Polygon hat eine Reihe zuvor vertraulicher Sicherheitslücken öffentlich offengelegt, die sein Proof-of-Stake-Netzwerk hätten stören können. Das Unternehmen machte die Schwachstellen erst bekannt, nachdem es über die Hard Forks Austin und Kyoto Fixes bereitgestellt hatte.

Die Sicherheitslücken betrafen Polygons Clients Bor und Heimdall und umfassten Denial-of-Service-Risiken, Ressourcenerschöpfung bei Validatoren sowie Schwächen bei der Verarbeitung von Checkpoints und Milestones. Polygon erklärte, dass es keine Hinweise darauf gebe, dass die Schwachstellen auf der Mainnet ausgenutzt wurden. Bor dient als blockproduzierender Execution-Client von Polygon PoS, während Heimdall für Checkpoints und die Koordinierung der Validatoren zuständig ist. Schwachstellen in einer der beiden Komponenten wirken sich daher unmittelbar darauf aus, wie die Blockchain Konsens erreicht und dokumentiert.

Fixes vor der Offenlegung bereitgestellt

Polygon behob die Sicherheitslücken, bevor deren technische Details veröffentlicht wurden. Dieser Ansatz ermöglichte es den Entwicklern, die Fixes zu testen und zu aktivieren, ohne potenziellen Angreifern Vorwarnung zu geben. Er folgt dem in der Softwarebranche und bei großen Blockchain-Projekten weit verbreiteten Modell der koordinierten Offenlegung, bei dem technische Details zurückgehalten werden, bis die Patches breit eingesetzt sind, damit Forschungsergebnisse nicht zu Anleitungen für Angriffe werden.

Das schwerwiegendste Problem betraf Heimdall, wo eine speziell konstruierte Transaktion Validatoren zu übermäßigem Verarbeitungsaufwand zwingen konnte. Eine solche Aktivität hätte die Validatoren erheblich belasten und den Netzwerkbetrieb potenziell stören können.

Der Austin-Hard-Fork behob zwei separate Denial-of-Service-Risiken in Bor. Diese Schwachstellen hätten die Blockverarbeitung verlangsamen oder betroffene Knoten zum Absturz bringen können.

Polygon erklärte, dass die Upgrades vor der Aktivierung auf der Mainnet getestet wurden und die Offenlegung erst nach erfolgreicher Bereitstellung der Fixes erfolgte. Dadurch wurde das Risiko verringert, dass öffentlich bekannte Schwachstellendetails gegen nicht gepatchte Knoten eingesetzt werden. Es ist nicht das erste Mal, dass Polygon kritische Schwachstellen zunächst stillschweigend behoben und erst später offengelegt hat: Das Projekt hatte zuvor einen kritischen, bereits gepatchten Fehler in Bor erst bekannt gegeben, nachdem der Fix auf der Mainnet aktiv war – ein Muster der Sicherheitspraxis nach dem Prinzip „erst patchen, später offlegen“.

Knotenbetreiber vor Pflicht-Upgrade

Die Hard Forks bedeuteten auch eine unmittelbare Anforderung an Knotenbetreiber. Knoten, die nach den jeweiligen Aktivierungshöhen noch ältere Client-Versionen ausführen, sind aus dem Konsens gefallen und müssen upgraden, um wieder mit dem kanonischen Polygon-Netzwerk verbunden zu sein.

Polygon verlangt für Polygon-PoS-Knoten die Version Bor v2.10.0; Validatoren und Full Nodes müssen zudem Heimdall v0.11.0 ausführen. Beide Versionen sind auf der Mainnet bereits aktiv.

Die Offenlegung unterstreicht die Bedeutung koordinierter Sicherheitsreaktionen für Blockchain-Netzwerke. Zwar wurde in diesem Fall ein bestätigter Angriff auf die Mainnet vermieden, doch die betroffenen Schwachstellen hätten die Netzwerkverfügbarkeit gefährden können, wenn Angreifer sie zuerst entdeckt und ausgenutzt hätten.

Die Upgrades Austin und Kyoto erfüllten somit einen doppelten Zweck: als Sicherheitspatches und als kritische Wartungsschritte für Polygons Validator-Infrastruktur. Für Knotenbetreiber und Infrastrukturanbieter sind solche Fälle eine Erinnerung, Release Notes der Clients und Aktivierungshöhen genau zu verfolgen – wer einen obligatorischen Hard Fork verpasst, wird sofort vom Konsens getrennt, statt einen eingeschränkt funktionsfähigen Knoten zu betreiben.