Austin e Kyoto: Polygon explica por que esses hard forks eram necessários

Polygon finalmente explicou o que seus hard forks Austin e Kyoto escondiam. As duas atualizações corrigiram várias falhas de segurança mantidas em sigilo durante seu lançamento. Algumas podiam desacelerar a rede, travar nós ou forçar os validadores a realizar um trabalho computacional muito custoso. Polygon afirma não ter observado nenhuma exploração na mainnet.

Cripto: Austin fechou duas falhas no Bor

Polygon já conhece hard forks de segurança. Em 2025, a rede teve que corrigir um bug crítico com uma atualização de emergência. Desta vez, Austin se concentrou no Bor, o cliente responsável, entre outras coisas, por produzir os blocos do Polygon PoS.

A primeira falha estava relacionada às operações de state sync vindas do Ethereum para o Polygon. Essas operações podem executar código e consumir gas. Ao contrário das transações cripto tradicionais, nenhum limite rígido limitava seu consumo total em um bloco.

Um bloco suficientemente carregado podia, portanto, exigir trabalho demais dos nós. Polygon adicionou um limite. A segunda vulnerabilidade vinha de um campo chamado TxDependency. Ele ajudava na execução paralela das transações, mas seu tamanho não era limitado.

Um produtor de bloco poderia teoricamente criar um campo enorme. Outro nó recebia o bloco e podia travar ao tentar processá-lo. Austin simplesmente removeu esse campo do formato transmitido entre os nós.

Kyoto protegia principalmente o Heimdall

Kyoto dizia respeito ao Heimdall, outro grande componente da rede Polygon PoS. Polygon já havia modernizado profundamente esse componente com Heimdall v2, apresentado como seu hard fork mais complexo desde 2020.

A falha mais importante vinha de transações cripto especialmente construídas. Heimdall usa estruturas que podem conter outras estruturas. Sem limite de profundidade, um atacante poderia empilhar esses elementos e enviar uma transação relativamente simples de criar.

Os validadores então precisavam realizar muitos cálculos para decodificá-la. Trabalho repetido em quase todos os validadores. Kyoto agora impõe uma profundidade máxima e rejeita as transações que ultrapassam esse limite.

A atualização também corrige uma lista de taxas que podia se tornar extremamente longa. Novamente, o objetivo era impedir que um usuário consumisse recursos desnecessariamente.

Outras correções afetam checkpoints, milestones e alguns eventos vindos do Ethereum. Uma assinatura de checkpoint válida podia aparecer em uma forma que falhava no processamento no Ethereum. Não é preciso roubar tokens para atrapalhar uma rede. Fazer os validadores perderem tempo já é suficiente.

Polygon corrigiu antes de falar

Polygon não publicou os detalhes imediatamente. Austin e Kyoto foram primeiro implantados discretamente, testados em Amoy e depois ativados na mainnet. As explicações vieram depois.

Isso foi intencional. Divulgar uma falha antes dos validadores terem o patch também daria o modo de operação para os atacantes. Austin agora requer Bor v2.10.0. Kyoto exige Heimdall v0.11.0 para validadores e full nodes.

Os operadores que continuaram em uma versão antiga após os blocos de ativação já não acompanham mais a cadeia canônica. Eles devem atualizar seu software e depois sincronizar novamente.

Polygon garante que nenhuma das vulnerabilidades divulgadas causou incidentes conhecidos na mainnet. As correções foram, portanto, preventivas. A rede acelerou muito suas atualizações nos últimos dois anos. No final de 2025, Polygon lançou Madhugiri para reduzir o tempo de consenso e aumentar o desempenho. Austin e Kyoto contam outra parte do trabalho. Não mais velocidade desta vez. Apenas portas que era melhor fechar antes que alguém tentasse abri-las.