Polygon cerró en silencio tres fallos graves en su red

Polygon ha corregido varias vulnerabilidades de seguridad en su red que, de haber sido explotadas, podrían haber causado problemas importantes. Los atacantes habrían podido sobrecargar a los validadores, retrasar la creación de nuevos bloques y provocar fallos en equipos dentro de la red.

Polygon mantuvo las vulnerabilidades en secreto de forma deliberada hasta que se aplicaron las actualizaciones necesarias. Según el proyecto cripto, no hay indicios de que los atacantes llegaran a explotarlas.

Un atacante podía alterar la red de Polygon

El problema más grave se encontraba en Heimdall, un componente clave de Polygon. Un atacante podría haber enviado una transacción especialmente manipulada que obligara a los validadores a realizar una carga de cálculo extremadamente elevada.

Esto supone un riesgo porque los validadores son necesarios para verificar las transacciones y mantener la red en funcionamiento. Si un número suficiente de validadores queda sobrecargado, el procesamiento de nuevos bloques puede ralentizarse.

También se descubrieron dos vulnerabilidades en Bor, otro componente importante de Polygon. Con ellas, los atacantes podían someter a los equipos de la red a una carga tan intensa que se volvieran más lentos o incluso se bloquearan.

Polygon afirma no haber encontrado pruebas de que esto haya ocurrido realmente.

Polygon mantuvo los problemas en secreto de forma temporal

Lo llamativo es que Polygon no hizo públicas las vulnerabilidades hasta después de haberlas solucionado. Fue una decisión deliberada. Si los detalles técnicos se hubieran difundido antes, los atacantes podrían haber actuado mientras los validadores seguían utilizando software vulnerable.

Por ello, Polygon desarrolló y probó primero las soluciones. Después, las actualizaciones se introdujeron mediante los hard forks Austin y Kyoto. Los administradores tuvieron que migrar al nuevo software para seguir conectados a la versión oficial de la red.

Las actualizaciones de seguridad ya están activas. Los nodos de Polygon deben utilizar como mínimo Bor v2.10.0. Para los validadores y otros equipos que ejecuten Heimdall se requiere al menos la versión v0.11.0.