Polygon schließt drei kritische Sicherheitslücken nahezu unbemerkt

Polygon hat mehrere Sicherheitslücken in seinem Netzwerk geschlossen, die bei einer Ausnutzung erhebliche Probleme hätten verursachen können. Angreifer hätten Validatoren überlasten, die Verarbeitung neuer Blöcke verzögern und Rechner im Netzwerk zum Absturz bringen können.

Polygon hielt die Schwachstellen bewusst geheim, bis die erforderlichen Updates eingespielt waren. Nach Angaben des Kryptoprojekts gibt es keine Hinweise darauf, dass Angreifer die Lücken tatsächlich ausgenutzt haben.

Angreifer konnten Polygon-Netzwerk stören

Das gravierendste Problem betraf Heimdall, einen wichtigen Bestandteil von Polygon. Ein Angreifer hätte eine speziell präparierte Transaktion senden können, durch die Validatoren extrem viel Rechenleistung hätten aufbringen müssen.

Brisant ist das, weil Validatoren Transaktionen prüfen und den Betrieb des Netzwerks sichern. Werden genügend Validatoren überlastet, kann sich die Verarbeitung neuer Blöcke verzögern.

Auch in Bor, einem weiteren wichtigen Bestandteil von Polygon, wurden zwei Schwachstellen entdeckt. Darüber hätten Angreifer Rechner im Netzwerk so stark belasten können, dass sie langsamer geworden oder sogar abgestürzt wären.

Polygon erklärte, keine Belege dafür gefunden zu haben, dass es tatsächlich dazu gekommen ist.

Polygon hielt Schwachstellen vorerst unter Verschluss

Bemerkenswert ist, dass Polygon die Schwachstellen erst nach ihrer Behebung öffentlich machte. Das geschah bewusst: Wären die technischen Details früher bekannt geworden, hätten Angreifer die Lücken möglicherweise ausnutzen können, solange Validatoren noch mit anfälliger Software arbeiteten.

Polygon entwickelte und testete daher zunächst entsprechende Lösungen. Anschließend wurden die Updates über die Hard Forks Austin und Kyoto eingeführt. Betreiber mussten dabei auf neue Software umstellen, um mit der offiziellen Netzwerkversion verbunden zu bleiben.

Die Sicherheitsupdates sind inzwischen aktiv. Polygon-Nodes müssen mindestens Bor v2.10.0 verwenden. Für Validatoren und andere Rechner, auf denen Heimdall läuft, ist mindestens Version v0.11.0 erforderlich.