Polygon Labs ha emesso un avviso urgente che richiede a tutti gli operatori di nodi Polygon PoS di aggiornare i propri client Bor e Heimdall in seguito all'attivazione degli hard fork Austin e Kyoto.

L'azienda ha rivelato che diverse vulnerabilità di sicurezza precedentemente non segnalate sono state corrette tramite questi aggiornamenti coordinati, sottolineando che i nodi che eseguono ancora software precedente al fork hanno già deviato dal consenso canonico e devono recuperare per riunirsi alla storia accettata della rete. La pratica di correggere privatamente le vulnerabilità e divulgarle solo dopo che gli hard fork coordinati sono attivi sull'intera rete è un pattern di sicurezza comune tra i principali team blockchain, poiché una divulgazione prematura potrebbe lasciare reti non patchate esposte proprio agli attacchi che le correzioni intendono contrastare.

Austin si è attivato sulla mainnet al blocco 91.949.700 e richiede Bor versione 2.10.0 o successiva, mentre Kyoto si è attivato all'altezza di blocco 51.533.000 e richiede Heimdall versione 0.11.0. Il fork Kyoto sulla mainnet è entrato in funzione il 18 agosto 2026 alle 10:10:31 UTC, e entrambi gli hard fork erano già attivi sulla testnet Amoy ad altezze di blocco precedenti. Polygon ha sottolineato che si tratta di semplici aggiornamenti binari che non richiedono migrazioni di stato né modifiche al genesis.

Tuttavia, gli operatori che hanno superato le soglie di attivazione con client non aggiornati sono usciti dal consenso. Devono installare la versione applicabile, eventualmente tornare a un punto precedente all'hard fork e risincronizzarsi secondo le indicazioni ufficiali per seguire nuovamente la chain canonica. Per i fornitori di infrastrutture come exchange, servizi RPC e backend di dApp che interrogano i propri nodi Polygon, un nodo non sincronizzato può restituire dati obsoleti o errati fino al completamento della risincronizzazione.

Correzioni di sicurezza e irrobustimento della rete

Le vulnerabilità disclose hanno interessato separatamente i livelli di esecuzione e di consenso di Polygon.

L'hard fork Austin su Bor ha corretto due vettori di denial-of-service nell'elaborazione dei blocchi: un percorso di consumo di gas illimitato durante gli eventi di state-sync derivanti dai depositi del bridge da L1 a L2, e un campo extra-data TxDependency senza restrizioni che poteva mandare in crash i peer che elaboravano blocchi di dimensioni eccessive.

Poiché gli eventi di state-sync eseguono codice contrattuale senza un limite fisso a livello di blocco, eventi sufficientemente costosi potevano rallentare l'elaborazione al punto da bloccare temporaneamente la chain. Austin ha risolto il problema imponendo un limite di gas per blocco sulle operazioni di state-sync e rimuovendo completamente il campo TxDependency illimitato dal formato di trasmissione.

Kyoto ha introdotto misure di irrobustimento del consenso nella logica di transazione e checkpoint di Heimdall. La correzione più grave limita la profondità di annidamento dei messaggi google.protobuf.Any, impedendo ad attori malintenzionati di costruire transazioni economiche che costringono i validatori a un lavoro di decodifica costoso. Questa classe di correzioni affronta un noto rischio di costo asimmetrico in cui una transazione a commissioni basse innesca un'elaborazione sproporzionatamente costosa sui validatori, rendendolo un vettore prediletto per attacchi denial-of-service sui livelli di decodifica dei messaggi.

Altre patch limitano il conteggio delle fee-coin prima delle scansioni di validazione, normalizzano i byte di recupero delle firme dei checkpoint per evitare errori di ancoraggio su Ethereum e irrobustiscono il voting sui milestone, la gestione dei periodi di inattività dei producer e l'univocità delle chiavi di replay degli eventi L1.

Polygon ha confermato che nessuna delle vulnerabilità è stata sfruttata sulla mainnet e che le correzioni sono state convalidate privatamente su Amoy prima del rilascio pubblico, per garantire la sicurezza della flotta.

Tutti gli operatori di nodi devono considerare gli aggiornamenti obbligatori. Bor è il client di esecuzione di Polygon PoS, mentre Heimdall gestisce il consenso e i checkpoint; mantenere aggiornate le versioni di entrambi è essenziale per la compatibilità di rete e la continua partecipazione. Gli operatori di nodi dovrebbero continuare a monitorare i canali ufficiali di Polygon per eventuali comunicazioni successive o ulteriori rilasci di client.

Fonte: Metaverse Post