpunt: 6,8% minus 4%. Geen van beide berichten legt een verband tussen deze koersbeweging en de bekendmaking van de kwetsbaarheden.