Polygon Labs hat stillschweigend zwei Hard Forks veröffentlicht, die eine Reihe von Sicherheitsproblemen in seinem Proof-of-Stake-(PoS)-Netzwerk behoben haben.

Das Layer-2-Netzwerk stellte die Einzelheiten später in einem Forum-Post bereit. Alle Node-Betreiber müssen ein Upgrade durchführen, andernfalls werden sie aus dem Netzwerk-Konsens ausgeschlossen.

Austin-Fork verhindert das Senden des TxDependency-Felds

Der schwerwiegendste Fehler lag in Heimdall, der Software, die die Polygon-Validatoren koordiniert.

Laut einem Forum-Post von Parvez03 bündelt Heimdall den Inhalt jeder Transaktion in einem Wrapper namens google.protobuf.Any.

Ein Wrapper kann in einem anderen liegen, ähnlich wie Kisten in andere Kisten gepackt werden. In diesem Fall gab es jedoch keine Begrenzung dafür, wie tief die Verschachtelung gehen konnte.

Ein Angreifer konnte für nahezu keine Kosten eine einzelne Transaktion mit solchen Ebenen versehen und damit Validatoren dazu zwingen, Rechenleistung mit dem Entpacken zu verschwenden.

Polygon beschrieb die Schwachstelle als „a permissionless way to force costly, correlated work across the whole validator set.“ Die Behebung ist wichtig, weil die Koordinierungssoftware der Validatoren im kritischen Pfad des Netzwerks liegt: Wenn sie zu unnötiger Arbeit gezwungen werden kann, kann das die Zuverlässigkeit des Konsenses beeinträchtigen, selbst wenn keine Gelder direkt gefährdet sind.

Der Hard Fork Kyoto aktualisierte Heimdall auf v0.11.0.

„Kyoto adds a byte-level pre-scan that rejects a transaction once its nesting passes a threshold, enforced identically at mempool admission ( CheckTx ) and on the consensus path ( ProcessProposal ),“ hieß es im Post.

Polygon prüft zweimal: wenn eine Transaktion eintrifft, und wenn Validatoren den Block erstellen.

Der zweite Hard Fork, Austin, konzentrierte sich auf Bor, den Ausführungsclient von Polygon. Er behob zwei Denial-of-Service-Pfade.

Einer betraf State-Sync-Ereignisse, den Prozess, der L1-zu-L2-Bridge-Einzahlungen überträgt. Diese Ereignisse führen Vertragscode und Precompiles aus, genau wie eine normale Transaktion. Allerdings war die Menge des verbrauchten Gases pro Block nicht begrenzt.

Der Austin-Fork fügt ein hartes pro-Block-Limit für State-Sync-Gas hinzu.

Polygon hatte außerdem die Größe des TxDependency-Felds nie begrenzt. Ein Validator konnte es mit riesigen Daten füllen und jeden Node zum Absturz bringen, der den Block las, obwohl sonst an diesem Block nichts auffällig schien.

Austin entfernt das Feld vollständig aus dem Wire-Format.

Kyoto-Fork bei Heimdall-Höhe 51,533,000 aktiviert

Polygon sagte, dass niemand die Bugs im Mainnet ausgenutzt habe und dass alle Probleme behoben worden seien, bevor die Forks live gingen.

Der Austin-Fork wurde im Mainnet bei Bor-Block 91,949,700 aktiviert, der Kyoto-Fork bei Heimdall-Höhe 51,533,000.

Jeder Node benötigt Bor v2.10.0. Validatoren und Full Nodes benötigen außerdem Heimdall version 0.11.0. Nodes mit älterer Software sind bereits von der kanonischen Chain abgezweigt.

Die Behebungen sind einfache Binary-Upgrades, ohne State-Migration, Genesis-Änderung oder vollständigen Resync.

POL wurde bei $0.09 gehandelt, rund 9.3% niedriger in den vergangenen 24 Stunden. Laut CoinGecko liegt der Token im grünen Bereich und hat in den vergangenen 30 Tagen 25.8% zugelegt.

Im Juli war das Heimdall-V2-Mainnet laut einem früheren Cryptopolitan-Bericht für etwa eine Stunde offline.

Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Interesse? Dann schließe dich ihnen an.