Polygon hat eine Reihe von Sicherheitslücken offengelegt, die bereits durch jüngste Netzwerk-Upgrades behoben wurden, und präsentierte diesen Schritt als Maßnahme zur Transparenz, räumte jedoch ein, dass die zugrunde liegenden Fehler vor dem Einsatz der Fixes ein echtes Risiko darstellten. Die Offenlegung beleuchtet eine wiederkehrende Spannung bei Sicherheitsproblemen von Polygon: einerseits schnelle Behebung, andererseits verzögerte öffentliche Details. Diese Spannung ist nicht allein auf Polygon beschränkt – koordiniertes Disclosure, bei dem Fixes veröffentlicht werden, bevor Details an die Öffentlichkeit gelangen, damit Angreifer bekannte Fehler nicht gegen ungepatchte Netzwerke ausnutzen können, ist in der Blockchain-Branche Standardpraxis. Sie lässt jedoch stets ein Zeitfenster, in dem Nutzer das Risiko, das sie tragen, nicht einschätzen können.

Laut Polygons eigener Darstellung des jüngsten Netzwerk-Upgrades wurden die Lücken auf Protokollebene und nicht durch Nutzeraktionen behoben. Der Upgrade-Pfad betraf den Bor-Client, der die Blöcke im Netzwerk erzeugt – das heißt, der Fix wurde in der Kern-Knoten-Software und nicht in einzelnen Smart Contracts implementiert. Bor ist die Block-produzierende Komponente von Polygon PoS, einem der am weitesten verbreiteten Ethereum-Scaling-Netzwerke, weshalb eine Schwachstelle auf dieser Ebene die Chain selbst betrifft und nicht nur eine einzelne darauf aufbauende Anwendung.

Das folgenreichste Problem, das Polygon bis heute offengelegt hat, war eine Schwachstelle auf Genesis-Ebene, die Berichten zufolge vor ihrer Behebung rund 9 Milliarden US-Dollar an MATIC gefährdete. Diese Einordnung unterstreicht den Schweregrad: Die Exposition betraf Guthaben auf Netzwerkebene, nicht bloß die Verfügbarkeit oder eine einzelne Anwendung. White-Hat-Hacker hatten im Dezember 2021 tatsächlich einen verwandten Fehler auf Polygon PoS ausgenutzt und vor dem Live-Gang des Patches über 800.000 MATIC gestohlen – ein Vorfall, der die Praxis des bounty-finanzierten Disclosures im Netzwerk verfestigte.

Was die Hard Forks tatsächlich verändert haben

Die Behebung erfolgte als koordiniertes Bor-Client-Upgrade und nicht als Vertragsmigration, wie in Polygons Thread zum v0.2.12-Mainnet-Upgrade dargelegt. Da die Änderung bei einer bestimmten Blockhöhe aktiviert wurde, mussten Validatoren und Knotenbetreiber ihre Software aktualisieren, damit der Fix wirksam wurde.

Diese Abhängigkeit vom Handeln der Betreiber ist der praktische Haken. Ein Hard Fork schließt die Schwachstelle erst, sobald eine Supermehrheit der Validatoren den gepatchten Client ausführt – das Upgrade ist damit ebenso sehr ein Test von Polygons Koordination wie von dessen Code.

Unabhängige Forscher waren Teil des Prozesses. Der Sicherheitsforscher Nathan Worsley verwies öffentlich auf seinem X-Konto auf Arbeiten im Zusammenhang mit der Schwachstelle – eines der externen Signale, dass der Fehler ernst genug war, um eine Notfallreaktion statt einer routinemäßigen Veröffentlichung zu rechtfertigen.

Die Bug-Bounty und was sie signalisiert

Polygons Offenlegung geht mit einer der größten Auszahlungen in der Geschichte des Ökosystems einher. Ein Bug-Fix-Review dokumentiert eine Bounty von 2,2 Millionen US-Dollar im Zusammenhang mit einer fehlenden Guthabenprüfung – einer Fehlerklasse, die es ermöglichen kann, Werte zu verschieben, ohne dass die entsprechenden Mittel existieren. Die Auszahlung wurde über Immunefi abgewickelt, die Bug-Bounty-Plattform, die viele große Krypto-Projekte nutzen, um Schwachstellenmeldungen an Teams weiterzuleiten, bevor Details öffentlich werden.

Die Bullen-These ist einfach: Eine bezahlte Bounty, ein gepatchter Client und eine öffentliche Darstellung sind die Mechanismen eines funktionierenden Disclosure-Prozesses, der wie vorgesehen arbeitet. Die Bären-These lautet, dass die Details erst nachträglich kamen – und eine verzögerte Offenlegung bleibt relevant, denn Nutzer, die während des Expositionsfensters Transaktionen tätigten, konnten ein Risiko, dessen Existenz sie nicht kannten, nicht abwägen.

Worauf Nutzer und Entwickler achten sollten

Für gewöhnliche Nutzer ist keine Aktion erforderlich, sobald die Validatoren die gepatchte Software übernommen haben, da die Änderung auf der Knotenebene und nicht in Wallets oder Freigaben liegt. Börsen verfolgen solche Upgrades in der Regel direkt, wie sich zeigte, als Bybit ein späteres Polygon-Netzwerk-Upgrade unterstützte – oft das deutlichste Signal dafür, dass ein Upgrade operativ überstanden ist. Entwickler, die auf Polygon deployen, sehen sich einer ähnlichen Dynamik gegenüber: Ihre eigenen Verträge benötigen weiterhin unabhängige Audits, da Patches auf Client-Ebene keine Anwendungssicherheit ersetzen.

Die offenen Fragen betreffen die Vollständigkeit. Polygons öffentliches Material bestätigt, dass die Fixes ausgeliefert wurden, doch die Unterlage, die diese Darstellung stützt, legt keine vollständige Zeitleiste fest, wann jeder Fehler gefunden und wann er offengelegt wurde – und diese Lücke sollten Leser weiterhin im Blick behalten.

Hinweis: Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Krypto- und Digitalkassetmärkte bergen erhebliche Risiken. Treffen Sie Entscheidungen erst nach eigener Recherche.