Les champs Protobuf imbriqués permettent à une seule opération de force de transaction peu coûteuse de fonctionner sur chaque validateur Polygon
- Polygon a expédié deux fourches rigides, Austin sur Bor et Kyoto sur Heimdall, avant de révéler les corrections apportées.
- Le pire défaut permettait à une seule transaction peu coûteuse de forcer un décodage complexe sur chaque validateur.
- Bor v2.10.0 et Heimdall v0.11.0 sont obligatoires, et les nœuds plus anciens ont déjà quitté la chaîne canonique.
Polygon Labs a discrètement publié deux hard forks qui ont corrigé un certain nombre de problèmes de sécurité dans son réseau de preuve d'enjeu (POS).
Le réseau de couche 2 a finalement communiqué les détails dans un message sur son forum. Tous les opérateurs de nœuds doivent effectuer la mise à niveau, sous peine d'être exclus du consensus du réseau.
La branche Austin empêche les nœuds d'envoyer le champ TxDependency
Le bug le plus grave se trouvait dans Heimdall, le logiciel qui coordonne les validateurs de polygones.
D'après un message de Parvez03 sur un forum, Heimdall regroupe le contenu de chaque transaction dans un conteneur appelé google.protobuf.Any
Un emballage peut être placé à l'intérieur d'un autre, tout comme des boîtes peuvent être empilées les unes dans les autres. Cependant, dans cette analogie, il n'y a pas de limite au nombre de couches d'emballages possibles.
Un attaquant pourrait créer une transaction unique comportant ces différentes couches à un coût quasi nul. Cela oblige les validateurs à gaspiller de la puissance de calcul pour la décompresser.
Polygon a décrit cette faille comme « un moyen, sans autorisation, d'imposer un travail coûteux et corrélé à l'ensemble des validateurs »
La mise à jour majeure Kyoto a permis de passer le logiciel Heimdall à la version 0.11.0.
« Kyoto ajoute une pré-analyse au niveau octet qui rejette une transaction dès que son imbrication dépasse un seuil, appliquée de manièredentà l'admission du mempool (
CheckTx) et sur le chemin de consensus (ProcessProposal) », indique le message
Le polygone est vérifié deux fois :
- Lorsqu'une transaction arrive.
- Lorsque les validateurs construisent le bloc.
La seconde bifurcation dure, nommée Austin, s'est concentrée sur Bor, le client d'exécution de Polygon. Elle a corrigé deux failles de sécurité susceptibles d'entraîner des attaques par déni de service.
L'un de ces événements était la synchronisation d'état, le processus qui assure le transfert des dépôts entre les ponts L1 et L2. Ces événements exécutent le code dutracet effectuent les précompilations, comme le ferait une transaction classique. Cependant, la quantité de gaz consommée n'était pas plafonnée par bloc.
La proposition d'Austin impose une limite stricte par bloc sur le gaz synchronisé avec l'État.
Polygon n'a jamais limité la taille du TxDependency .
Un validateur pourrait le surcharger de données massives pour faire planter tous les nœuds qui lisent le bloc. À part ça, rien ne semblait anormal dans ce bloc.
Austin supprime complètement ce champ du format de transmission.
La fourche de Kyoto s'est activée à Heimdall, à une altitude de 51 533 000 pieds
Polygon a déclaré que personne n'avait exploité les bugs sur le réseau principal et qu'ils avaient tous été corrigés avant la mise en service des forks.
La bifurcation Austin a été activée sur le réseau principal au bloc Bor 91 949 700 et la bifurcation Kyoto à la hauteur Heimdall 51 533 000.
Chaque nœud requiert Bor v2.10.0. Les validateurs et les nœuds complets requièrent également Heimdall version 0.11.0. Les nœuds utilisant des logiciels plus anciens ont déjà été dérivés de la chaîne canonique.
Les correctifs consistent en de simples mises à jour binaires, sans migration d'état, modification de la genèse ni resynchronisation complète.
Le POL s'échangeait à 0,09 $, en baisse d'environ 9,3 % au cours des dernières 24 heures. Le token est en territoire positif, avec une hausse de 25,8 % sur les 30 derniers jours, selon CoinGecko.
En juillet, le réseau principal Heimdall V2 a été mis hors service pendant environ une heure, selon un précédent rapport Cryptopolitan .
Si vous lisez ceci, vous avez déjà une longueur d'avance. Restez-y grâce à notre newsletter.
Avertissement : Les informations fournies ne constituent pas un conseil en investissement. CryptopolitanCryptopolitan.com toute responsabilité quant aux investissements réalisés sur la base des informations présentées sur cette page. Nous voustronrecommandons vivement d’effectuer vosdent et/ou de consulter un professionnel qualifié avant toute décision d’investissement.
Randa Moses
Randa Moses est rédactrice et journaliste chez Cryptopolitan où elle couvre les technologies, l'intelligence artificielle, la robotique, les cryptomonnaies, les arnaques et le piratage informatique. Elle travaille dans le secteur des cryptomonnaies depuis 2017 et a notamment travaillé chez Forward Protocol, AmaZix et Cryptosomniac. Randa est diplômée en génie électrique ettronde l'Université de Bradford.
