Polygonは、プルーフ・オブ・ステーク（PoS）ネットワークに支障を及ぼす可能性のあった複数の未公表のセキュリティ脆弱性について、事前の公開前に2つのハードフォークを通じて修正の展開とテストが完了した後、公開情報として公表しました。

Polygon Labsのバリデーターサポートチームによる開示情報によると、これらの脆弱性はPolygonのBorおよびHeimdallクライアントに影響し、サービス拒否（DoS）リスク、バリデーターのリソース枯渇、チェックポイントおよびマイルストーン処理に関する弱点が含まれていました。BorはGo Ethereum（Geth）を基盤とするPolygonの実行クライアントであり、HeimdallはTendermintおよびCosmos SDK技術で構築されたコンセンサスレイヤーのクライアントで、Ethereumへのチェックポイントの記録やマイルストーンの生成を担当しています。つまり、いずれかのコンポーネントの欠陥はネットワーク運用の異なるレイヤーに影響を与えうるものです。

Polygonによると、これらの欠陥はAustinおよびKyotoのハードフォークによって解決されました。アップグレードは当初非公開で展開され、メインネットでの有効化前に開発者とバリデーターが修正をテストできました。技術的詳細は是正措置が整った後にのみ公開され、攻撃者が公開情報を利用してライブネットワークを悪用できる時間枠が縮小されました。このアプローチは、脆弱性の詳細が公開される前にパッチが広く展開されることを確実にするため、多くのブロックチェーンプロジェクトやセキュリティ研究者が採用しているコーディネーテッド・ディスクロージャー（責任ある開示）という業界の慣行に沿うものです。

バリデーターを過負荷にしうる重大なHeimdallの脆弱性

開示された中で最も深刻な問題はHeimdallに関わるものであり、HeimdallはPolygon PoSアーキテクチャ内で重要な機能を担うコンポーネントです。特別に細工されたトランザクションにより、バリデーターに異常に大量の処理作業を強制し、バリデーターのリソースを枯渇させてネットワーク運用を妨害する可能性がありました。バリデーターはコンセンサスの維持に不可欠であるため、過大な計算負荷はネットワークのトランザクション処理能力および通常運用に影響を及ぼしえました。

開示情報では、もう一つの主要なPolygonクライアントであるBorにおける2件の個別のサービス拒否（DoS）脆弱性も特定されました。これらの問題はAustinハードフォークで対処されたもので、ブロック処理の遅延や影響を受けたノードのクラッシュを引き起こす可能性がありました。

これらの脆弱性は、巧妙に構成されたネットワーク活動が個々のノードに負荷をかけたり、コアとなるブロックチェーン運用を妨害したりする複数の手法を示すものでした。ただし、Polygonは、公表された脆弱性のいずれかがメインネットで悪用された証拠は確認されなかったと述べています。既知の悪用がなかったことは重要であり、問題は技術的詳細が公開される前に修正されていたため、攻撃者が公開情報をもとに攻撃手法を開発できる期間が制限されていたためです。

古いノードはアップグレードしないとネットワークに復帰できない

Polygonは、BorまたはHeimdallクライアントの古いバージョンを実行しているオペレーターに対し、ノードが該当するハードフォークの有効化ブロック高を超過している場合はアップグレードが必要であると警告しました。必要なバージョンを採用しなかったノードは、すでに正規のPolygonネットワークとのコンセンサスから外れており、ソフトウェアを更新するまで通常どおり参加することはできません。

PolygonはすべてのPolygon PoSノードにBor v2.10.0を要求しており、バリデーターおよびフルノードはHeimdall v0.11.0を実行する必要があります。両バージョンはすでにメインネットで有効化されています。この必須アップグレードは、バリデーターとフルノードを修正済みネットワークに整合させ続け、ハードフォークによる変更後に古いソフトウェアがコンセンサスへの参加を続けることを防ぐことを目的としています。

この開示は、複数の独立して運用されるブロックチェーンクライアントを維持すること、および新たなセキュリティリスクが判明するたびにバリデーターインフラを最新の状態に保つことの重要性も浮き彫りにしています。コンセンサス関連ソフトウェアに影響する脆弱性は、障害がトランザクション処理やネットワーク可用性に影響しうるため、個別アプリケーションを超えた影響をもたらす可能性があります。修正の展開とテスト後にのみ問題を開示したPolygonの決定は、開発者やノードオペレーターにアップグレードが必要となった理由を理解するための情報を提供するものでもあります。

報告時点で、旧称MATICであるPolygonのネイティブトークンPOLは約0.95ドルで推移しており、報告で引用された市場データによると、過去24時間で約7.8%下落していました。トークンの価格変動はPolygonがセキュリティ開示に対応する中で生じたものであるものの、公表された脆弱性はメインネットでの悪用が確認された事例とは関連づけられていません。

ネットワークの当面の優先事項は、アップグレード済みノード間でコンセンサスを維持し、セキュリティレビューの進行に伴いバリデーターが修正済みソフトウェアで運用を続けることを確実にすることです。

出典：CoinTrust