폴리곤 보안 하드포크 뒤 취약점 세부 공개

폴리곤(POL)이 지분증명(PoS) 네트워크의 보안 취약점을 두 차례 하드포크로 수정한 뒤 기술 세부 내용을 공개했다. 수정 대상은 서비스거부(DoS) 위험과 검증자 자원 소모 문제였다.

폴리곤 랩스(Polygon Labs) 검증자 지원팀은 27일 오후 6시14분 한국시간 커뮤니티 포럼에서 보르(Bor) v2.10.0 오스틴(Austin) 하드포크와 하임달(Heimdall) v0.11.0 교토(Kyoto) 하드포크가 보안·가용성 문제를 다뤘다고 밝혔다. 두 업그레이드는 아모이(Amoy) 테스트넷에서 검증된 뒤 메인넷에 적용됐고, 네트워크가 안전해진 뒤 기술 내용이 공개됐다.

오스틴 하드포크는 보르 클라이언트의 블록 처리 과정에서 발생할 수 있는 두 가지 서비스거부 경로를 막았다. 상태 동기화 이벤트가 블록당 하드캡 없이 처리될 수 있던 문제를 고쳤고, 병렬 실행 힌트로 쓰이던 TxDependency 필드가 크기 제한 없이 커질 수 있던 구조를 제거했다.

상태 동기화 이벤트는 L1에서 L2로 이어지는 브리지 예치 과정에서 계약 코드와 프리컴파일을 실행한다. 처리량 제한이 명확하지 않으면 블록 처리 시간이 길어져 체인이 일시적으로 멈출 수 있다.

TxDependency 필드는 블록 생산자가 지나치게 큰 데이터 덩어리를 넣을 경우 이를 받은 피어가 처리 중 충돌할 수 있는 경로였다. 폴리곤 랩스는 두 문제가 합의 정확성보다 자원 소모와 가용성에 영향을 줄 수 있는 사안이라고 설명했다.

교토 하드포크는 합의 계층을 보강했다. 하임달 트랜잭션 안의 google.protobuf.Any 메시지가 중첩될 때 깊이 제한이 없던 문제가 주요 수정 항목으로 제시됐다.

이 구조에서는 조작된 단일 트랜잭션이 전체 검증자 집합에 많은 디코딩 연산을 요구할 수 있었다. 검증자 네트워크 전체가 같은 입력을 처리하는 블록체인 구조에서는 일부 입력 검증 문제가 네트워크 비용으로 번질 수 있다.

교토에는 수수료 코인 개수 제한, 체크포인트 서명 처리 보정, 마일스톤 검증 보강, L1 이벤트 재실행 키 충돌 방지 등도 포함됐다. 폴리곤 랩스는 정상 트래픽에는 영향이 없고, 방어 대상인 조작 입력에서만 차단 로직이 작동한다고 밝혔다.

오스틴은 메인넷 블록 9194만9700에서 활성화됐다. 교토는 메인넷 높이 5153만3000에서 활성화됐으며, 하임달 v0.11.0은 18일 오후 7시10분31초 한국시간 교토 하드포크와 함께 메인넷에 적용됐다.

폴리곤 랩스는 이번 취약점이 메인넷 장애로 관측되지 않았고, 악용 전에 선제적으로 처리됐다고 밝혔다. 다만 하드포크 활성화 높이를 지난 뒤에도 구버전을 쓰는 노드는 정식 체인에서 벗어난 상태가 될 수 있다고 했다.

보르 v2.10.0은 모든 폴리곤 PoS 노드에 필요한 버전이다. 하임달 v0.11.0은 검증자와 풀노드에 필요한 버전으로 제시됐다.

두 업그레이드는 일반 바이너리 업그레이드 방식이다. 상태 이전이나 제네시스 변경, 별도 재동기화는 필요하지 않다고 폴리곤 랩스는 밝혔다.

하드포크는 네트워크 규칙을 바꾸는 업그레이드다. 보르는 폴리곤의 실행 클라이언트이고, 하임달은 검증·합의와 관련된 클라이언트다.

이번 공개는 폴리곤 지분증명망 취약점이 하드포크 두 차례로 수정됐다는 본지 보도의 후속 내용이다. 한국 투자자에게는 단기 가격보다 노드 운영자의 필수 업그레이드 여부와 인프라 운영 안정성이 더 직접적인 확인 지점이다.

원출처: Polygon Community Forum, Heimdall v0.11.0 공지