Polygon 修复严重网络安全漏洞

Polygon Labs 披露了一系列安全漏洞，若被利用，可能严重扰乱其权益证明网络。这些漏洞在细节公开前已通过两次硬分叉悄然修复，这种刻意安排的顺序旨在防止恶意行为者在修复完成前利用信息发起攻击。

漏洞涉及内容

根据 Polygon Labs 验证者支持团队的披露，这些漏洞影响了 Polygon 的 Bor 和 Heimdall 客户端，包括拒绝服务风险、验证者资源耗尽，以及影响检查点和里程碑处理的缺陷。

最严重的问题涉及 Heimdall，其中精心构造的交易可能迫使验证者执行过量处理工作，从而可能破坏网络。在 Bor 方面，问题同样令人担忧。L1 到 L2 的状态同步事件实际上未受计量，意味着它们能够消耗区块资源，而无需通常限制失控计算的 Gas 核算。Austin 分叉引入了每区块 Gas 上限来限制这一风险。

第二个问题涉及无限制的 TxDependency 数据——Bor 内部用于跟踪交易顺序的结构。由于该结构的大小没有上限，精心构造的输入可能导致区块处理停滞，甚至完全崩溃连接的节点。

Polygon 的应对措施

Polygon Labs 通过两次硬分叉修复了漏洞：Bor 客户端的 Austin 分叉和 Heimdall 的 Kyoto 分叉。这些修复在主网激活前已私下部署，并在测试网上验证。修复内容在 Austin 和 Kyoto 升级中落地，后者于 8 月 29 日在 Polygon 权益证明主网上激活，而两天前社区论坛帖子已发布技术细节。

根据 Polygon 的说法，未观察到主网上有利用这些漏洞的行为，修复措施是在细节公开前主动部署的。这种做法反映了区块链安全领域公认的最佳实践：仅在补丁上线后披露漏洞，从而缩短攻击者利用公开信息采取行动的时间窗口。

硬分叉对节点运营者提出了即时的实践要求。Polygon PoS 节点必须升级至 Bor v2.10.0，而验证者和全节点需升级至 Heimdall v0.11.0。在硬分叉激活高度之后，运行旧版本客户端的节点将脱离共识，必须升级才能重新加入规范链。