Polygon Labs 發布緊急通知，要求所有 Polygon PoS 節點營運商在 Austin 與 Kyoto 硬分叉啟用後，升級其 Bor 與 Heimdall 用戶端。

該公司披露，多個先前未回報的資安漏洞已透過這些協調升級完成修補，並強調仍在執行分叉前軟體的節點已偏離正規共識，必須跟上進度才能重新加入網路認可的歷史。先私下修補漏洞、待協調硬分叉在全網上線後才公開揭露，是主要區塊鏈團隊常見的資安做法，因為過早揭露可能使尚未修補的網路暴露於這些修補所要防範的攻擊之中。

Austin 於主網區塊 91,949,700 啟用，要求 Bor 2.10.0 或以上版本；Kyoto 於區塊高度 51,533,000 啟用，要求 Heimdall 0.11.0。Kyoto 主網分叉於 2026 年 8 月 18 日 10:10:31 UTC 上線，兩個硬分叉先前已在 Amoy 測試網於較早的區塊高度啟用。Polygon 強調，這些是單純的二進位升級，無需狀態遷移或創世區塊變更。

然而，在過時用戶端上跨越啟用門檻的營運商已脫離共識。他們必須安裝對應的版本發布，必要時回滾至硬分叉前的節點，並依官方指引重新同步，以再次跟隨正規鏈。對於交易所、RPC 服務與查詢自有 Polygon 節點的 dApp 後端等基礎設施供應商而言，在重新同步完成之前，失去同步的節點可能回傳過時或錯誤的資料。

安全修補與網路強化

本次披露的漏洞分別影響 Polygon 的執行層與共識層。

Bor 上的 Austin 硬分叉處理了區塊處理中的兩個阻斷服務攻擊向量：一是來自 L1 至 L2 橋接充值的狀態同步事件中，天然氣消耗路徑無上限的問題；二是未設限制的 TxDependency 額外資料欄位，可能使處理超大區塊的節點當機。

由於狀態同步事件在執行合約程式碼時沒有固定的區塊層級上限，成本夠高的事件可能拖慢處理速度，足以使區塊鏈暫時停滯。Austin 透過對狀態同步操作施加每區塊天然氣上限，並從通訊格式中完全移除無上限的 TxDependency 欄位來解決此問題。

Kyoto 則針對 Heimdall 的交易與檢查點邏輯導入共識強化措施。最關鍵的修補是限制 google.protobuf.Any 訊息的巢狀深度，防止惡意行為者建構低成本的交易，迫使驗證者執行昂貴的解碼工作。這類修補針對的是一種眾所周知的非對稱成本風險：低手續費交易觸發驗證者上不成比例的昂貴處理，因此成為針對訊息解碼層發動阻斷服務攻擊的常用向量。

其他修補包括在驗證掃描前限制費用幣（fee-coin）數量、標準化檢查點簽章恢復位元組以避免在 Ethereum 上發生錨定失敗，並強化里程碑投票、區塊生產者停機處理，以及 L1 事件重播鍵的唯一性。

Polygon 確認這些漏洞均未在主網上被利用，且修補內容在公開部署前已於 Amoy 上私下驗證，以確保整體節點艦隊的安全。

所有節點營運商必須將此次升級視為強制性。Bor 是 Polygon PoS 的執行用戶端，而 Heimdall 負責共識與檢查點機制；維持兩者的最新版本對網路相容性與持續參與至關重要。節點營運商應持續關注 Polygon 官方管道，以掌握後續揭露或更多用戶端版本發布。

來源：Metaverse Post