Geschachtelte Protobuf-Felder ermöglichen es einer einzigen günstigen Transaktion, Arbeit auf jedem Polygon-Validator zu erzwingen
- Polygon hat zwei Hard Forks durchgeführt, Austin auf Bor und Kyoto auf Heimdall, bevor bekanntgegeben wurde, was behoben wurde.
- Der schwerwiegendste Fehler ermöglichte es einer einzigen günstigen Transaktion, jede Validierungseinheit zu zwingen, schwere Dekodierungsarbeiten durchzuführen.
- Bor v2.10.0 und Heimdall v0.11.0 sind obligatorisch; ältere Nodes haben den kanonischen Chain bereits verlassen.
Polygon Labs hat stillschweigend zwei Hard Forks veröffentlicht, die eine Reihe von Sicherheitslücken in seinem Proof-of-Stake-(POS)-Netzwerk behoben haben.
Das Layer-2-Netzwerk hat die Details schließlich in einem Forum-Beitrag bekannt gegeben. Alle Node-Betreiber müssen ein Upgrade durchführen, andernfalls werden sie aus dem Netzwerk-Consensus ausgeschlossen.
Austin-Fork verhindert, dass Nodes das TxDependency-Feld senden
Der schlimmste Bug befand sich in Heimdall, der Software, die die Polygon-Validatoren koordiniert.
Heimdall bündelt den Inhalt jeder Transaktion in einen Wrapper namens google.protobuf.Any, laut einem Forum Beitrag von Parvez03.
Ein Wrapper kann in einem anderen sitzen, genau wie Boxen in anderen Boxen gepackt werden können. In dieser Analogie gibt es jedoch keine Obergrenze dafür, wie tief die Wrapper-Schichten gehen können.
Ein Angreifer könnte eine einzelne Transaktion erstellen, die mit diesen Schichten gestapelt ist, für fast keine Kosten. Dies lässt Validatoren Rechenleistung verschwenden, um sie zu entpacken.
Polygon beschrieb den Fehler als „eine unbefugte Möglichkeit, kostspielige, korrelierte Arbeit über den gesamten Validatorensatz zu erzwingen.“
Der Kyoto-Hard-Fork hat die Heimdall-Software auf v0.11.0 aktualisiert.
„Kyoto fügt eine Byte-Ebene-Vorscan hinzu, die eine Transaktion ablehnt, sobald ihre Verschachtelung einen Schwellenwert überschreitet, der bei der Aufnahme in den Mempool identisch durchgesetzt wird (
CheckTx") und auf dem Konsenspfad (ProcessProposal),” die Beitrag sagte.
Polygon überprüft zweimal:
- Wenn eine Transaktion eintrifft.
- Wenn Validatoren den Block erstellen.
Der zweite Hard Fork, namens Austin, konzentrierte sich auf Bor, den Ausführungsclient von Polygon. Er behob zwei Denial-of-Service-Schwachstellen.
Eine davon betraf State-Sync-Ereignisse, den Prozess, der L1-zu-L2-Brückeneinzahlungen überträgt. Diese Ereignisse führen Vertragscode und Precompiles aus, genau wie eine normale Transaktion. Allerdings war die Menge an verbranntem Gas pro Block nicht begrenzt.
Der Austin-Fork fügt eine harte pro-Block-Begrenzung für State-Sync-Gas hinzu.
Polygon hat die Größe des TxDependency Feldes nie begrenzt.
Ein Validator konnte es mit riesigen Datenmengen laden, um jeden Knoten zum Absturz zu bringen, der den Block las. Es gab nichts an diesem Block, das falsch aussah.
Austin entfernt das Feld vollständig aus dem Drahtformat.
Kyoto-Fork wurde in Heimdall-Höhe 51,533,000 aktiviert
Polygon sagte, dass niemand die Fehler im Mainnet ausgenutzt habe und dass sie alle behoben wurden, bevor die Forks live gingen.
Der Austin-Fork wurde im Mainnet in Bor-Block 91.949.700 aktiviert und der Kyoto-Fork in Heimdall-Höhe 51.533.000.
Jeder Knoten benötigt Bor v2.10.0. Validatoren und Full Nodes benötigen außerdem Heimdall Version 0.11.0. Knoten, die ältere Software ausführen, haben sich bereits von der kanonischen Kette abgezweigt.
Die Korrekturen sind einfache Binär-Upgrades, ohne dass State-Migration, Genesis-Änderungen oder vollständige Resyncs erforderlich sind.
POL handelte bei 0,09 USD, ein Rückgang von etwa 9,3 % in den letzten 24 Stunden. Der Token befindet sich im grünen Bereich und ist laut CoinGecko in den letzten 30 Tagen um 25,8 % gestiegen.
Im Juli ging das Heimdall V2 Mainnet für etwa eine Stunde offline, laut einem früheren Bericht von Cryptopolitan.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan, wo sie über Technologie, KI, Robotik, Krypto, Betrug und Hacks berichtet. Sie arbeitet seit 2017 im Krypto-Bereich. Zuvor war sie bei Forward Protocol, AmaZix und Cryptosomniac tätig. Randa besitzt einen Abschluss in Elektrotechnik und Elektronik der University of Bradford.
