Polygon heeft meerdere tot dan toe onbekende beveiligingslekken openbaar gemaakt die zijn proof-of-stake-netwerk hadden kunnen verstoren, nadat de fixes al waren uitgerold en getest via twee hard forks — vóór enige publieke openbaarmaking.

Volgens een disclosure van het Validators Support Team van Polygon Labs troffen de kwetsbaarheden de Bor- en Heimdall-clients van Polygon en omvatten zij denial-of-service-risico's, uitputting van validatorenbronnen en zwakke plekken in de verwerking van checkpoints en milestones. Bor is de executieclient van Polygon, afgeleid van Go Ethereum (Geth), terwijl Heimdall de client op consensusniveau is, gebouwd op Tendermint- en Cosmos SDK-technologie, die verantwoordelijk is voor checkpointing naar Ethereum en de productie van milestones — wat betekent dat fouten in beide componenten verschillende lagen van de netwerkbewerking kunnen raken.

Polygon meldde dat de lekken zijn opgelost via de Austin- en Kyoto-hard forks. De upgrades werden aanvankelijk privaat uitgerold, zodat ontwikkelaars en validatoren de fixes konden testen voordat ze op de mainnet werden geactiveerd. Technische details werden pas vrijgegeven nadat de corrigerende maatregelen al waren doorgevoerd, waardoor het tijdsvenster waarin aanvallers publiek beschikbare informatie op het live netwerk hadden kunnen misbruiken werd verkleind. Deze aanpak sluit aan bij de bredere industriële praktijk van gecoördineerde (verantwoorde) openbaarmaking, die veel blockchainprojecten en beveiligingsonderzoekers hanteren om ervoor te zorgen dat patches breed zijn uitgerold voordat details van kwetsbaarheden openbaar worden.

Kritiek Heimdall-lek kon validatoren overbelasten

Het ernstigste geïdentificeerde probleem betrof Heimdall, een component die verantwoordelijk is voor belangrijke functies binnen de Polygon PoS-architectuur. Een speciaal geconstrueerde transactie had validatoren kunnen dwingen tot een ongebruikelijk grote hoeveelheid verwerkingswerk, waardoor validatorenbronnen mogelijk waren uitgeput en netwerkbewerkingen waren verstoord. Omdat validatoren essentieel zijn voor het handhaven van consensus, hadden overmatige computationele eisen het vermogen van het netwerk om transacties te verwerken en normaal te functioneren kunnen aantasten.

De disclosure identificeerde ook twee afzonderlijke denial-of-service-lekken in Bor, een andere kernclient van Polygon. Deze problemen werden verholpen via de Austin-hard fork en konden de blokverwerking hebben vertraagd of getroffen nodes laten crashen.

Samen toonden de kwetsbaarheden verschillende manieren waarop zorgvuldig geconstrueerde netwerkactiviteit druk op individuele nodes had kunnen zetten of kernprocessen van de blockchain had kunnen verstoren. Polygon stelde echter dat het geen bewijs had gevonden dat een van de geopenbaarde kwetsbaarheden op de mainnet was misbruikt. De afwezigheid van bekend misbruik was significant omdat de problemen waren verholpen voordat de technische details openbaar werden, waardoor de periode waarin aanvallers op basis van publieke informatie exploits hadden kunnen ontwikkelen beperkt bleef.

Oudere nodes moeten upgraden om weer mee te doen

Polygon waarschuwde exploitanten die oudere versies van de Bor- of Heimdall-clients draaiden dat zij moeten upgraden als hun nodes de betreffende hard-fork-activatiehoogtes waren gepasseerd. Nodes die de vereiste versies niet hadden overgenomen, waren al uit de consensus met het canonieke Polygon-netwerk gevallen en konden niet normaal deelnemen totdat hun software was bijgewerkt.

Polygon vereist Bor v2.10.0 voor alle Polygon PoS-nodes, terwijl validatoren en full nodes Heimdall v0.11.0 moeten draaien. Beide versies zijn al geactiveerd op de mainnet. De verplichte client-upgrades zijn bedoeld om validatoren en full nodes in lijn te houden met het gepatchte netwerk en te voorkomen dat verouderde software na de hard-fork-wijzigingen blijft deelnemen aan de consensus.

De disclosure onderstreept ook het belang van het onderhouden van meerdere onafhankelijk beheerde blockchain-clients en het actueel houden van de validatorinfrastructuur nu er nieuwe beveiligingsrisico's opduiken. Kwetsbaarheden in consensusgerelateerde software kunnen gevolgen hebben die verder gaan dan individuele applicaties, omdat verstoringen de transactieverwerking en de beschikbaarheid van het netwerk kunnen raken. Polygons besluit om de problemen pas bekend te maken na het uitrollen en testen van de fixes geeft ontwikkelaars en node-exploitanten de informatie die nodig is om te begrijpen waarom de upgrades vereist waren.

Ten tijde van het rapport noteerde POL, de native token van Polygon voorheen bekend als MATIC, rond $0,95 en was de token over de voorgaande 24 uur circa 7,8% gedaald, volgens marktdata die in het rapport werd aangehaald. De beweging van de token vond plaats terwijl Polygon de beveiligingsdisclosures behandelde, hoewel de gemelde kwetsbaarheden niet in verband waren gebracht met enig waargenomen misbruik op de mainnet.

De directe prioriteit van het netwerk blijft het handhaven van consensus over geupgradede nodes en het garanderen dat validatoren blijven werken met de gepatchte software nu de beveiligingsevaluatie vordert.

Bron: CoinTrust