Polygon heeft een reeks voorheen vertrouwelijke beveiligingslekken openbaar gemaakt die zijn proof-of-stake-netwerk hadden kunnen verstoren. Het bedrijf onthulde de kwetsbaarheden pas nadat het fixes had uitgerold via de Austin- en Kyoto-hard forks.

De kwetsbaarheden troffen Polygons Bor- en Heimdall-clients en omvatten denial-of-service-risico's, bronnenuitputting bij validators en zwakke plekken in de verwerking van checkpoints en milestones. Polygon stelde dat het geen bewijs vond dat de lekken op de mainnet werden misbruikt. Bor fungeert als de blokproducerende execution client van Polygon PoS, terwijl Heimdall de checkpointing en validatorcoördinatie verzorgt; fouten in beide componenten hebben dus direct invloed op hoe de blockchain consensus bereikt en vastlegt.

Fixes uitgerold vóór de openbaarmaking

Polygon dichtte de kwetsbaarheden voordat de technische details werden gepubliceerd. Deze aanpak stelde ontwikkelaars in staat de fixes te testen en te activeren zonder potentiële aanvallers vooraf te waarschuwen. Het volgt het model van gecoördineerde openbaarmaking dat breed wordt gebruikt in de software-industrie en door grote blockchainprojecten, waarbij technische details worden achtergehouden tot de patches breed zijn uitgerold, zodat onderzoeksbevindingen niet veranderen in aanvalsblauwdrukken.

Het ernstigste probleem trof Heimdall, waar een speciaal vervaardigde transactie validators kon dwingen tot overmatige verwerking. Zulke activiteit had aanzienlijke druk op validators kunnen leggen en de netwerkvoortgang potentieel kunnen verstoren.

De Austin-hard fork loste twee afzonderlijke denial-of-service-risico's in Bor op. Deze lekken hadden blokverwerking kunnen vertragen of aangetaste nodes kunnen laten crashen.

Polygon zei dat de upgrades werden getest vóór activering op de mainnet en dat de openbaarmaking pas volgde nadat de fixes succesvol waren uitgerold, wat het risico verkleint dat publieke details over de kwetsbaarheden tegen ongepatchte nodes worden gebruikt. Het is niet de eerste keer dat Polygon kritieke lekken stil afhandelde vóór onthulling: het project maakte eerder een gedicht kritiek lek in Bor pas openbaar nadat de fix live stond op de mainnet, waarmee het een patroon vestigde van eerst patchen, later onthullen.

Node-operators voor verplichte upgrade

De hard forks creëerden ook een onmiddellijke verplichting voor node-operators. Nodes die na de relevante activeringshoogtes nog oude clientversies draaien, zijn uit de consensus gevallen en moeten upgraden om opnieuw verbinding te maken met het canonieke Polygon-netwerk.

Polygon vereist Bor v2.10.0 voor Polygon PoS-nodes, terwijl validators en full nodes ook Heimdall v0.11.0 moeten draaien. Beide versies zijn inmiddels actief op de mainnet.

De openbaarmaking onderstreept het belang van gecoördineerde beveiligingsrespons voor blockchainnetwerken. Hoewel Polygon in dit geval een bevestigde exploit op de mainnet voorkwam, hadden de kwetsbaarheden de beschikbaarheid van het netwerk kunnen bedreigen als aanvallers ze eerder hadden ontdekt en misbruikt.

De Austin- en Kyoto-upgrades dienden dus een dubbel doel: als beveiligingspatches en als kritieke onderhoudsstappen voor Polygons validatorinfrastructuur. Voor node-operators en infrastructuuraanbieders zijn gevallen als deze een herinnering om release-opmerkingen van clients en activeringshoogtes nauwlettend te volgen, want het missen van een verplichte hard fork leidt tot onmiddellijke disconnectie van de consensus in plaats van een gedegradeerde maar functionerende node.