Polygon offenbart DoS-Schwachstellen, die durch die Hard Forks Austin und Kyoto behoben wurden
Wichtige Erkenntnisse
- •Polygon offenbarte Sicherheitslücken in seinen Bor- und Heimdall-Clients erst, nachdem diese durch die Hard Forks Austin und Kyoto behoben worden waren – gemäß der Praxis koordinierter Offenlegung.
- •Die schwerste Schwachstelle ermöglichte es, Validatoren von Heimdall durch eine gezielt konstruierte Transaktion zu übermäßigem Verarbeitungsaufwand zu zwingen und das Netzwerk potenziell zu beeinträchtigen.
- •Zwei DoS-Risiken in Bor konnten die Blockverarbeitung verlangsamen oder Nodes zum Absturz bringen – eine Gefahr für die Netzwerkverfügbarkeit, nicht jedoch für Guthaben.
- •Nach Angaben von Polygon wurde keine der Schwachstellen vor der Bereitstellung der Fixes auf dem Mainnet ausgenutzt.
- •Nodes müssen auf Bor v2.10.0 und Heimdall v0.11.0 aktualisieren, da ältere Versionen bereits aus dem Konsens gefallen sind.
Polygon hat mehrere zuvor vertrauliche Sicherheitslücken öffentlich offengelegt, die sein Proof-of-Stake-Netzwerk (PoS) hätten beeinträchtigen können – nachdem die Fixes bereits über zwei kürzlich durchgeführte Hard Forks ausgerollt worden waren. Das Vorgehen der koordinierten Offenlegung – zuerst beheben, später veröffentlichen – ist bei großen Blockchain-Teams gängige Praxis, um den Zeitraum zu minimieren, in dem Angreifer eine bekannte Schwachstelle ausnutzen könnten.
Laut einer am Donnerstag veröffentlichten Mitteilung des Validators-Support-Teams von Polygon Labs betrafen die Schwachstellen die Clients Bor und Heimdall und umfassten DoS-Risiken (Denial of Service), Ressourcenerschöpfung von Validatoren sowie Fehler bei der Verarbeitung von Checkpoints und Milestones. Bor fungiert als blockproduzierender Client von Polygon PoS, während Heimdall die Checkpoints an Ethereum verarbeitet – beide sind somit zentral für den Betrieb des Netzwerks.
Polygon erklärte, die Schwachstellen seien durch die Hard Forks Austin und Kyoto behoben worden, die zunächst privat bereitgestellt und ausgiebig getestet wurden, bevor sie auf dem Mainnet aktiviert und öffentlich offengelegt wurden.
Das schwerste Problem betraf Heimdall: Eine gezielt konstruierte Transaktion konnte Validatoren zu übermäßigem Verarbeitungsaufwand zwingen und das Netzwerk potenziell beeinträchtigen. Darüber hinaus behob der Austin-Hard-Fork zwei DoS-Risiken in Bor, die die Blockverarbeitung verlangsamen oder Nodes zum Absturz bringen konnten. DoS-Schwachstellen dieser Art ermöglichen in der Regel keinen Diebstahl von Guthaben, können jedoch die Verfügbarkeit des Netzwerks beeinträchtigen – ein Anliegen für die Anwendungen und Nutzer, die auf Polygon PoS setzen, eines der am weitesten verbreiteten Ethereum-Scaling-Netzwerke.
Polygon teilte mit, dass keine der Schwachstellen auf dem Mainnet ausgenutzt wurde, und betonte, die Fixes seien vorsorglich bereitgestellt worden, bevor die Details veröffentlicht wurden.
In der Mitteilung wurde davor gewarnt, dass Nodes mit älteren Versionen eines der beiden Clients nach Erreichen der Aktivierungshöhen der Hard Forks bereits aus dem Konsens gefallen sind und aktualisiert werden müssen, um dem kanonischen Netzwerk wieder beizutreten. Für alle Polygon-PoS-Nodes ist Bor v2.10.0 erforderlich, für Validatoren und Full Nodes Heimdall v0.11.0. Beide Upgrades sind auf dem Mainnet bereits aktiv.
POL, der native Token von Polygon, der früher als MATIC bekannt war, notierte zum Redaktionsschluss bei rund 0,10 USD – etwa 4 % unter dem Kurs der Vorwoche, jedoch 44 % über dem Vormonat und 2,3 % seit Jahresbeginn, laut Daten von CoinGecko.
Magazine: SHRINCS BIP published: Quantum-secure Bitcoin comes with a catch
