A Polygon Labs corrigiu diversas falhas de segurança em sua rede proof-of-stake através de dois hard forks coordenados, incluindo uma vulnerabilidade que poderia ter forçado todo o conjunto de validadores a realizar um processamento custoso a partir de uma única transação elaborada.
A Equipe de Suporte aos Validadores da Polygon divulgou as correções em uma publicação no fórum em 27 de agosto, após os hard forks Austin e Kyoto já terem sido testados e ativados. A equipe disse que as correções de segurança que afetam o consenso foram implantadas de forma privada, validadas na testnet Amoy e divulgadas somente após a frota da mainnet estar protegida.
As vulnerabilidades afetaram o Bor, cliente de execução da Polygon PoS, e o Heimdall, que gerencia a coordenação dos validadores e outras funções de consenso. A Polygon disse que não encontrou evidências de que quaisquer dos problemas tivessem sido explorados ou causado interrupções na mainnet.
O hard fork Austin atualizou o Bor para a versão 2.10.0 e abordou dois caminhos de negação de serviço relacionados ao processamento de blocos.
Um deles envolvia eventos de sincronização de estado (state-sync events) usados para depósitos de ponte L1 para L2. Tais eventos podem executar código de contrato e pré-compilações, mas sua execução não estava sujeita a um limite de gás por bloco eficaz. O Austin introduziu um limite para a quantidade de gás que os eventos de sincronização de estado podem consumir dentro de um bloco, impedindo-os de esgotar os recursos de processamento.
Uma fraqueza separada envolvia dados de TxDependency usados durante o processamento de blocos. Um produtor de bloco malicioso poderia fornecer um campo de dados superdimensionado, potencialmente causando alocação excessiva de memória e travando nós pares que processam o bloco.
A Polygon descreveu ambos os problemas como vetores de negação de serviço de processamento de blocos, em vez de falhas de correção de consenso, e disse que nenhum deles havia causado interrupção conhecida antes que os patches fossem implantados.
O hard fork Kyoto, que moveu o Heimdall para a versão 0.11.0, cobriu um grupo maior de correções de validação de entrada e endurecimento de consenso.
Entre eles, a Polygon identificou campos google.protobuf.Any profundamente aninhados como a vulnerabilidade mais grave do lote. As transações do Heimdall podem embrulhar mensagens dentro de campos Any, que por sua vez podem ser aninhados uns dentro dos outros.
Sem um limite de profundidade, um invasor poderia construir uma transação contendo campos profundamente aninhados a um custo relativamente baixo, enquanto forçava cada validador a processá-la para realizar um trabalho substancial de decodificação. A Polygon disse que a falha fornecia uma rota sem permissão para impor um processamento custoso e coordenado em todo o conjunto de validadores.
O Kyoto adicionou uma varredura em nível de byte que rejeita transações quando o aninhamento excede um limite definido. A verificação se aplica tanto na admissão na mempool quanto no estágio de processamento de consenso, para que a mesma transação não possa ser aceita por um caminho e rejeitada por outro.
Outras correções do Heimdall cobriram a contabilidade de marcos, o processamento de checkpoint e a repetição de eventos L1. A criação falha de período futuro pode agora degradar e tentar novamente no próximo limite, em vez de bloquear um commit de marco, enquanto novas chaves de repetição abordam um caso extremo em que eventos L1 distintos poderiam colidir de outra forma.
Ambos os hard forks são obrigatórios para os operadores que desejam permanecer na rede Polygon PoS canônica.
O Bor v2.10.0 é necessário para todos os nós, enquanto o Heimdall v0.11.0 se aplica a validadores e nós completos. A Polygon disse que os operadores que executam versões anteriores às alturas de ativação já se afastaram do consenso canônico e devem atualizar seu software para se juntar novamente à rede.
As alterações foram entregues como atualizações binárias, o que significa que os operadores não precisam migrar o estado, modificar a configuração gênese ou realizar uma ressincronização completa. Os nós que saíram do consenso podem atualizar e reverter para a altura pré-hard fork apropriada antes de alcançar a cadeia canônica.
A Polygon já utilizou hard forks para resolver problemas que afetam sua infraestrutura PoS. Em setembro de 2025, os desenvolvedores executaram um hard fork depois que um bug de software causou atrasos na finalidade das transações de até 15 minutos.
O incidente anterior afetou a sincronização do validador e a finalidade rápida local, enquanto a produção de blocos e o checkpointing Ethereum continuaram. Atualizações do Bor e do Heimdall foram implantadas para restaurar o processamento de marcos, a sincronização de estado e a finalização de consenso.
Um mês depois, a atualização da mainnet Rio introduziu a validação sem estado baseada em testemunhas e um modelo de Produtor de Blocos Eleito por Validadores, à medida que a Polygon continuava a mudar a forma como sua rede PoS processa e verifica as transações.
O desempenho da rede permaneceu outro foco em 2026. Em maio, o crypto.news relatou anteriormente que a Polygon havia reduzido o tempo de bloco para uma média de 1,75 segundos, sua primeira redução de tempo de bloco desde o lançamento.
O engenheiro de software da Polygon, Lucca Martins, disse na época que a mudança elevou a taxa de transferência teórica para aproximadamente 3.260 transações por segundo e permitiu que a rede processasse cerca de 14% mais pagamentos por segundo. O trabalho fez parte do esforço da Polygon para suportar maiores volumes de transações de pagamentos com stablecoin e atividades de finanças descentralizadas.
As últimas correções de segurança chegaram depois que a Polygon completou a substituição de MATIC por POL como o token nativo de gás e staking em sua rede PoS. A migração começou em setembro de 2024 como parte do roteiro Polygon 2.0, com MATIC mantido diretamente na Polygon PoS convertido para POL em uma proporção um para um.
O plano original de MATIC para POL designava POL como o token usado para pagamentos de gás e staking, enquanto suas funções propostas deveriam se expandir à medida que a Polygon desenvolvia sua arquitetura de staking e cadeia agregada.
As mudanças se estenderam à própria Polygon Labs. Em julho, a empresa cortou outra rodada de empregos enquanto concluía a integração da exchange de criptomoedas Coinme. O CEO Marc Boiron disse que a reestruturação foi projetada para apoiar a lucratividade até 2027, à medida que a Polygon Labs se movia em direção a um modelo de negócios focado em pagamentos.
O POL mostrou pouca reação positiva à divulgação de segurança. O token estava sendo negociado perto de US$ 0,09983 em 30 de agosto, com queda de cerca de 2,3% nas últimas 24 horas e 6,8% em sete dias, de acordo com dados do CoinGecko fornecidos com o relatório. Seu preço permaneceu cerca de 60,8% menor do que um ano antes, dando ao token uma capitalização de mercado de aproximadamente US$ 1,07 bilhão.
POL
MATIC