Polygonは、プルーフ・オブ・ステークネットワークを妨害する可能性があった、これまで非公開だった一連のセキュリティ脆弱性を公表しました。同社は、AustinおよびKyotoハードフォークを通じて修正を展開した後に初めてこれらの欠陥を明らかにしました。

脆弱性はPolygonのBorおよびHeimdallクライアントに影響を及ぼし、サービス拒否(DoS)リスク、バリデーターのリソース枯渇、チェックポイントおよびマイルストーン処理に関する弱点が含まれていました。Polygonは、メインネットでこれらの欠陥が悪用された証拠は確認されなかったと述べています。BorはPolygon PoSのブロック生成を担う実行クライアントであり、Heimdallはチェックポイント処理とバリデーターの調整を担当するため、いずれかのコンポーネントの欠陥は、チェーンがコンセンサスに到達し記録する方法に直接影響します。

公表に先立って展開された修正

Polygonは、技術的詳細を公開する前に脆弱性へパッチを適用しました。このアプローチにより、開発者は潜在的な攻撃者に事前の警告を与えることなく、修正をテストして有効化できました。これは、パッチが広く展開されるまで技術的詳細を伏せ、研究結果が攻撃の設計図にならないようにする、ソフトウェア業界や主要ブロックチェーンプロジェクトで広く用いられる協調的開示モデルに沿ったものです。

最も深刻な問題はHeimdallに影響するもので、細工されたトランザクションによってバリデーターに過剰な処理作業を強制する可能性がありました。こうした活動は、バリデーターに大きな負荷をかけ、ネットワーク運用を妨害する恐れがありました。

Austinハードフォークは、Borにおける2件の個別のサービス拒否リスクを解決しました。これらの欠陥は、ブロック処理を遅延させたり、影響を受けたノードをクラッシュさせたりする可能性がありました。

Polygonによれば、アップグレードはメインネットでの有効化前にテストされており、開示は修正の展開が成功した後に行われたため、公開された脆弱性の詳細が未対応のノードに対して悪用されるリスクが低減されました。Polygonが重大な欠陥を公表前に静かに対応したのはこれが初めてではありません。同プロジェクトは以前にも、修正がメインネットで稼働した後にのみ、Borの修正済みの重大なバグを公表しており、「先にパッチ、後に開示」というセキュリティ対応のパターンを確立しています。

ノード運用者に課せられる必須アップグレード

ハードフォークは、ノード運用者にとって即刻の要件も生じさせました。該当する有効化高度を過ぎても古いクライアントバージョンを実行しているノードは、コンセンサスから外れており、正規のPolygonネットワークに再接続するにはアップグレードが必要です。

Polygon PoSノードにはBor v2.10.0が、またバリデーターおよびフルノードにはHeimdall v0.11.0の実行が求められます。両バージョンはすでにメインネットで有効になっています。

今回の開示は、ブロックチェーンネットワークにおける協調的なセキュリティ対応の重要性を浮き彫りにしています。Polygonは今回はメインネットでの悪用確認を回避しましたが、攻撃者が先に発見して悪用していれば、これらの脆弱性はネットワークの可用性を脅かす可能性がありました。

したがって、AustinおよびKyotoのアップグレードは、セキュリティパッチであると同時に、Polygonのバリデーターインフラにとって重要なメンテナンス措置という二重の役割を果たしました。ノード運用者やインフラ提供者にとって、このような事例は、クライアントのリリースノートと有効化高度を注意深く追跡することの重要性を reminders するものです。必須のハードフォークを見逃すと、機能は低下しつつも稼働し続けるノードではなく、即座にコンセンサスから切断されることになるためです。