Polygon overweegt hard fork om 70 miljoen gestolen POL van Binance en Polymarket terug te halen

Polygon kan binnenkort iets doen wat een blockchain liever vermijdt: tokens weghalen van een adres zonder dat de eigenaar daar zelf voor tekent. Een governancevoorstel wil met een hard fork ongeveer 70,49 miljoen POL terughalen. Die tokens werden eind oktober buitgemaakt bij twee aparte hacks, een bij Binance en een bij Polymarket. Cointelegraph schat de waarde op zo'n 6,8 miljoen dollar. Andere media rekenen met ongeveer 6,5 miljoen dollar. Dat verschil komt door de schommelende koers van POL, want het aantal tokens is in alle berichten hetzelfde.

Vijf adressen, twee slachtoffers

Het voorstel komt volgens FXStreet van een medewerker van het Validator Support Team van Polygon Labs. Binance en Polymarket staan erin als belanghebbenden. Het grootste deel van de buit staat op één adres dat aan de Binance-hack is gekoppeld. De tokens uit de Polymarket-hack zijn over vier adressen verspreid.

Volgens het plan worden de tokens op een vooraf vastgelegd blok van de vijf adressen gehaald en naar geverifieerde herstelwallets van Binance en Polymarket overgezet. Er komen geen nieuwe POL bij en er worden er ook geen verbrand, dus de totale voorraad blijft gelijk. Bij Polymarket wordt bovendien niet alles teruggehaald. Volgens FXStreet blijkt uit het eindrapport van Polymarket dat er zo'n 28 miljoen POL op Polygon PoS terechtkwam. Daarvan werd later ongeveer 24 miljoen op verzoek bevroren.

Bevroren is nog niet terug

De block producers van Polygon houden transacties vanaf de betrokken adressen al tegen, waardoor de buit niet weg kan. Het voorstel noemt die blokkade zelf een tijdelijke noodmaatregel: het geld staat stil, maar komt zo niet terug bij de eigenaren. Volgens Parameter hebben de aanvallers geprobeerd validators om te kopen en hoge transactiekosten geboden om de blokkade te omzeilen. Dat laat zien hoe wankel zo'n bevriezing is.

Voor wie niet dagelijks met protocollen werkt: een hard fork is een wijziging van de regels van een blockchain waarbij alle nodes moeten overstappen op nieuwe software. Meestal gaat het om technische verbeteringen. Hier zou de update rechtstreeks saldi van specifieke adressen aanpassen. Ervaren lezers denken dan meteen aan Ethereum in 2016, toen het terugdraaien van de DAO-hack leidde tot de afsplitsing van Ethereum Classic.

Voor Binance klein bier, voor Polygon een principekwestie

De 4,51 miljoen dollar aan POL valt weg tegen de totale schade bij Binance. De beurs verloor eind oktober ongeveer 6,3 miljard dollar, volgens CNBC de grootste cryptodiefstal ooit gemeld. De FBI wijst Noord-Koreaanse hackers aan als daders. Binance heeft al beloofd de schade zelf te dragen. "Binance will absorb the financial impact of these stolen funds, not our users", liet de beurs weten. Klanten zijn dus niet afhankelijk van deze fork.

Daardoor gaat het hier minder om geld en meer om een precedent. Als validators tokens kunnen bevriezen en een fork ze daarna kan verplaatsen, is de belofte dat transacties onomkeerbaar zijn op Polygon in de praktijk voorwaardelijk. Daar staat tegenover dat weinig mensen het principieel vinden om buit in handen van aanvallers te laten. Deze afweging bepaalt hoe de stemming uitvalt, en ook hoe andere netwerken naar Polygon kijken.

Eerst testnet, dan pas mainnet

Het plan heeft nog goedkeuring via governance nodig en moet eerst worden getest op Amoy, het testnetwerk van Polygon. De bespreking stond gepland voor 5 november. Een datum voor de hard fork op het hoofdnetwerk is er nog niet. Tot die tijd blijven de vijf adressen geblokkeerd door de block producers.