Polygon Labs усунула декілька вразливостей безпеки у своїй мережі proof-of-stake за допомогою двох скоординованих хардфорків, включаючи вразливість, яка могла змусити повний набір валідаторів виконувати дороге оброблення через одну спеціально створену транзакцію.
Команда підтримки валідаторів Polygon розкрила виправлення у дописі на форумі від 27 серпня після того, як хардфорки Austin та Kyoto вже були протестовані та активовані. Команда зазначила, що виправлення безпеки, що впливають на консенсус, були розгорнуті приватно, перевірені в тестовій мережі Amoy і розкриті лише після того, як парк основної мережі був захищений.
Вразливості вплинули на Bor, клієнт виконання Polygon PoS, та Heimdall, який відповідає за координацію валідаторів та інші функції консенсусу. Polygon заявила, що не виявила доказів того, що будь-яка з цих проблем була використана або спричинила збої в основній мережі.
Хардфорк Austin оновив Bor до версії 2.10.0 і усунув два шляхи відмови в обслуговуванні, пов'язані з обробкою блоків.
Одна з них стосувалася подій синхронізації стану, що використовуються для депозитів мосту L1-L2. Такі події можуть виконувати код контракту та попередньо скомпільовані функції, але їх виконання не підпадало під ефективне обмеження газу на блок. Austin запровадив ліміт на кількість газу, яку події синхронізації стану можуть споживати в межах блоку, запобігаючи вичерпанню обчислювальних ресурсів.
Окрема слабкість стосувалася даних TxDependency, які використовуються під час обробки блоків. Зловмисний виробник блоків міг надати поле даних надмірного розміру, потенційно викликаючи надмірне виділення пам'яті та збої у вузлів-аналогів, що обробляють блок.
Polygon описала обидві проблеми як вектори відмови в обслуговуванні, пов'язані з обробкою блоків, а не як недоліки коректності консенсусу, і заявила, що жодна з них не спричинила відомих збоїв до розгортання виправлень.
Хардфорк Kyoto, який перевів Heimdall на версію 0.11.0, охопив більшу групу виправлень валідації вхідних даних та посилення консенсусу.
Серед них Polygon визначила глибоко вкладені поля google.protobuf.Any як найсерйознішу вразливість у цій партії. Транзакції Heimdall можуть обгортати повідомлення всередині полів Any, які, своєю чергою, можуть бути вкладені одне в одне.
Без обмеження глибини зловмисник міг створити транзакцію, що містить глибоко вкладені поля, з відносно невеликими витратами, змушуючи кожного валідатора, який її обробляє, виконувати значну роботу з декодування. Polygon заявила, що цей недолік надавав бездозвільний шлях для нав'язування дорогої, скоординованої обробки всьому набору валідаторів.
Kyoto додала побайтове сканування, яке відхиляє транзакції, якщо вкладеність перевищує визначений поріг. Перевірка застосовується як на етапі допуску до мемпулу, так і на етапі обробки консенсусу, тому одна й та сама транзакція не може бути прийнята одним шляхом і відхилена іншим.
Інші виправлення Heimdall стосувалися обліку етапів, обробки контрольних точок та відтворення подій L1. Невдале створення майбутнього діапазону тепер може деградувати та повторити спробу на наступній межі замість блокування фіксації етапу, тоді як нові ключі відтворення усувають граничний випадок, коли різні події L1 могли б інакше конфліктувати.
Обидва хардфорки є обов'язковими для операторів, які хочуть залишатися в канонічній мережі Polygon PoS.
Bor v2.10.0 потрібен для всіх вузлів, тоді як Heimdall v0.11.0 застосовується до валідаторів та повних вузлів. Polygon заявила, що оператори, які працюють на версіях, що передували висотам активації, вже відійшли від канонічного консенсусу і повинні оновити своє програмне забезпечення, щоб знову приєднатися до мережі.
Зміни були доставлені як бінарні оновлення, що означає, що операторам не потрібно мігрувати стан, змінювати конфігурацію генезису або виконувати повну повторну синхронізацію. Вузли, які вийшли з консенсусу, можуть оновитися і відкотитися до відповідної висоти до хардфорка, перш ніж наздогнати канонічний ланцюг.
Polygon раніше використовувала хардфорки для вирішення проблем, що впливали на її інфраструктуру PoS. У вересні 2025 року розробники здійснили хардфорк після того, як програмна помилка спричинила затримки фіналізації транзакцій до 15 хвилин.
Попередній інцидент вплинув на синхронізацію валідаторів та локальну швидку фіналізацію, тоді як виробництво блоків та чекінг Ethereum продовжувалися. Оновлення Bor та Heimdall були розгорнуті для відновлення обробки етапів, синхронізації стану та фіналізації консенсусу.
Через місяць оновлення основної мережі Rio запровадило безстанову валідацію на основі свідків та модель виробника блоків, обраного валідаторами, оскільки Polygon продовжувала змінювати спосіб обробки та перевірки транзакцій своєю мережею PoS.
Продуктивність мережі залишалася ще одним напрямком у 2026 році. У травні crypto.news раніше повідомляла, що Polygon скоротила час блоку до середнього значення 1,75 секунди, що стало першим зменшенням часу блоку з моменту запуску.
Програмний інженер Polygon Лукка Мартінс тоді заявив, що ця зміна підвищила теоретичну пропускну здатність до приблизно 3260 транзакцій на секунду та дозволила мережі обробляти приблизно на 14% більше платежів на секунду. Ця робота була частиною зусиль Polygon щодо підтримки більших обсягів транзакцій від платежів стейблкоїнами та децентралізованої фінансової діяльності.
Останні виправлення безпеки з'явилися після того, як Polygon завершила заміну MATIC на POL як нативного токена для газу та стейкінгу у своїй мережі PoS. Міграція розпочалася у вересні 2024 року в рамках дорожньої карти Polygon 2.0, при цьому MATIC, що зберігається безпосередньо в Polygon PoS, був конвертований у POL у співвідношенні один до одного.
Оригінальний план переходу з MATIC на POL передбачав POL як токен, що використовується для оплати газу та стейкінгу, тоді як його запропоновані функції, як очікувалося, мали розширюватися в міру того, як Polygon розробляла свою архітектуру стейкінгу та агрегованих ланцюгів.
Зміни торкнулися і самої Polygon Labs. У липні компанія скоротила ще один раунд робочих місць, завершуючи інтеграцію криптобіржі Coinme. Генеральний директор Марк Буарон заявив, що реструктуризація була розроблена для підтримки прибутковості до 2027 року, оскільки Polygon Labs рухається до бізнес-моделі, орієнтованої на платежі.
POL показав незначну позитивну реакцію на розкриття інформації про безпеку. 30 серпня токен торгувався близько $0.09983, знизившись приблизно на 2,3% за попередні 24 години та на 6,8% за сім днів, згідно з даними CoinGecko, наданими у звіті. Його ціна залишалася приблизно на 60,8% нижчою, ніж рік тому, надаючи токену ринкову капіталізацію приблизно в $1,07 мільярда.
POL
MATIC
