Polygon stelt hard fork voor om POL van hackers terug te halen

Wat er gebeurde

Een lid van het Polygon Labs Validator Support Team heeft een voorstel ingediend voor een hard fork. Die zou de saldi van vijf geblokkeerde adressen op nul zetten bij een vast blok en hetzelfde bedrag toekennen aan herstelwallets van Polymarket en Binance.

In totaal gaat het om circa 70,49 miljoen POL, volgens het voorstel ongeveer $6,5 miljoen waard. De gestolen POL stammen uit twee afzonderlijke incidenten eind oktober.

Op 29 oktober werd Polymarket getroffen via een gecompromitteerd script van een derde partij. Daarbij verdwenen ongeveer 28 miljoen POL uit actieve handelsessies. Validators plaatsten vier adressen die bij dat incident horen op de blocklist, samen goed voor ongeveer 23,86 miljoen POL. Eén adres had 3.282.275,71 POL in twee transfers doorgestuurd.

Ook op 29 oktober raakte een Binance-hotwallet gecompromitteerd nadat de laptop van een engineer was gekraakt. In block 96.406.484 stuurde die wallet 46.626.589,6 POL en 6.185.900,1 USDT naar één aanvaller. Tether heeft de USDT later bevroren, waardoor alleen de POL nog op de blocklist blijven staan.

Na de hacks plaatsten validator-elected block producers de aanvallersadressen op de Bor transaction blocklist. Die lijst heeft tot nu toe beweging van de fondsen tegengehouden. Het voorstel noemt de blocklist echter een tijdelijke oplossing. De lijst werkt alleen als elke block producer zijn kopie bij herstart inleest. Wijzigingen vereisen deployment en een restart en er is geen automatische vervaldatum. De filter dekt bovendien niet alle soorten transacties of autoriteiten, dus het is geen volledige asset freeze.

De aanvaller bleef het systeem testen. Op 30 oktober verscheen een pending transactie met een fee van ongeveer 219.450 POL, of 10,45 POL per gas. De aanvaller nam ook contact op met validators en bood geld aan om een transactie te ontgrendelen. Polymarket opende daarnaast een on-chain recoverykanaal via de SEAL Safe Harbor Recovery Safe, maar kreeg geen reactie.

Voor de hard fork moeten Polymarket en Binance aantonen dat ze controle hebben over hun hersteladressen, bijvoorbeeld met een ondertekend bericht of een kleine testtransfer die Polygon Labs bevestigt. De voorgestelde fork verandert de totale POL-supply niet en laat Heimdall, StakeManager en bridge-contracten ongewijzigd. Het voorstel benadrukt dat dit een extreme maatregel is en geen algemeen instrument om fondsen te bevriezen.

Alle validators, RPC-providers, exchanges en node-operators moeten hun Bor-clients upgraden voor het activeringsblok. Niet-geupgradede nodes volgen een andere keten. Polygon validator operations verwacht dat ongeveer 70% tot 80% van de stake snel de vereiste versie zal draaien na release.

Het voorstel staat gepland voor presentatie tijdens de Polygon Protocol Governance Call op 5 november om 14:30 UTC. Als het wordt goedgekeurd, wordt ontwikkeling en testen op het Amoy-testnet verwacht in circa twee weken.

Waarom dit telt

De voorgestelde hard fork is een uitzonderlijke maatregel om gestolen tokens terug te halen en toont de beperkingen van de huidige blocklist als permanente oplossing. Voor beleggers in POL betekent dit dat er een besluit moet komen van de validatorgemeenschap, en dat de uitvoering afhangt van brede software-upgrades door het netwerk.