Polygon Labs a publié un avis urgent demandant à tous les opérateurs de nœuds Polygon PoS de mettre à niveau leurs clients Bor et Heimdall à la suite de l'activation des hard forks Austin et Kyoto.

L'entreprise a révélé que plusieurs vulnérabilités de sécurité jusque-là non signalées ont été corrigées via ces mises à niveau coordonnées, en soulignant que les nœuds exécutant encore un logiciel antérieur aux forks se sont déjà écartés du consensus canonique et doivent se mettre à jour afin de rejoindre l'historique accepté du réseau. La pratique consistant à corriger les vulnérabilités en privé et à ne les divulguer qu'une fois les hard forks coordonnés activés sur l'ensemble du réseau est un schéma de sécurité courant chez les grandes équipes blockchain, car une divulgation prématurée pourrait exposer les réseaux non corrigés aux attaques mêmes que ces correctifs visent à contrer.

Austin s'est activé sur le mainnet au bloc 91 949 700 et nécessite Bor version 2.10.0 ou supérieure, tandis que Kyoto s'est activé à la hauteur de bloc 51 533 000 et nécessite Heimdall version 0.11.0. Le fork Kyoto du mainnet est entré en vigueur le 18 août 2026 à 10:10:31 UTC, et les deux hard forks étaient déjà actifs sur le testnet Amoy à des hauteurs de blocs antérieures. Polygon a souligné qu'il s'agit de simples mises à niveau binaires ne nécessitant ni migration d'état ni modification de la genèse.

Cependant, les opérateurs ayant dépassé les seuils d'activation avec des clients obsolètes sont sortis du consensus. Ils doivent installer la version applicable, revenir à un point antérieur au hard fork si nécessaire, et se resynchroniser selon les instructions officielles afin de suivre à nouveau la chaîne canonique. Pour les fournisseurs d'infrastructure tels que les exchanges, les services RPC et les backends de dApps interrogeant leurs propres nœuds Polygon, un nœud désynchronisé peut renvoyer des données périmées ou incorrectes jusqu'à l'achèvement de la resynchronisation.

Corrections de sécurité et renforcement du réseau

Les vulnérabilités divulguées affectaient respectivement les couches d'exécution et de consensus de Polygon.

Le hard fork Austin sur Bor a corrigé deux vecteurs de déni de service dans le traitement des blocs : un chemin de consommation de gaz illimité lors des événements de state-sync provenant des dépôts de bridge L1-vers-L2, et un champ extra-data TxDependency non restreint qui pouvait faire planter les pairs traitant des blocs surdimensionnés.

Étant donné que les événements de state-sync exécutent du code de contrat sans plafond fixe au niveau du bloc, des événements suffisamment coûteux pouvaient ralentir le traitement au point de bloquer temporairement la chaîne. Austin a résolu ce problème en imposant une limite de gaz par bloc aux opérations de state-sync et en supprimant entièrement le champ TxDependency illimité du format de transmission.

Kyoto a introduit des mesures de renforcement du consensus dans la logique de transactions et de checkpointing de Heimdall. La correction la plus critique limite la profondeur d'imbrication des messages google.protobuf.Any, empêchant des acteurs malveillants de construire des transactions peu coûteuses forçant les validateurs à effectuer un travail de décodage coûteux. Ce type de correction traite un risque bien connu de coût asymétrique, où une transaction à faible frais déclenche un traitement disproportionnément coûteux sur les validateurs, ce qui en fait un vecteur privilégié d'attaques par déni de service sur les couches de décodage de messages.

Des correctifs supplémentaires plafonnent le nombre de fee-coins avant les analyses de validation, normalisent les octets de récupération de signature des checkpoints pour éviter les échecs d'ancrage sur Ethereum, et renforcent le vote des milestones, la gestion des temps d'arrêt des producteurs et l'unicité des clés de relecture des événements L1.

Polygon a confirmé qu'aucune de ces vulnérabilités n'a été exploitée sur le mainnet, et que les correctifs ont été validés en privé sur Amoy avant leur déploiement public afin d'assurer la sécurité de l'ensemble du parc.

Tous les opérateurs de nœuds doivent considérer ces mises à niveau comme obligatoires. Bor est le client d'exécution de Polygon PoS, tandis que Heimdall gère le consensus et le checkpointing ; maintenir des versions à jour des deux est essentiel pour la compatibilité réseau et la participation continue. Les opérateurs de nœuds devraient continuer à surveiller les canaux officiels de Polygon pour d'éventuelles divulgations complémentaires ou de nouvelles versions des clients.

Source : Metaverse Post