Polygon a publié les détails de plusieurs vulnérabilités de sécurité précédemment non divulguées qui auraient pu affecter son infrastructure de preuve d'enjeu (PoS), notamment des problèmes liés au risque de déni de service entre nœuds et des goulets d'étranglement du traitement des validateurs. Polygon a indiqué que ces problèmes ont été résolus avant la divulgation publique grâce à deux forks récents et à des mises à jour correspondantes des clients.
Dans un message du jeudi sur le forum Polygon, l'équipe de support des validateurs de Polygon Labs a expliqué comment les failles des clients Bor et Heimdall ont été corrigées grâce aux forks Austin et Kyoto. La divulgation indique également qu'aucune de ces vulnérabilités n'a été observée exploitée sur le mainnet Polygon.
Points clés
- Polygon a révélé des vulnérabilités affectant les clients Bor et Heimdall, avec un risque potentiel de déni de service et de perturbation du traitement des validateurs.
- Les problèmes ont été résolus grâce aux forks d'Austin (Bor) et de Kyoto (Heimdall), qui ont été testés avant activation.
- Polygon a déclaré qu'aucune exploitation n'a été observée sur le mainnet, et que les mises à jour ont été déployées de manière proactive avant que les détails ne deviennent publics.
- Exécuter des versions obsolètes du client après les hauteurs d'activation du fork signifie que les nœuds perdront le consensus et devront mettre à jour pour réintégrer.
- Polygon nécessite Bor v2.10.0 pour les nœuds PoS et Heimdall v0.11.0 pour les validateurs et les nœuds complets.
Ce que Polygon a révélé à propos du client Bor
Selon la divulgation de Polygon, le fork Austin a corrigé deux risques liés aux attaques par déni de service associés au client Bor. Les failles de déni de service dans les clients blockchain sont particulièrement préoccupantes car elles peuvent dégrader les performances en augmentant la consommation de ressources lors de la gestion des blocs et, dans les cas graves, pourraient contribuer à l'instabilité des nœuds.
Polygon a déclaré que ces problèmes Bor auraient pu affecter le traitement des blocs ou provoquer des pannes des nœuds, selon la manière dont un attaquant aurait pu déclencher le comportement problématique. Polygon n'a pas affirmé que les vulnérabilités avaient été exploitées dans la nature, mais a souligné que les correctifs avaient été déployés avant la publication publique des détails techniques.
La vulnérabilité Heimdall qui pourrait surcharger le traitement des validateurs
La divulgation a mis en lumière un problème plus grave affectant le client Heimdall. Polygon a indiqué qu'une transaction spécialement conçue pourrait forcer les validateurs à effectuer un travail de traitement excessif. Dans un environnement PoS, tout ce qui provoque une charge de travail disproportionnée pour les validateurs peut devenir un problème de fiabilité du réseau, car les validateurs doivent traiter les données liées à la consensus dans des limites de performance pratiques.
Polygon a qualifié la faille Heimdall comme une vulnérabilité pouvant potentiellement perturber le fonctionnement du réseau en poussant les validateurs sur un chemin de traitement inefficace ou excessivement lourd. Le problème a été résolu grâce au hard fork de Kyoto, avec les mises à jour correspondantes déployées avant la divulgation publique de l'information.
Mécanismes d'un fork dur et pourquoi les mises à jour sont importantes
La divulgation de Polygon est explicite quant aux conséquences opérationnelles pour les participants qui ne mettent pas à jour. Les nœuds exécutant des versions antérieures de Bor ou de Heimdall au-delà des hauteurs d'activation du fork dur concerné sont décrits comme hors de consensus et devant être mis à jour pour retrouver le réseau canonique.
Polygon a indiqué que Bor v2.10.0 est requis pour tous les nœuds Polygon PoS, et Heimdall v0.11.0 est requis pour les validateurs et les nœuds complets. Les deux mises à jour sont signalées comme déjà actives sur le mainnet.
Pour les opérateurs d'infrastructure, cela signifie que la préparation à la sécurité est également une exigence de disponibilité : même si un nœud n'est pas directement affecté par un scénario d'attaque, un logiciel obsolète peut toujours devenir incapable de participer au consensus après des changements de protocole. En pratique, la leçon opérationnelle est de vérifier que les versions des clients sont conformes aux exigences post-fork et que la surveillance est en place pour détecter les mises à jour manquées.
Aucune preuve d'exploitation du mainnet, mais un rappel sur la mise à jour proactive
Polygon a déclaré qu'aucune des vulnérabilités décrites dans la divulgation n'a été observée en exploitation sur le mainnet. L'entreprise a également caractérisé les correctifs comme proactifs — mis en œuvre via des forks durs et des mises à jour de clients avant la publication des détails sur les vulnérabilités.
Cette approche est importante car elle réduit la fenêtre pendant laquelle des attaquants du monde réel pourraient tenter d'exploiter des faiblesses connues. Toutefois, elle élève également les exigences en matière de maintenance continue : même lorsque la surface d'attaque est corrigée par des mises à jour, les participants doivent rester à jour avec les changements de protocole et de version du client pour maintenir la connectivité et la participation au consensus.
Au moment de la rédaction, le token natif de Polygon (POL)—anciennement connu sous le nom de MATIC—était négocié autour de 0,10 $ selon les statistiques de prix de CoinGecko. Les données de CoinGecko indiquent une baisse d’environ 4 % au cours de la semaine précédente, une hausse de 44 % au cours du dernier mois et une augmentation de 2,3 % depuis le début de l’année.
Les lecteurs doivent surveiller les confirmations opérationnelles provenant des validateurs et des opérateurs de nœuds concernant la stabilité de leurs mises à jour Heimdall et Bor après le fork. La prochaine question pratique est de savoir si Polygon publiera des détails supplémentaires ou des conseils sur les pratiques d'atténuation au-delà des mises à jour de version requises — particulièrement compte tenu du fait que les vulnérabilités de déni de service et de charge de travail des validateurs peuvent être sensibles aux changements d'implémentation et aux seuils de surveillance.
Cet article a été initialement publié sous le titre Polygon Reports Security Flaws Patched in Latest Hard Forks sur Crypto Breaking News – votre source de confiance pour les actualités crypto, les nouvelles sur le Bitcoin et les mises à jour sur la blockchain.