Polygon Labs ha rilasciato in sordina due hard fork che hanno corretto una serie di problemi di sicurezza nella sua rete proof-of-stake (PoS).

La rete layer-2 ha poi condiviso i dettagli in un post sul forum. Tutti gli operatori dei nodi devono effettuare l’aggiornamento, altrimenti verranno esclusi dal consenso della rete.

L’hard fork Austin impedisce ai nodi di inviare il campo TxDependency

Il bug più grave era in Heimdall, il software che coordina i validatori di Polygon.

Secondo un post sul forum di Parvez03, Heimdall raggruppa il contenuto di ogni transazione all’interno di un wrapper chiamato google.protobuf.Any.

Un wrapper può trovarsi dentro un altro, proprio come scatole inserite dentro altre scatole. In questo caso, però, non esisteva alcun limite al numero di livelli di annidamento.

Un attaccante poteva creare una singola transazione impilata con quei livelli a costo quasi nullo, costringendo i validatori a sprecare potenza di calcolo per decomprimerla.

Polygon ha descritto la falla come “a permissionless way to force costly, correlated work across the whole validator set.” La correzione è importante perché il software di coordinamento dei validatori si trova sul percorso critico della rete: se può essere indotto a svolgere lavoro inutile, ciò può influire sull’affidabilità del consenso anche quando nessun fondo è direttamente a rischio.

L’hard fork Kyoto ha aggiornato Heimdall alla versione v0.11.0.

“Kyoto adds a byte-level pre-scan that rejects a transaction once its nesting passes a threshold, enforced identically at mempool admission ( CheckTx ) and on the consensus path ( ProcessProposal ),” ha detto il post.

Polygon verifica due volte: quando una transazione arriva e quando i validatori costruiscono il blocco.

Il secondo hard fork, Austin, si è concentrato su Bor, il client di esecuzione di Polygon. Ha corretto due percorsi di denial-of-service.

Uno riguardava gli eventi state-sync, il processo che trasporta i depositi del bridge L1-to-L2. Quegli eventi eseguono codice dei contratti e precompile, proprio come farebbe una normale transazione. Tuttavia, la quantità di gas consumata non era limitata per blocco.

L’hard fork Austin introduce un limite rigido per blocco al gas dello state-sync.

Polygon non aveva mai limitato la dimensione del campo TxDependency. Un validatore poteva riempirlo con enormi quantità di dati e mandare in crash ogni nodo che leggesse il blocco, anche se per il resto il blocco non mostrava anomalie.

Austin rimuove completamente il campo dal formato wire.

L’hard fork Kyoto è stato attivato all’altezza Heimdall 51,533,000

Polygon ha affermato che nessuno ha sfruttato i bug sulla mainnet e che li aveva corretti tutti prima che gli hard fork entrassero in funzione.

L’hard fork Austin è stato attivato sulla mainnet al blocco Bor 91,949,700, mentre Kyoto all’altezza Heimdall 51,533,000.

Ogni nodo richiede Bor v2.10.0. Anche validatori e full node richiedono Heimdall versione 0.11.0. I nodi che eseguono software più datato sono già entrati in fork rispetto alla catena canonica.

Le correzioni sono semplici aggiornamenti binari, senza migrazione dello stato, modifica del genesis o necessità di una risincronizzazione completa.

POL scambiava a $0.09, in calo di circa 9.3% nelle ultime 24 ore. Il token si trova in zona positiva, in rialzo del 25.8% negli ultimi 30 giorni, secondo CoinGecko.

A luglio, la mainnet Heimdall V2 è rimasta offline per circa un’ora, secondo un precedente report di Cryptopolitan.

Le menti più attente del settore crypto leggono già la nostra newsletter. Vuoi unirti a loro? Iscriviti.