Polygon Labs telah menambal beberapa celah keamanan di seluruh jaringan proof-of-stake-nya melalui dua hard fork terkoordinasi, termasuk kerentanan yang dapat memaksa seluruh kumpulan validator untuk melakukan pemrosesan yang mahal dari satu transaksi yang dibuat dengan sengaja.
Tim Dukungan Validator Polygon mengungkapkan perbaikan tersebut dalam sebuah postingan forum pada 27 Agustus setelah hard fork Austin dan Kyoto telah diuji dan diaktifkan. Tim tersebut mengatakan bahwa perbaikan keamanan yang memengaruhi konsensus diterapkan secara pribadi, divalidasi di testnet Amoy, dan diungkapkan hanya setelah armada mainnet terlindungi.
Kerentanan tersebut memengaruhi Bor, klien eksekusi Polygon PoS, dan Heimdall, yang menangani koordinasi validator dan fungsi konsensus lainnya. Polygon mengatakan tidak menemukan bukti bahwa masalah-masalah tersebut telah dieksploitasi atau menyebabkan gangguan di mainnet.
Hard fork Austin meningkatkan Bor ke versi 2.10.0 dan mengatasi dua jalur penolakan layanan (denial of service) yang terkait dengan pemrosesan blok.
Salah satunya melibatkan peristiwa state-sync yang digunakan untuk deposit jembatan L1-ke-L2. Peristiwa semacam itu dapat mengeksekusi kode kontrak dan precompile, tetapi eksekusinya tidak tunduk pada batas gas per blok yang efektif. Austin memperkenalkan batasan seberapa banyak gas yang dapat dikonsumsi oleh peristiwa state-sync dalam satu blok, mencegahnya menghabiskan sumber daya pemrosesan.
Kelemahan terpisah melibatkan data TxDependency yang digunakan selama pemrosesan blok. Produsen blok yang berbahaya dapat memberikan bidang data yang terlalu besar, berpotensi menyebabkan alokasi memori yang berlebihan dan merusak node rekanan yang memproses blok tersebut.
Polygon menggambarkan kedua masalah tersebut sebagai vektor penolakan layanan pemrosesan blok daripada cacat kebenaran konsensus dan mengatakan bahwa keduanya belum menyebabkan gangguan yang diketahui sebelum patch diterapkan.
Hard fork Kyoto, yang memindahkan Heimdall ke versi 0.11.0, mencakup kelompok perbaikan validasi input dan pengerasan konsensus yang lebih besar.
Di antaranya, Polygon mengidentifikasi bidang google.protobuf.Any yang sangat bertumpuk (nested) sebagai kerentanan paling parah dalam kelompok ini. Transaksi Heimdall dapat membungkus pesan di dalam bidang Any, yang pada gilirannya dapat bertumpuk satu sama lain.
Tanpa batas kedalaman, penyerang dapat membuat transaksi yang berisi bidang-bidang yang sangat bertumpuk dengan biaya yang relatif kecil, sementara memaksa setiap validator yang memprosesnya untuk melakukan pekerjaan dekode yang substansial. Polygon mengatakan cacat tersebut menyediakan jalur tanpa izin untuk memaksakan pemrosesan yang mahal dan terkoordinasi di seluruh kumpulan validator.
Kyoto menambahkan pemindaian tingkat byte yang menolak transaksi setelah penumpukan melebihi ambang batas yang ditentukan. Pemeriksaan ini berlaku pada tahap penerimaan mempool dan tahap pemrosesan konsensus sehingga transaksi yang sama tidak dapat diterima melalui satu jalur dan ditolak melalui jalur lain.
Perbaikan Heimdall lainnya mencakup akuntansi pencapaian (milestone accounting), pemrosesan checkpoint, dan replay event L1. Pembuatan future-span yang gagal kini dapat menurun dan mencoba lagi pada batas berikutnya, alih-alih memblokir komit pencapaian, sementara kunci replay baru mengatasi kasus tepi di mana peristiwa L1 yang berbeda dapat bertabrakan.
Kedua hard fork ini wajib bagi operator yang ingin tetap berada di jaringan PoS Polygon kanonis.
