Krypto: Polygon erklärt, warum die Hard Forks Austin und Kyoto notwendig waren

Polygon hat endlich erklärt, was hinter seinen Hard Forks Austin und Kyoto steckte. Die beiden Updates haben mehrere Sicherheitsanfälligkeiten behoben, die während ihrer Bereitstellung geheim gehalten wurden. Einige davon konnten das Netzwerk verlangsamen, Knoten zum Absturz bringen oder Validatoren zwingen, sehr rechenintensive Arbeiten auszuführen. Polygon gibt an, dass im Mainnet keine Ausnutzung beobachtet wurde.

Zusammenfassung

• Austin hat zwei Denial-of-Service-Risiken in Bor behoben.
• Kyoto hat Heimdall gegen mehrere Angriffe und Validierungsfehler abgesichert.
• Die Korrekturen wurden bereits vor ihrer öffentlichen Bekanntgabe aktiviert.

Krypto: Austin hat zwei Schwachstellen in Bor geschlossen

Polygon ist bereits mit Sicherheits-Hard Forks vertraut. Im Jahr 2025 musste das Netzwerk einen kritischen Fehler mit einem Notfall-Update beheben. Austin konzentrierte sich diesmal auf Bor, den Client, der unter anderem für die Erstellung der Blöcke von Polygon PoS verantwortlich ist.

Die erste Schwachstelle betraf die State-Sync-Operationen von Ethereum zu Polygon. Diese Operationen können Code ausführen und Gas verbrauchen. Im Gegensatz zu klassischen Krypto-Transaktionen gab es jedoch keine strikte Obergrenze für ihren Gesamtverbrauch in einem Block.

Ein ausreichend überladener Block konnte daher viel zu viel Arbeit von den Knoten verlangen. Polygon hat eine Obergrenze hinzugefügt. Die zweite Schwäche kam von einem Feld namens TxDependency. Es diente dazu, die parallele Ausführung von Transaktionen zu unterstützen, aber seine Größe war nicht begrenzt.

Ein Blockproduzent konnte theoretisch ein riesiges Feld erstellen. Ein anderer Knoten erhielt den Block und konnte dann beim Versuch, ihn zu verarbeiten, abstürzen. Austin hat dieses Feld einfach aus dem Format entfernt, das zwischen den Knoten übertragen wird.

Kyoto schützte vor allem Heimdall

Kyoto betraf Heimdall, das andere große Element des Polygon PoS-Netzwerks. Polygon hatte diese Komponente bereits mit Heimdall v2, das als sein komplexester Hard Fork seit 2020 vorgestellt wurde, grundlegend modernisiert.

Die wichtigste Schwachstelle kam von speziell konstruierten Krypto-Transaktionen. Heimdall verwendet Strukturen, die in der Lage sind, andere zu enthalten. Ohne Tiefenbegrenzung konnte ein Angreifer diese Elemente stapeln und eine relativ einfach zu erstellende Transaktion senden.

Die Validatoren mussten dann viele Berechnungen durchführen, um sie zu dekodieren. Dieselbe Arbeit. Bei fast allen Validatoren. Kyoto setzt jetzt eine maximale Tiefe fest und lehnt Transaktionen ab, die diese Schwelle überschreiten.

Das Update behebt auch eine Liste von Gebühren, die zuvor extrem lang werden konnte. Auch hier war das Ziel, zu verhindern, dass ein Benutzer unnötige Ressourcen verbraucht.

Weitere Korrekturen betreffen die Checkpoints, die Meilensteine und bestimmte Ereignisse von Ethereum. Eine gültige Checkpoint-Signatur konnte insbesondere in einer Form ankommen, die dann bei der Verarbeitung auf Ethereum fehlschlug. Es ist nicht notwendig, Tokens zu stehlen, um ein Netzwerk zu stören. Validatoren in der Krypto-Welt Zeit zu stehlen, kann bereits ausreichen.

Polygon hatte vor der Bekanntgabe korrigiert

Polygon hat die Details nicht sofort veröffentlicht. Austin und Kyoto wurden zunächst diskret bereitgestellt, auf Amoy getestet und dann im Mainnet aktiviert. Die Erklärungen kamen danach.

Das ist absichtlich. Eine Schwachstelle zu veröffentlichen, bevor die Validatoren den Fix hatten, hätte den Angreifern auch die Anleitung gegeben. Austin benötigt jetzt Bor v2.10.0. Kyoto verlangt Heimdall v0.11.0 für die Validatoren und die Full Nodes.

Polygon versichert, dass keine der veröffentlichten Schwachstellen zu einem bekannten Vorfall im Mainnet geführt hat. Die Korrekturen waren also präventiv. Das Netzwerk hat seine Updates in den letzten zwei Jahren erheblich beschleunigt. Ende 2025 hatte Polygon Madhugiri bereitgestellt, um die Konsenszeit zu verkürzen und die Leistung zu steigern. Austin und Kyoto erzählen einen anderen Teil der Arbeit. Diesmal nicht mehr Geschwindigkeit. Einfach nur Türen, die besser geschlossen werden sollten, bevor jemand versucht, sie zu öffnen.

Die Betreiber, die nach den Aktivierungshöhen auf einer alten Version geblieben sind, folgen bereits nicht mehr der kanonischen Kette. Sie müssen ihre Software aktualisieren und sich dann neu synchronisieren.