Les champs protobuf imbriqués permettent à une seule transaction peu coûteuse de forcer le travail sur chaque validateur Polygon

Polygon Labs a discrètement publié deux hard forks qui ont corrigé un certain nombre de problèmes de sécurité dans son réseau de preuve d'enjeu (POS).

Le réseau de couche 2 a enfin partagé les détails dans un message de forum. Tous les opérateurs de nœuds doivent effectuer une mise à niveau, sinon ils seront exclus du consensus du réseau.

Le fork Austin empêche les nœuds d'envoyer le champ TxDependency

Le pire bug se trouvait dans Heimdall, qui est le logiciel qui coordonne les validateurs Polygon.

Heimdall regroupe le contenu de chaque transaction dans un emballage appelé, google.protobuf.Any, selon un message de forum post par Parvez03.

Un emballage peut se trouver à l'intérieur d'un autre, tout comme des boîtes peuvent être empilées les unes dans les autres. Cependant, dans cette analogie, il n'y a pas de limite à la profondeur des couches d'emballage.

Un attaquant pourrait créer une seule transaction empilée avec ces couches pour un coût quasi nul. Cela oblige les validateurs à gaspiller de la puissance de calcul pour la décompresser.

Polygon a décrit la faille comme « un moyen sans permission de forcer un travail coûteux et corrélé sur l'ensemble du groupe de validateurs ».

Le fork Kyoto a mis à niveau le logiciel Heimdall vers la version 0.11.0.

« Kyoto ajoute une pré-analyse au niveau des octets qui rejette une transaction une fois que son imbriquement dépasse un seuil, appliqué de manière identique à l'admission dans le mempool ("CheckTxet sur le chemin du consensus (ProcessProposal), » le post a déclaré.

Polygon vérifie deux fois :

• Lorsqu'une transaction arrive.
• Lorsque les validateurs construisent le bloc.

Le deuxième durcissement logiciel, nommé Austin, se concentre sur Bor, le client d'exécution de Polygon. Il a corrigé deux vecteurs d'attaque par déni de service.

L'un concernait les événements de synchronisation d'état, le processus qui transfère les dépôts du pont L1 vers L2. Ces événements exécutent du code de contrat et des précompilations, comme le ferait une transaction normale. Cependant, la quantité de gaz brûlée n'était pas plafonnée par bloc.

Le durcissement logiciel Austin ajoute une limite stricte par bloc sur le gaz de synchronisation d'état.

Polygon n'a jamais plafonné la taille du TxDependency champ.

Un validateur pouvait le charger avec d'énormes données pour faire planter tous les nœuds qui lisaient le bloc. Rien d'autre dans ce bloc ne semblait anormal.

Austin supprime ce champ du format de transmission.

Le durcissement logiciel Kyoto a été activé à la hauteur Heimdall 51,533,000

Polygon a déclaré que personne n'a exploité les bugs sur le réseau principal et qu'ils ont été corrigés avant la mise en ligne des durcissements logiciels.

Le durcissement logiciel Austin a été activé sur le réseau principal au bloc Bor 91 949 700 et le durcissement logiciel Kyoto à la hauteur Heimdall 51 533 000.

Chaque nœud nécessite Bor v2.10.0. Les validateurs et les nœuds complets nécessitent également la version 0.11.0 de Heimdall. Les nœuds exécutant des logiciels plus anciens se sont déjà séparés de la chaîne canonique.

Les correctifs sont de simples mises à jour binaires, sans migration d'état, changement de genèse ou resynchronisation complète nécessaire.

POL a été négocié à 0,09 $, en baisse d'environ 9,3 % au cours des dernières 24 heures. Le token est dans la zone verte, en hausse de 25,8 % au cours des 30 derniers jours, selon CoinGecko.

En juillet, le réseau principal Heimdall V2 a été hors ligne pendant environ une heure, selon un rapport antérieur de Cryptopolitan.