Harmonys ONE-token rasar efter att en angripare präglat 4 miljarder token genom tomma block

Harmony, den så kallade Layer-1-blockkedjan som en gång marknadsförde sig som en skalningslösning för Ethereum, bekräftade den 12 augusti att man hade utsatts för ett säkerhetsintrång efter att en angripare utan tillstånd hade skapat cirka 4 miljarder ONE-tokens – en mängd som motsvarade ungefär 26% av nätverkets totala cirkulerande utbud vid den tidpunkten.

Det första tecknet på problem kom från on-chain-analytikern Juiceberg, som skrev på X att Harmonys blockkedja hade utnyttjats med hjälp av tomma block, och att nätverkets totalSupply-endpoint inte återspeglade de nya token i realtid:

Harmony utnyttjat då on-chain-data avslöjar obehörig skapande av 4 miljarder ONE-tokens (26% av utbudet) via tomma block, varav 2,8 miljarder snabbt kanaliserades till börser när priset kraschade medan ”totalSupply”-ändpunkten döljer inflationen av $ONE

Tomma block är vanliga, giltiga poster i en blockkedja som inte innehåller några användartransaktioner. Enligt Juicebergs upptäckter använde angriparen denna mekanism för att utlösa obehörig skapande av tokens medan kedjans offentliga utbudsmätare förblev fryst, vilket gav tid innan någon nedströms – börser, trackers, andra validerare – märkte att något var fel. När bedrägeriet upptäcktes hade ungefär 2,8 miljarder av de nyskapade tokenen, cirka 97% av det totala antalet, redan nått börsernas plånböcker, där de antingen hade sålts eller låg på insättningskonton, redo att användas. Juiceberg uppskattade att det som fanns kvar på kedjan uppgick till cirka 115 miljoner ONE, eller mindre än 3% av det totala utbytet.

Harmony bekräftade säkerhetsluckan några timmar senare på sitt officiella konto och bad börserna direkt att frysa medel kopplade till fyra plånboksadresser som var kopplade till attacken:

Vi ber alla börser att blockera och frysa medel som kan spåras tillbaka till dessa fyra plånboksadresser: one1uap8dx2z0qsjxqthm5flgcxkeepsz3gsrghnfn 0xe7427699427821230177dd13f460d6ce43014510 one17u300a40ll5wphd8kj5hktryhdjq3ml9f4phy4 0xf722f7f6afffe8e0dda7b4a97b2c64bb6408efe5

Teamet uppgav att man arbetar på en programvarukorrigering och överväger alternativ för återställning, men man avstod från att bekräfta den exakta sårbarheten eller den slutliga storleken på utgivningen. En återställning skulle återställa kedjan till en tidpunkt före utnyttjandet och fortsätta därifrån – vilket låter smidigt i teorin, men det skulle också radera alla legitima transaktioner som användarna gjort under tiden. Det är inte ett beslut som Harmony kan fatta lättvindigt.

Kursreaktionen var omedelbar och kraftig. ONE föll med mellan 26% och 37%, beroende på vilken kursbevakare och vilket tidsfönster man tittar på, och handlades runt 0,0008 dollar. Till det priset motsvarar de totalt 4 miljarder präglade tokenen ungefär 3,2 miljoner dollar på papperet. Det är en liten summa jämfört med hur en bridge-hack på 100 miljoner dollar ser ut i ett kalkylblad, men siffran var aldrig egentligen poängen. Poängen är att ingen upptäckte det medan det pågick.

Det här är inte Harmonys första problem med utbudet. I december 2023 ledde en staking-bug till att 146,28 miljoner ONE präglades felaktigt till dussintals delegatoradresser efter att en ändring av validerarens provision inte hanterades korrekt av nätverkets tillståndsmaskin. Harmony genomförde en nöd-hardfork, även om cirka 16,4 miljoner tokens redan hade nått en börs vid det laget. Ännu längre tillbaka, i juni 2022, komprometterade angripare multisignaturplånboken på Harmonys kedjeöverskridande bro Horizon och tömde den på nära 100 miljoner dollar. Tre incidenter rörande utbudet eller bror på fyra år är ingen tillfällighet som investerare kommer att avfärda så lätt.

Harmony är inte den enda kedjan som brottas med den här typen av problem den här veckan. Ravencoin har kämpat med sin egen rollback-fråga sedan den 7 augusti, efter att en brist i KAWPOW-blockvalideringen släppte in ogiltiga block i dess huvudbok och tvingade miningpooler att återuppbygga kedjan från det första felaktiga blocket. I juni förlorade Humanity Protocol cirka 36 miljoner dollar när komprometterade administratörsnycklar användes för att prägla 300 miljoner obehöriga H-tokens över två nätverk, och det tokenet föll med nästan 90%. Obehörig prägling fortsätter att dyka upp som felkälla, på kedjor som i övrigt har mycket lite gemensamt.

För närvarande håller ONE-innehavarna ett öga på två saker: om Harmony kan få börserna att frysa de tokens som fortfarande finns kvar i insättningsplånböckerna innan de säljs, och om en återställning överhuvudtaget är aktuell utan att man stöter bort de användare vars transaktioner skulle raderas. Inget av svaren verkar enkelt.