Polygon Labs a révélé avoir corrigé un ensemble de vulnérabilités de sécurité dans son réseau de preuve d'enjeu via deux hard forks déployés en privé avant d'être divulgués publiquement.

Dans une publication sur son forum datée de mercredi, l'équipe a détaillé les correctifs intégrés au hard fork Austin sur son client Bor — le client d'exécution qui produit et traite les blocs — et au hard fork Kyoto sur son client Heimdall, qui gère la coordination des validateurs et les points de contrôle vers Ethereum. Les deux ont été déployés selon ce que Polygon décrit comme la pratique standard pour les correctifs affectant le consensus : les déployer discrètement, les valider sur le testnet Amoy avant l'activation sur le mainnet, puis en faire l'annonce publique une fois le réseau sécurisé. Cette approche reflète une convention plus large dans l'industrie crypto, où les grandes chaînes, dont Ethereum, ont historiquement coordonné les correctifs sensibles de clients via des canaux de divulgation privés et des annonces échelonnées afin de réduire la fenêtre pendant laquelle des attaquants pourraient reconstituer un correctif à partir du code public avant que les réseaux ne se mettent à jour.

Le fork Austin a fermé deux vecteurs de déni de service dans le traitement des blocs, dont un permettant à un producteur de blocs malveillant de faire planter les nœuds pairs en insérant dans un bloc un champ de données surdimensionné.

Le fork Kyoto a traité un ensemble plus important de problèmes de consolidation du consensus. Le plus grave était une faille qui aurait permis à un attaquant d'imposer un travail coûteux et coordonné à l'ensemble des validateurs à l'aide d'une seule transaction malveillante — peu coûteuse à créer, mais coûteuse à traiter pour le réseau.

Polygon a souligné qu'aucune de ces failles n'a été observée comme ayant été exploitée sur le mainnet et que toutes ont été résolues de manière proactive. Les deux mises à niveau sont désormais obligatoires pour les opérateurs de nœuds et déjà actives, sans nécessiter de migration d'état ni de resynchronisation.

Ces divulgations surviennent à un moment charnière pour Polygon, qui a achevé la migration de son token historique MATIC vers $POL dans le cadre d'une refonte plus large de son architecture réseau centrée sur son initiative d'interopérabilité AggLayer.

La nouvelle a peu soutenu le cours de $POL, qui s'échangeait autour de 0,09983 $ dimanche, en baisse de 2,3 % sur 24 heures, selon CoinGecko. Le token a perdu environ 6,8 % au cours de la dernière semaine et recule d'environ 60,8 % sur un an, pour une capitalisation boursière proche de 1,07 milliard de dollars malgré des gains sur le mois écoulé.