Polygon(POL) công bố chi tiết lỗ hổng bảo mật sau hai đợt hard fork

Polygon(POL) đã vá xong các lỗ hổng bảo mật trên mạng lưới bằng chứng cổ phần (PoS) bằng hai đợt hard fork, trước khi công bố chi tiết kỹ thuật. Các lỗ hổng liên quan đến rủi ro từ chối dịch vụ (DoS) và tình trạng hao tốn tài nguyên của validator.

Đội hỗ trợ validator của Polygon Labs cho biết trên diễn đàn cộng đồng lúc 16 giờ 14 ngày 27 (giờ Việt Nam) rằng hard fork Bor v2.10.0 mang tên Austin và hard fork Heimdall v0.11.0 mang tên Kyoto đã xử lý các vấn đề bảo mật và tính sẵn sàng của mạng. Cả hai bản nâng cấp được kiểm thử trên testnet Amoy trước khi triển khai lên mainnet, và thông tin kỹ thuật chỉ được công bố sau khi mạng lưới đã an toàn.

Hard fork Austin chặn hai đường tấn công từ chối dịch vụ có thể phát sinh trong quá trình xử lý block của client Bor. Bản vá khắc phục tình trạng các sự kiện đồng bộ trạng thái (state sync) có thể được xử lý không giới hạn trong mỗi block, đồng thời loại bỏ cấu trúc khiến trường TxDependency — dùng làm gợi ý thực thi song song — có thể phình to không giới hạn kích thước.

Sự kiện đồng bộ trạng thái thực thi mã hợp đồng và các precompile trong quá trình cầu nối tiền gửi từ L1 sang L2. Nếu không có giới hạn xử lý rõ ràng, thời gian xử lý block có thể kéo dài và khiến chuỗi tạm thời ngưng trệ.

Trường TxDependency từng là kẽ hở khiến peer nhận dữ liệu gặp lỗi xử lý nếu người tạo block nhét vào một khối dữ liệu quá lớn. Polygon Labs giải thích rằng cả hai vấn đề ảnh hưởng đến mức tiêu hao tài nguyên và tính sẵn sàng của mạng, hơn là tính chính xác của cơ chế đồng thuận.

Hard fork Kyoto củng cố tầng đồng thuận. Vấn đề chính được xử lý là tình trạng thông điệp google.protobuf.Any trong giao dịch Heimdall có thể lồng nhau mà không giới hạn độ sâu.

Với cấu trúc cũ, một giao dịch đơn lẻ bị thao túng có thể buộc toàn bộ tập hợp validator thực hiện khối lượng lớn phép tính giải mã. Trong mô hình blockchain mà toàn bộ mạng validator phải xử lý cùng một input, một lỗi kiểm tra input nhỏ cũng có thể biến thành chi phí cho cả mạng lưới.

Kyoto còn bao gồm các điều chỉnh khác: △giới hạn số lượng coin phí, △hiệu chỉnh xử lý chữ ký checkpoint, △củng cố xác thực milestone, △ngăn xung đột khóa khi thực thi lại sự kiện L1. Polygon Labs khẳng định các thay đổi này không ảnh hưởng đến lưu lượng giao dịch bình thường, cơ chế chặn chỉ kích hoạt với input bị thao túng — đối tượng mà bản vá nhắm tới.

Austin được kích hoạt tại block 91.949.700 trên mainnet. Kyoto được kích hoạt tại độ cao 51.533.000 trên mainnet, còn Heimdall v0.11.0 được triển khai lên mainnet cùng hard fork Kyoto vào lúc 17 giờ 10 phút 31 giây ngày 18 (giờ Việt Nam).

Polygon Labs cho biết các lỗ hổng này chưa từng gây ra sự cố nào được ghi nhận trên mainnet và đã được xử lý trước khi bị khai thác. Tuy nhiên, đơn vị này lưu ý rằng những node vẫn chạy phiên bản cũ sau khi mạng vượt qua độ cao kích hoạt hard fork có thể bị tách khỏi chuỗi chính thức.

Bor v2.10.0 là phiên bản bắt buộc đối với toàn bộ node Polygon PoS. Heimdall v0.11.0 được đưa ra như phiên bản bắt buộc cho validator và full node.

Cả hai bản nâng cấp đều triển khai theo hình thức cập nhật binary thông thường. Polygon Labs cho biết không cần di chuyển trạng thái, thay đổi genesis hay đồng bộ lại riêng.

Hard fork là bản nâng cấp làm thay đổi quy tắc mạng lưới. Bor là client thực thi của Polygon, còn Heimdall là client liên quan đến xác thực và đồng thuận.

Thông tin lần này là phần tiếp theo của bài viết trước đó của TokenPost về việc mạng bằng chứng cổ phần của Polygon đã được vá qua hai đợt hard fork. Bình luận từ giới quan sát cho rằng với nhà đầu tư tại Việt Nam, điều đáng quan tâm hơn biến động giá ngắn hạn là việc các đơn vị vận hành node có bắt buộc phải nâng cấp hay không, cùng mức độ ổn định của hạ tầng vận hành.

Thông tin kỹ thuật được Polygon Labs công bố trên diễn đàn cộng đồng Polygon và trong thông báo phát hành Heimdall v0.11.0.