Polygon Labs hat eine dringende Mitteilung veröffentlicht, in der alle Polygon-PoS-Knotenbetreiber zur Aktualisierung ihrer Bor- und Heimdall-Clients nach der Aktivierung der Hard Forks Austin und Kyoto aufgefordert werden.

Das Unternehmen legte offen, dass mehrere zuvor unberichtete Sicherheitslücken durch diese koordinierten Updates behoben wurden, und betonte, dass Knoten, die noch die Software vor dem Fork betreiben, bereits vom kanonischen Konsens abgewichen sind und aufholen müssen, um wieder zur akzeptierten Historie des Netzwerks zurückzukehren. Die Praxis, Sicherheitslücken privat zu beheben und erst nach einem netzwerkweiten, koordinierten Hard Fork offenzulegen, ist ein gängiges Sicherheitsmuster großer Blockchain-Teams, da eine vorzeitige Offenlegung ungepatchte Netzwerke genau den Angriffen aussetzen könnte, gegen die die Fixes gerichtet sind.

Austin wurde auf dem Mainnet bei Block 91.949.700 aktiviert und erfordert Bor-Version 2.10.0 oder höher, während Kyoto bei Blockhöhe 51.533.000 aktiviert wurde und Heimdall-Version 0.11.0 erfordert. Der Kyoto-Mainnet-Fork ging am 18. August 2026 um 10:10:31 UTC live, und beide Hard Forks waren auf dem Amoy-Testnet bereits bei früheren Blockhöhen aktiv. Polygon betonte, dass es sich um einfache Binär-Updates ohne Zustandsmigration oder Genesis-Änderungen handelt.

Jedoch sind Betreiber, die die Aktivierungsschwellen mit veralteten Clients überschritten haben, aus dem Konsens gefallen. Sie müssen die entsprechende Version installieren, bei Bedarf zu einem Punkt vor dem Hard Fork zurückrollen und unter offizieller Anleitung resynchronisieren, um wieder der kanonischen Chain zu folgen. Für Infrastrukturanbieter wie Börsen, RPC-Dienste und dApp-Backends, die eigene Polygon-Knoten abfragen, kann ein nicht synchronisierter Knoten bis zum Abschluss der Resynchronisierung veraltete oder fehlerhafte Daten liefern.

Sicherheitskorrekturen und Netzwerk-Härtung

Die offengelegten Sicherheitslücken betrafen die Execution- und die Konsens-Schicht von Polygon getrennt.

Der Austin-Hard-Fork auf Bor behob zwei Denial-of-Service-Vektoren bei der Blockverarbeitung: einen unbegrenzten Gasverbrauchspfad bei State-Sync-Ereignissen aus L1-zu-L2-Bridge-Einzahlungen sowie ein unbeschränktes TxDependency-Extra-Datenfeld, das Peers beim Verarbeiten übergroßer Blöcke zum Absturz bringen konnte.

Da State-Sync-Ereignisse Contract-Code ohne feste Block-Obergrenze ausführen, konnten ausreichend kostspielige Ereignisse die Verarbeitung so stark verlangsamen, dass die Chain vorübergehend stockte. Austin löste dies durch die Einführung eines Gas-Limits pro Block für State-Sync-Operationen und die vollständige Entfernung des unbegrenzten TxDependency-Felds aus dem Wire-Format.

Kyoto führte Maßnahmen zur Konsens-Härtung in Heimdalls Transaktions- und Checkpoint-Logik ein. Die schwerwiegendste Korrektur begrenzt die Verschachtelungstiefe von google.protobuf.Any-Nachrichten und verhindert so, dass Angreifer kostengünstige Transaktionen konstruieren, die Validatoren zu aufwendiger Dekodierungsarbeit zwingen. Diese Art von Fix adressiert ein bekanntes Risiko asymmetrischer Kosten, bei dem eine Transaktion mit niedriger Gebühr unverhältnismäßig teure Verarbeitung auf Validatoren auslöst – ein beliebter Vektor für Denial-of-Service-Angriffe auf Nachrichten-Dekodierungsschichten.

Weitere Patches begrenzen die Anzahl der Fee-Coins vor Validierungs-Scans, normalisieren die Signatur-Wiederherstellungsbytes von Checkpoints, um Anchor-Fehler auf Ethereum zu verhindern, und härten das Milestone-Voting, die Behandlung von Producer-Ausfällen sowie die Eindeutigkeit der Replay-Schlüssel für L1-Ereignisse.

Polygon bestätigte, dass keine der Sicherheitslücken auf dem Mainnet ausgenutzt wurde, und dass die Fixes vor der öffentlichen Bereitstellung privat auf Amoy validiert wurden, um die Sicherheit des gesamten Netzwerks zu gewährleisten.

Alle Knotenbetreiber müssen die Updates als verpflichtend betrachten. Bor dient als Execution-Client von Polygon PoS, während Heimdall Konsens und Checkpointing verwaltet; das aktuelle Halten beider Versionen ist entscheidend für die Netzwerkkompatibilität und die fortgesetzte Teilnahme. Knotenbetreiber sollten die offiziellen Kanäle von Polygon weiter überwachen, um Folgeoffenlegungen oder weitere Client-Releases nicht zu verpassen.

Quelle: Metaverse Post