Курс токена ONE от Harmony обвалился после того, как злоумышленник отчеканил 4 миллиарда токенов с помощью пустых блоков

Harmony, блокчейн первого уровня, который когда-то позиционировал себя как решение для масштабирования Ethereum, 12 августа подтвердил, что стал жертвой атаки, в ходе которой злоумышленник без разрешения выпустил около 4 миллиардов токенов ONE — сумма, равная примерно 26% всего находящегося в обращении объема сети на тот момент.

Первый сигнал о проблеме поступил от аналитика цепочки блоков Juiceberg, который написал в X, что блокчейн Harmony был взломан с использованием пустых блоков, а конечная точка totalSupply сети не отражала появление новых токенов в режиме реального времени:

Harmony подвергся взлому: данные цепочки блоков показывают несанкционированный выпуск 4 млрд ONE (26% от общего объема) с помощью пустых блоков, при этом 2,8 млрд быстро были перенаправлены на биржи на фоне обвала цены, а конечная точка totalSupply скрывает инфляцию $ONE

Пустые блоки — это обычные, действительные записи в блокчейне, не содержащие пользовательских транзакций. Согласно выводам Juiceberg, злоумышленник использовал этот механизм для запуска несанкционированного создания токенов, в то время как публичный счетчик предложения цепочки оставался замороженным, что позволило выиграть время, прежде чем кто-либо из последующих участников — биржи, трекеры, другие валидаторы — заметил, что что-то не так. К моменту обнаружения мошенничества примерно 2,8 миллиарда вновь созданных токенов, что составляет около 97% от общего количества, уже поступили на кошельки бирж, где они либо были проданы, либо находились на депозитных счетах, готовые к продаже. Juiceberg оценил оставшуюся в цепочке сумму примерно в 115 миллионов ONE, или менее 3% от общей добычи.

Через несколько часов Harmony подтвердила факт взлома на своём официальном аккаунте и обратилась напрямую к биржам с просьбой заморозить средства, связанные с четырьмя адресами кошельков, причастных к атаке:

Мы просим все биржи заблокировать и заморозить средства, которые можно отследить до этих 4 адресов кошельков: one1uap8dx2z0qsjxqthm5flgcxkeepsz3gsrghnfn 0xe7427699427821230177dd13f460d6ce43014510 one17u300a40ll5wphd8kj5hktryhdjq3ml9f4phy4 0xf722f7f6afffe8e0dda7b4a97b2c64bb6408efe5

Команда заявила, что работает над исправлением программного обеспечения и рассматривает варианты отката, хотя и не подтвердила ни точную уязвимость, ни окончательный объем эмиссии. Откат вернёт цепочку к моменту, предшествующему эксплоиту, и продолжит работу с этого момента — что в теории звучит просто, но приведёт к удалению всех легитимных транзакций, совершённых пользователями за это время. Harmony не может принять такое решение легкомысленно.

Реакция рынка была мгновенной и резкой. Цена ONE упала на 26–37% (в зависимости от того, какой трекер и какой временной интервал вы проверяете) и торговалась на уровне около 0,0008 доллара. При такой цене общий объем выпущенных токенов в 4 миллиарда на бумаге составляет примерно 3,2 миллиона долларов. Это мелочь по сравнению с тем, как выглядит взлом моста на 100 миллионов долларов в таблице, но суть никогда не заключалась в цифрах. Суть в том, что никто не заметил этого, пока это происходило.

Это не первый случай с перебоями в предложении у Harmony. В декабре 2023 года из-за ошибки в системе стейкинга было неправомерно выпущено 146,28 млн ONE на десятки адресов делегатов после того, как механизм состояния сети некорректно обработал изменение комиссии валидаторов. Harmony провела экстренный хард-форк, хотя к тому моменту около 16,4 млн токенов уже поступили на биржу. Еще раньше, в июне 2022 года, злоумышленники взломали кошелек с мультиподписью на кросс-чейн-мосте Harmony Horizon и похитили почти 100 миллионов долларов. Три инцидента, связанных с предложением или мостами, за четыре года — это не совпадение, с которым инвесторы легко смирятся.

Harmony — не единственная цепочка, столкнувшаяся на этой неделе с подобными проблемами. Ravencoin с 7 августа борется со своей собственной проблемой отката после того, как уязвимость в механизме валидации блоков KAWPOW позволила недействительным блокам попасть в реестр и вынудила майнинговые пулы перестроить цепочку, начиная с первого некорректного блока. В июне протокол Humanity Protocol потерял около 36 миллионов долларов, когда с помощью взломанных административных ключей было выпущено 300 миллионов несанкционированных токенов H в двух сетях, в результате чего курс этого токена упал почти на 90%. Несанкционированный выпуск токенов продолжает оставаться основной причиной сбоев в сетях, которые практически ничем другим не связаны между собой.

На данный момент держатели ONE следят за двумя моментами: сможет ли Harmony убедить биржи заморозить токены, все еще находящиеся в депозитных кошельках, до их продажи, и рассматривается ли вообще возможность отката без ущерба для пользователей, чьи транзакции будут аннулированы. Ни один из ответов не выглядит однозначным.