A Polygon Labs revelou um par de vulnerabilidades de segurança que foram corrigidas silenciosamente em dois forks antes da rede fazer qualquer declaração pública. As correções foram implementadas nas atualizações Austin e Kyoto, que foram ativadas no mainnet proof-of-stake da Polygon em 29 de agosto, com uma postagem no fórum da comunidade descrevendo os detalhes técnicos dois dias antes.
O que realmente estava quebrado
O fork Austin atualizou o cliente de execução Bor para a v2.10.0, ativado no bloco mainnet 91.949.700. Kyoto atualizou o cliente de consenso Heimdall para a v0.11.0, ativado na altura do bloco 51.533.000.
Do lado do Bor, duas categorias de problemas precisavam ser resolvidas. Primeiro, os eventos de sincronização de estado de L1 para L2 eram efetivamente não monitorados, o que significava que poderiam consumir recursos de bloco sem a contabilidade de gas que normalmente limita cálculos descontrolados. O fork Austin introduziu limites de gas por bloco para limitar essa exposição.
O segundo problema do Bor envolveu dados TxDependency ilimitados, uma estrutura que o Bor usa internamente para rastrear a ordem das transações. Sem limites sobre o tamanho que essa estrutura poderia atingir, uma entrada manipulada poderia interromper o processamento de blocos ou causar a queda completa dos pares conectados.
Os problemas do Heimdall tinham natureza diferente. O cliente de consenso apresentava vulnerabilidades de aninhamento em nível de byte na forma como lidava com mensagens protobuf Any, um formato de serialização amplamente utilizado na pilha Cosmos SDK na qual o Heimdall é construído. Erros no tratamento de mensagens aninhadas e problemas de validação de assinatura nessa camada poderiam ser explorados para interromper as mensagens de consenso entre validadores. O fork Kyoto corrigiu essas verificações em nível de byte.
Ambos os forks exigiram apenas atualizações binárias. Nenhuma alteração no arquivo de gênese, nenhuma migração de estado, nenhuma reescrita dos dados históricos da cadeia. Os validadores precisaram atualizar seu software; o estado da cadeia permaneceu intacto.
O que acontece com os nodes que não fizeram a atualização?
Qualquer validador ou operador de node que ainda esteja executando binários pré-fork agora está operando fora do consenso canônico. Esses nodes efetivamente se forkaram para uma cadeia que o restante da rede abandonou.
O orientação da Polygon é direta: atualize para o Bor v2.10.0 ou superior e Heimdall v0.11.0 ou superior imediatamente, ou siga os procedimentos de reversão e resincronização.
A Polygon relatou nenhuma interrupção no mainnet durante nenhuma das ativações. Ambos os forks foram validados na testnet Amoy antes da implantação no mainnet, e a divulgação no fórum da comunidade foi programada para ocorrer após a ativação bem-sucedida do mainnet, e não antes.
Padrão de atualizações proativas em 2026
Austin e Kyoto não são eventos isolados. A Polygon ativou o fork Ithaca em julho de 2026, que visava melhorias na disponibilidade e confiabilidade dos pagamentos na rede.
A rede Polygon PoS tem passado por uma transição arquitetônica significativa ao longo do último ano. A mudança de MATIC para POL como token nativo da rede, combinada com discussões contínuas sobre reforma de staking e a introdução de um token de staking líquido chamado sPOL, significa que a comunidade de validadores e stakers está absorvendo alterações econômicas e técnicas simultaneamente.
Operadores de validadores que ainda não atualizaram devem tratar esta divulgação como urgente. A combinação da descrição da vulnerabilidade DoS agora tornada pública e o fato de que os nós pré-fork já estão fora do consenso canônico torna a execução de binários antigos um problema crescente, e não temporário.