Binance und Polymarket wollen nach zwei separaten Sicherheitsvorfällen rund 70,49 Millionen POL über einen Hard Fork von Polygon PoS zurückholen. Der am 4. November veröffentlichte Governance-Vorschlag sieht vor, die Guthaben von fünf blockierten Adressen ohne reguläre Transaktion auf verifizierte Empfängeradressen umzubuchen.

Auf fünf blockierten Adressen liegen POL im Wert von rund 6,5 Millionen US-Dollar

Vier der Adressen werden dem Angriff auf Polymarket vom 29. Oktober zugeordnet. Dort liegen laut Entwurf rund 23,86 Millionen POL von insgesamt etwa 28 Millionen POL, die bei dem Vorfall betroffen waren. Laut Polymarkets Vorfallbericht nutzte ein manipuliertes Skript eines externen Dienstleisters aktive Sitzungen, um Positionen zu verkaufen und Guthaben aus Nutzer-Wallets abzuziehen.

Auf die fünfte Adresse entfallen rund 46,63 Millionen POL aus dem Angriff auf Binance. Aus einer Hot Wallet der Börse flossen laut Entwurf auch rund 6,19 Millionen USDT an dieselbe Adresse. Tether hat diese Stablecoins bereits eingefroren. Die 70,49 Millionen POL entsprachen beim im Entwurf genannten Kurs vom 29. Oktober einem Wert von rund 6,5 Millionen US-Dollar.

Tipp der Redaktion: Krypto-Beben nach US-Wahl: Wird Trumps Geschäft zum Bitcoin-Risiko?

Auf Bitten beider Unternehmen nahmen die Blockproduzenten von Polygon PoS die Adressen in die Transaktionssperrliste des Bor-Clients auf. Der Filter erfasst laut Vorschlag nur direkte Transaktionsabsender und Adressen, die eine EIP-7702-Autorisierung erteilen.

Am 30. Oktober wurde demnach eine ausstehende Transaktion mit einer angebotenen Gebühr von rund 219.450 POL beobachtet. Laut Entwurf bot der Angreifer Validatoren zudem Geld an, damit sie bei der Freigabe einer Transaktion helfen.

Polymarkets Versuch, über SEAL Safe Harbor on-chain Kontakt aufzunehmen, blieb laut Entwurf unbeantwortet. Einen dauerhaften Mechanismus zum Einfrieren und Rückführen von Guthaben verwerfen die Antragsteller, weil er einen ständigen Zugriff auf Nutzergelder ermöglichen würde.

Hard Fork würde POL ohne Transaktion umbuchen

Im Polygon-Forum begründete Parvez03 den vorgeschlagenen Eingriff mit den Grenzen der Sperrliste.

„Die Sperrliste verhindert, dass die Guthaben bewegt werden, kann sie aber nicht zurückführen. Da sich ein Guthaben ohne den Schlüssel des Inhabers nur durch eine Änderung der Konsensregeln verschieben lässt, ist ein koordinierter Fork erforderlich.“

Zu Beginn eines festgelegten Blocks soll Bor die nativen POL-Salden der fünf Adressen auf null setzen und den jeweiligen Betrag der vorgesehenen Rückführungsadresse von Binance oder Polymarket gutschreiben. Maßgeblich wären nach dem vorgeschlagenen Verfahren die Salden am Ende des vorherigen Blocks. Die Gesamtmenge an POL bliebe gleich.

Weitere von Binance gemeldete Adressen sind von der Umbuchung ausgenommen. Beide Unternehmen müssen gegenüber Polygon Labs nachweisen, dass sie ihre jeweiligen Empfängeradressen kontrollieren.

Lesetipp: Bhutan: Neue Zentralbank darf in Bitcoin und Kryptowährungen investieren

Das Forenmitglied Just sprach sich für den Vorschlag aus und verwies auf die Rolle der Community.

„Binance und Polymarket sind wichtig für das Polygon-Ökosystem und verdienen unsere Unterstützung. Auch in einem dezentralen System erfordern außergewöhnliche Umstände gemeinsames Handeln auf Grundlage transparenter Governance und im Konsens mit der Community.“

Der Entwurf sieht die Vorstellung im Polygon Protocol Governance Call am 5. November um 15:30 Uhr deutscher Zeit vor. Nach einer Zustimmung hält der Vorschlag rund zwei Wochen für die Entwicklung des Clients und einen Probelauf im Amoy-Testnetz für realistisch.

Bis zur Aktivierung sollen alle Blockproduzenten die Sperrliste beibehalten. Die Guthaben der fünf Adressen sollen erneut geprüft und Abweichungen veröffentlicht werden. Der Aktivierungsblock steht noch aus. Nodes, die bis dahin kein Upgrade einspielen, würden ab diesem Block einer anderen Chain folgen.

Die Entscheidung betrifft damit sowohl die Rückführung der Guthaben als auch die Frage, unter welchen Voraussetzungen Polygon einen solchen einmaligen Eingriff in den Kontostand zulässt.