Bor v2.10.0 diperlukan untuk semua node, sementara Heimdall v0.11.0 berlaku untuk validator dan full node. Polygon mengatakan operator yang menjalankan versi sebelum ketinggian aktivasi telah "fork away" dari konsensus kanonis dan harus memperbarui perangkat lunak mereka untuk bergabung kembali dengan jaringan.
Perubahan-perubahan ini disampaikan sebagai peningkatan biner, yang berarti operator tidak perlu memigrasikan status, memodifikasi konfigurasi genesis, atau melakukan resync penuh. Node yang telah keluar dari konsensus dapat melakukan upgrade dan kembali ke ketinggian pra-hard-fork yang sesuai sebelum menyusul rantai kanonis.
Polygon sebelumnya telah menggunakan hard fork untuk mengatasi masalah yang memengaruhi infrastruktur PoS-nya. Pada bulan September 2025, para pengembang mengeksekusi hard fork setelah bug perangkat lunak menyebabkan penundaan finalisasi transaksi hingga 15 menit.
Insiden sebelumnya memengaruhi sinkronisasi validator dan finalisasi cepat lokal sementara produksi blok dan checkpointing Ethereum terus berlanjut. Pembaruan Bor dan Heimdall diterapkan untuk memulihkan pemrosesan pencapaian, sinkronisasi status, dan finalisasi konsensus.
Sebulan kemudian, peningkatan mainnet Rio memperkenalkan validasi tanpa status berbasis saksi (witness-based stateless validation) dan model Produsen Blok yang Dipilih Validator (Validator-Elected Block Producer) karena Polygon terus mengubah cara jaringan PoS-nya memproses dan memverifikasi transaksi.
Kinerja jaringan tetap menjadi fokus lain pada tahun 2026. Pada bulan Mei, crypto.news sebelumnya melaporkan bahwa Polygon telah mengurangi waktu blok menjadi rata-rata 1,75 detik, pengurangan waktu blok pertamanya sejak diluncurkan.
Insinyur perangkat lunak Polygon, Lucca Martins, mengatakan pada saat itu bahwa perubahan tersebut meningkatkan throughput teoretis menjadi sekitar 3.260 transaksi per detik dan memungkinkan jaringan untuk memproses sekitar 14% lebih banyak pembayaran per detik. Pekerjaan ini merupakan bagian dari dorongan Polygon untuk mendukung volume transaksi yang lebih tinggi dari pembayaran stablecoin dan aktivitas keuangan terdesentralisasi.
Perbaikan keamanan terbaru tiba setelah Polygon menyelesaikan penggantian MATIC dengan POL sebagai token gas dan staking asli di jaringan PoS-nya. Migrasi dimulai pada September 2024 sebagai bagian dari peta jalan Polygon 2.0, dengan MATIC yang disimpan langsung di Polygon PoS dikonversi ke POL dengan rasio satu-ke-satu.
Rencana awal MATIC-ke-POL menetapkan POL sebagai token yang digunakan untuk pembayaran gas dan staking, sementara fungsi yang diusulkan diharapkan akan berkembang seiring Polygon mengembangkan arsitektur staking dan aggregated-chain-nya.
Perubahan juga telah meluas ke Polygon Labs sendiri. Pada bulan Juli, perusahaan memangkas putaran pekerjaan lainnya sambil menyelesaikan integrasi bursa kripto Coinme. CEO Marc Boiron mengatakan restrukturisasi ini dirancang untuk mendukung profitabilitas pada tahun 2027 saat Polygon Labs bergerak menuju model bisnis yang berfokus pada pembayaran.
POL menunjukkan sedikit reaksi positif terhadap pengungkapan keamanan tersebut. Token tersebut diperdagangkan mendekati $0,09983 pada 30 Agustus, turun sekitar 2,3% selama 24 jam sebelumnya dan 6,8% selama tujuh hari, menurut data CoinGecko yang diberikan bersama laporan tersebut. Harganya tetap sekitar 60,8% lebih rendah dari setahun sebelumnya, memberikan token tersebut kapitalisasi pasar sekitar $1,07 miliar.
