Polygon a publiquement révélé un ensemble de failles de sécurité jusque-là confidentielles qui auraient pu perturber son réseau de preuve d'enjeu (proof-of-stake). L'entreprise a dévoilé ces vulnérabilités uniquement après avoir déployé des correctifs via les hard forks Austin et Kyoto.

Les failles touchaient les clients Bor et Heimdall de Polygon et comprenaient des risques de déni de service, un épuisement des ressources des validateurs ainsi que des faiblesses dans le traitement des checkpoints et des milestones. Polygon a déclaré n'avoir trouvé aucune preuve que ces failles aient été exploitées sur le mainnet. Bor est le client d'exécution producteur de blocs de Polygon PoS, tandis que Heimdall gère la création des checkpoints et la coordination des validateurs ; des failles dans l'un ou l'autre de ces composants affectent donc directement la manière dont la blockchain atteint et enregistre le consensus.

Des correctifs déployés avant la divulgation

Polygon a corrigé les vulnérabilités avant de rendre publiques leurs détails techniques. Cette approche a permis aux développeurs de tester les correctifs et de les activer sans donner d'avance aux attaquants potentiels. Elle s'inscrit dans le modèle de divulgation coordonnée largement utilisé dans l'industrie du logiciel et par les grands projets blockchain, où les détails techniques sont retenus jusqu'à ce que les correctifs soient largement déployés, afin que les découvertes des chercheurs ne deviennent pas des plans d'attaque.

Le problème le plus grave concernait Heimdall, où une transaction spécialement conçue pouvait forcer les validateurs à effectuer un travail de traitement excessif. Une telle activité aurait pu exercer une pression importante sur les validateurs et potentiellement perturber les opérations du réseau.

Le hard fork Austin a résolu deux risques distincts de déni de service dans Bor. Ces failles auraient pu ralentir le traitement des blocs ou provoquer le plantage des nœuds concernés.

Polygon a indiqué que les mises à niveau ont été testées avant leur activation sur le mainnet, et que la divulgation n'a eu lieu qu'après le déploiement réussi des correctifs, réduisant ainsi le risque que les détails publics des vulnérabilités soient utilisés contre des nœuds non corrigés. Ce n'est pas la première fois que Polygon gère des failles critiques discrètement avant de les révéler : le projet avait déjà dévoilé un bug critique corrigé dans Bor uniquement après que le correctif a été appliqué sur le mainnet, établissant ainsi une pratique de sécurité consistant à corriger d'abord et divulguer ensuite.

Les opérateurs de nœuds face à une mise à niveau obligatoire

Les hard forks ont également créé une exigence immédiate pour les opérateurs de nœuds. Les nœuds exécutant d'anciennes versions des clients au-delà des hauteurs d'activation concernées sont sortis du consensus et doivent se mettre à jour pour se reconnecter au réseau Polygon canonique.

Polygon exige Bor v2.10.0 pour les nœuds Polygon PoS, tandis que les validateurs et les nœuds complets doivent également exécuter Heimdall v0.11.0. Les deux versions sont déjà actives sur le mainnet.

Cette divulgation souligne l'importance des réponses de sécurité coordonnées pour les réseaux blockchain. Bien que Polygon ait évité une exploitation confirmée sur le mainnet dans ce cas, les vulnérabilités concernées auraient pu menacer la disponibilité du réseau si des attaquants les avaient découvertes et exploitées en premier.

Les mises à niveau Austin et Kyoto ont donc joué un double rôle : celui de correctifs de sécurité et celui d'étapes de maintenance critiques pour l'infrastructure de validateurs de Polygon. Pour les opérateurs de nœuds et les fournisseurs d'infrastructure, ce type de cas rappelle qu'il faut suivre de près les notes de version des clients et les hauteurs d'activation, car manquer un hard fork obligatoire entraîne une déconnexion immédiate du consensus plutôt qu'un nœud dégradé mais fonctionnel.