Polygon a publiquement divulgué plusieurs failles de sécurité jusque-là inconnues qui auraient pu perturber son réseau de preuve d'enjeu (proof-of-stake), après que des correctifs ont été déployés et testés via deux hard forks, avant toute divulgation publique.

Selon une divulgation de l'équipe de support des validateurs de Polygon Labs, les vulnérabilités affectaient les clients Bor et Heimdall de Polygon et comprenaient des risques de déni de service, l'épuisement des ressources des validateurs ainsi que des faiblesses dans le traitement des checkpoints et des milestones. Bor est le client d'exécution de Polygon, dérivé de Go Ethereum (Geth), tandis que Heimdall est le client de la couche de consensus, construit sur Tendermint et le Cosmos SDK, qui gère le checkpointing vers Ethereum et la production de milestones — ce qui signifie que des failles dans l'un ou l'autre de ces composants peuvent affecter différentes couches du fonctionnement du réseau.

Polygon a indiqué que les failles ont été corrigées via les hard forks Austin et Kyoto. Les mises à niveau ont d'abord été déployées en privé, permettant aux développeurs et aux validateurs de tester les correctifs avant leur activation sur le mainnet. Les détails techniques n'ont été publiés qu'après la mise en place des mesures correctives, réduisant ainsi la fenêtre pendant laquelle des attaquants auraient pu exploiter des informations publiquement disponibles sur le réseau en production. Cette approche suit la pratique industrielle plus large de la divulgation coordonnée (responsable), utilisée par de nombreux projets blockchain et chercheurs en sécurité pour garantir que les correctifs soient largement déployés avant que les détails des vulnérabilités ne soient rendus publics.

Une vulnérabilité critique dans Heimdall aurait pu surcharger les validateurs

Le problème le plus grave identifié concernait Heimdall, un composant responsable de fonctions importantes au sein de l'architecture Polygon PoS. Une transaction spécialement conçue aurait pu forcer les validateurs à effectuer une quantité de travail anormalement élevée, avec un risque d'épuisement de leurs ressources et de perturbation du fonctionnement du réseau. Les validateurs étant essentiels au maintien du consensus, des demandes de calcul excessives auraient pu affecter la capacité du réseau à traiter les transactions et à fonctionner normalement.

La divulgation a également identifié deux vulnérabilités de déni de service distinctes dans Bor, un autre client central de Polygon. Ces problèmes ont été corrigés via le hard fork Austin et auraient pu ralentir le traitement des blocs ou provoquer le plantage des nœuds concernés.

Prises ensemble, ces vulnérabilités démontraient plusieurs façons dont une activité réseau soigneusement construite aurait pu exercer une pression sur des nœuds individuels ou interférer avec les opérations fondamentales de la blockchain. Polygon a toutefois déclaré n'avoir observé aucune preuve que l'une des vulnérabilités divulguées ait été exploitée sur le mainnet. L'absence d'exploitation connue était significative, car les problèmes ont été corrigés avant que leurs détails techniques ne deviennent publics, ce qui a limité la période pendant laquelle des attaquants auraient pu développer des exploits à partir d'informations publiques.

Les nœuds plus anciens doivent se mettre à niveau pour rejoindre le réseau

Polygon a averti les opérateurs exécutant des versions antérieures des clients Bor ou Heimdall qu'ils devaient effectuer une mise à niveau si leurs nœuds avaient dépassé les hauteurs d'activation des hard forks concernés. Les nœuds n'ayant pas adopté les versions requises étaient déjà sortis du consensus avec le réseau Polygon canonique et ne pouvaient pas participer normalement tant que leur logiciel n'était pas mis à jour.

Polygon exige Bor v2.10.0 pour tous les nœuds Polygon PoS, tandis que les validateurs et les nœuds complets doivent exécuter Heimdall v0.11.0. Les deux versions ont déjà été activées sur le mainnet. Les mises à niveau obligatoires visent à garder les validateurs et les nœuds complets alignés sur le réseau corrigé et à empêcher les logiciels obsolètes de continuer à participer au consensus après les changements des hard forks.

Cette divulgation souligne également l'importance de maintenir plusieurs clients blockchain exploités de manière indépendante et de garder l'infrastructure des validateurs à jour à mesure que de nouveaux risques de sécurité émergent. Les vulnérabilités affectant les logiciels liés au consensus peuvent avoir des conséquences au-delà des applications individuelles, puisque les perturbations peuvent affecter le traitement des transactions et la disponibilité du réseau. La décision de Polygon de divulguer les problèmes uniquement après le déploiement et les tests des correctifs donne aux développeurs et aux opérateurs de nœuds les informations nécessaires pour comprendre pourquoi ces mises à niveau étaient requises.

Au moment du rapport, le POL, le jeton natif de Polygon anciennement connu sous le nom de MATIC, s'échangeait autour de 0,95 $ et avait reculé d'environ 7,8 % au cours des 24 heures précédentes, selon les données de marché citées dans le rapport. Le mouvement du jeton s'est produit alors que Polygon traitait les divulgations de sécurité, bien que les vulnérabilités rapportées n'aient pas été liées à une exploitation observée sur le mainnet.

La priorité immédiate du réseau reste le maintien du consensus entre les nœuds mis à niveau et de s'assurer que les validateurs continuent d'opérer sur le logiciel corrigé, à mesure que l'examen de sécurité progresse.

Source : CoinTrust