Polygon besserte Sicherheitslücken stillschweigend in zwei Hard Forks nach, bevor sie offengelegt wurden
Wichtige Erkenntnisse
- •Polygon Labs setzte zwei privat ausgerollte Hard Forks ein – Austin auf dem Bor-Client und Kyoto auf dem Heimdall-Client –, um Sicherheitslücken in seinem Proof-of-Stake-Netzwerk zu beheben.
- •Der Austin-Fork schloss zwei Denial-of-Service-Vektoren in der Blockverarbeitung, darunter einen, bei dem ein böswilliger Produzent Peer-Nodes mit einem übergroßen Datenfeld zum Absturz bringen konnte.
- •Die schwerwiegendste Korrektur des Kyoto-Forks betraf eine Lücke, die es einer einzelnen, billig konstruierten Transaktion ermöglicht hätte, kostspielige koordinierte Arbeit im gesamten Validator-Set zu erzwingen.
- •Polygon bestätigte, dass es auf dem Mainnet keine Ausnutzung gab, und beide inzwischen verpflichtende Upgrades sind aktiv, ohne dass eine State-Migration oder ein Resync erforderlich ist.
- •Die Offenlegung folgt auf die abgeschlossene MATIC-zu-POL-Migration, doch $POL notierte bei rund 0,0998 USD, rund 60,8 % tiefer im Jahresvergleich bei einer Marktkapitalisierung von rund 1,07 Milliarden USD.
Polygon Labs hat offenbart, dass es eine Reihe von Sicherheitslücken in seinem Proof-of-Stake-Netzwerk durch zwei Hard Forks beheben ließ, die zunächst privat ausgerollt und erst später öffentlich bekannt gegeben wurden.
In einem am Mittwoch veröffentlichten Forenbeitrag beschrieb das Team die Korrekturen, die im Austin-Hard-Fork auf dem Bor-Client – dem Execution-Client, der Blöcke erzeugt und verarbeitet – und im Kyoto-Hard-Fork auf dem Heimdall-Client, der die Validatorkoordination und das Checkpointing zu Ethereum übernimmt, gebündelt wurden. Beide wurden gemäß dem von Polygon als Standardpraxis für konsensbeeinflussende Korrekturen beschriebenen Verfahren eingesetzt: stillschweigendes Ausrollen, Validierung auf dem Amoy-Testnet vor der Mainnet-Aktivierung und anschließende Veröffentlichung, sobald das Netzwerk sicher war. Dieser Ansatz spiegelt eine branchenweite Konvention der Kryptobranche wider, bei der große Netzwerke wie Ethereum sensible Client-Patches historisch über private Offenlegungskanäle und gestaffelte Veröffentlichungen koordiniert haben, um das Zeitfenster zu minimieren, in dem Angreifer eine Korrektur vor der Aktualisierung der Netzwerke aus dem öffentlichen Code rekonstruieren könnten.
Der Austin-Fork schloss zwei Denial-of-Service-Pfade in der Blockverarbeitung, darunter einen, bei dem ein böswilliger Blockproduzent Peer-Nodes zum Absturz bringen konnte, indem er einen Block mit einem übergroßen Datenfeld füllte.
Der Kyoto-Fork behob eine größere Reihe von Konsens-Härtungsproblemen. Am schwerwiegendsten war eine Lücke, die es einem Angreifer ermöglicht hätte, mit einer einzigen gezielt konstruierten Transaktion kostspielige, koordinierte Arbeit im gesamten Validator-Set zu erzwingen – eine Transaktion, die billig zu erstellen, aber teuer für das Netzwerk zu verarbeiten war.
Polygon betonte, dass keine der Lücken auf dem Mainnet ausgenutzt wurde und alle proaktiv behoben wurden. Beide Upgrades sind inzwischen für Node-Betreiber verpflichtend und bereits aktiv; eine State-Migration oder ein Resync ist nicht erforderlich.
Die Offenlegung fällt in eine wegweisende Phase für Polygon, das die Migration seines bisherigen MATIC-Tokens zu $POL als Teil einer umfassenderen Umgestaltung seiner Netzwerkarchitektur rund um die AggLayer-Interoperabilitätsinitiative abgeschlossen hat.
Die Nachricht konnte den Kurs von $POL kaum stützen: Der Token notierte laut CoinGecko am Sonntag bei rund 0,09983 USD, 2,3 % tiefer über 24 Stunden. In der vergangenen Woche verlor er etwa 6,8 %, über das vergangene Jahr rund 60,8 %, was ihm trotz Kursgewinnen im letzten Monat eine Marktkapitalisierung von rund 1,07 Milliarden USD belässt.
