Polygon ha divulgato pubblicamente diverse vulnerabilità di sicurezza precedentemente non note che avrebbero potuto disturbare la sua rete proof-of-stake, dopo che le correzioni erano state distribuite e testate tramite due hard fork prima di qualsiasi comunicazione pubblica.

Secondo una divulgazione del Validators Support Team di Polygon Labs, le vulnerabilità riguardavano i client Bor e Heimdall di Polygon e includevano rischi di denial-of-service, esaurimento delle risorse dei validatori e debolezze legate all'elaborazione di checkpoint e milestone. Bor è il client di esecuzione di Polygon, derivato da Go Ethereum (Geth), mentre Heimdall è il client del livello di consenso, basato su Tendermint e Cosmos SDK, che gestisce il checkpointing verso Ethereum e la produzione delle milestone — il che significa che difetti in uno dei due componenti possono influire su livelli diversi del funzionamento della rete.

Polygon ha dichiarato che le falle sono state risolte tramite gli hard fork Austin e Kyoto. Gli aggiornamenti sono stati inizialmente distribuiti in privato, consentendo a sviluppatori e validatori di testare le correzioni prima dell'attivazione sulla mainnet. I dettagli tecnici sono stati resi pubblici solo dopo che le misure correttive erano già in vigore, riducendo la finestra temporale in cui eventuali aggressori avrebbero potuto sfruttare informazioni pubblicamente disponibili sulla rete attiva. Questo approccio segue la più ampia pratica di settore della divulgazione coordinata (responsabile), utilizzata da molti progetti blockchain e ricercatori di sicurezza per garantire che le patch siano ampiamente distribuite prima che i dettagli delle vulnerabilità diventino pubblici.

La vulnerabilità critica di Heimdall avrebbe potuto sovraccaricare i validatori

Il problema più grave individuato riguardava Heimdall, un componente responsabile di funzioni importanti all'interno dell'architettura Polygon PoS. Una transazione appositamente costruita avrebbe potuto costringere i validatori a eseguire una quantità di lavoro di elaborazione insolitamente elevata, con il potenziale di esaurire le risorse dei validatori e disturbare le operazioni di rete. Poiché i validatori sono essenziali per mantenere il consenso, richieste computazionali eccessive avrebbero potuto compromettere la capacità della rete di elaborare transazioni e mantenere il funzionamento normale.

La divulgazione ha inoltre individuato due distinte vulnerabilità denial-of-service in Bor, un altro client centrale di Polygon. Tali problemi sono stati affrontati tramite l'hard fork Austin e avrebbero potuto rallentare l'elaborazione dei blocchi o causare il crash dei nodi interessati.

Nel complesso, le vulnerabilità hanno mostrato diversi modi in cui attività di rete accuratamente costruita avrebbe potuto mettere sotto pressione singoli nodi o interferire con le operazioni fondamentali della blockchain. Tuttavia, Polygon ha dichiarato di non aver osservato evidenze che una qualsiasi delle vulnerabilità divulgate sia stata sfruttata sulla mainnet. L'assenza di sfruttamenti noti era significativa perché i problemi erano stati corretti prima che i loro dettagli tecnici diventassero pubblici, limitando il periodo in cui eventuali aggressori avrebbero potuto sviluppare exploit sulla base di informazioni pubbliche.

I nodi obsoleti devono aggiornarsi per rientrare nella rete

Polygon ha avvertito gli operatori che eseguono versioni precedenti dei client Bor o Heimdall che devono effettuare l'aggiornamento se i loro nodi hanno superato le altezze di attivazione dei relativi hard fork. I nodi che non hanno adottato le versioni richieste erano già usciti dal consenso con la rete canonica di Polygon e non potevano partecipare normalmente finché il software non fosse stato aggiornato.

Polygon richiede Bor v2.10.0 per tutti i nodi Polygon PoS, mentre i validatori e i full node devono eseguire Heimdall v0.11.0. Entrambe le versioni sono già state attivate sulla mainnet. Gli aggiornamenti obbligatori dei client sono pensati per mantenere validatori e full node allineati con la rete corretta e impedire che software obsoleto continui a partecipare al consenso dopo le modifiche degli hard fork.

La divulgazione evidenzia inoltre l'importanza di mantenere più client blockchain gestiti in modo indipendente e di tenere aggiornata l'infrastruttura dei validatori man mano che emergono nuovi rischi di sicurezza. Le vulnerabilità che interessano software legato al consenso possono avere conseguenze oltre le singole applicazioni, dato che le interruzioni possono influire sull'elaborazione delle transazioni e sulla disponibilità della rete. La decisione di Polygon di divulgare i problemi solo dopo aver distribuito e testato le correzioni fornisce a sviluppatori e operatori di nodi le informazioni necessarie per comprendere perché gli aggiornamenti erano richiesti.

Al momento del rapporto, POL, il token nativo di Polygon precedentemente noto come MATIC, veniva scambiato vicino a 0,95 dollari e aveva registrato un calo di circa il 7,8% nelle 24 ore precedenti, secondo i dati di mercato citati nel rapporto. Il movimento del token è avvenuto mentre Polygon gestiva le divulgazioni di sicurezza, sebbene le vulnerabilità segnalate non siano state collegate ad alcuno sfruttamento osservato sulla mainnet.

La priorità immediata della rete resta il mantenimento del consenso tra i nodi aggiornati e la garanzia che i validatori continuino a operare con il software corretto mentre procede la revisione della sicurezza.

Fonte: CoinTrust