Kurs tokenu ONE firmy Harmony gwałtownie spadł po tym, jak osoba atakująca wyemitowała 4 miliardy tokenów za pomocą pustych bloków

Harmony, łańcuch bloków warstwy 1, który niegdyś reklamował się jako rozwiązanie skalujące Ethereum, potwierdził 12 sierpnia, że padł ofiarą ataku, w wyniku którego osoba atakująca wyemitowała bez upoważnienia około 4 miliardów tokenów ONE — kwotę równą około 26% całej podaży w obiegu sieci w tamtym czasie.

Pierwsze sygnały o problemach pojawiły się dzięki analitykowi łańcucha bloków Juicebergowi, który opublikował na X informację, że łańcuch bloków Harmony został wykorzystany przy użyciu pustych bloków, a punkt końcowy totalSupply sieci nie odzwierciedlał nowych tokenów w czasie rzeczywistym:

Sieć Harmony została wykorzystana – dane z łańcucha bloków ujawniają nieautoryzowane wyemitowanie 4 mld tokenów ONE (26% podaży) za pomocą pustych bloków, z czego 2,8 mld zostało szybko przetransferowane na giełdy w wyniku załamania ceny, podczas gdy punkt końcowy totalSupply ukrywa inflację $ONE

Puste bloki to zwykłe, prawidłowe wpisy w łańcuchu bloków, które nie zawierają żadnych transakcji użytkowników. Zgodnie z ustaleniami Juiceberga atakujący wykorzystał ten mechanizm do wywołania nieautoryzowanego tworzenia tokenów, podczas gdy publiczny licznik podaży łańcucha pozostawał zamrożony, zyskując w ten sposób czas, zanim ktokolwiek z dalszych podmiotów — giełdy, serwisy śledzące, inni walidatorzy — zauważył, że coś jest nie tak. Zanim wykryto ten atak, około 2,8 miliarda nowo utworzonych tokenów, czyli około 97% całości, trafiło już do portfeli giełdowych, gdzie zostały sprzedane lub czekały na kontach depozytowych, gotowe do wykorzystania. Juiceberg oszacował, że w łańcuchu pozostało około 115 milionów tokenów ONE, czyli mniej niż 3% całej zdobyczy.

Harmony potwierdziło atak kilka godzin później na swoim oficjalnym koncie i zwróciło się bezpośrednio do giełd z prośbą o zamrożenie środków powiązanych z czterema adresami portfeli związanymi z atakiem:

Prosimy wszystkie giełdy o zablokowanie i zamrożenie środków, których pochodzenie można powiązać z tymi 4 adresami portfeli: one1uap8dx2z0qsjxqthm5flgcxkeepsz3gsrghnfn 0xe7427699427821230177dd13f460d6ce43014510 one17u300a40ll5wphd8kj5hktryhdjq3ml9f4phy4 0xf722f7f6afffe8e0dda7b4a97b2c64bb6408efe5

Zespół poinformował, że pracuje nad poprawką oprogramowania i rozważa opcje przywrócenia łańcucha do poprzedniego stanu, choć nie potwierdził jeszcze dokładnej luki ani ostatecznej wielkości emisji. Cofnięcie zmian zresetowałoby łańcuch do punktu sprzed wykorzystania luki i kontynuowałoby działanie od tego momentu — co w teorii brzmi dobrze, ale spowodowałoby również usunięcie wszystkich prawidłowych transakcji dokonanych przez użytkowników w międzyczasie. Nie jest to decyzja, którą Harmony może podjąć pochopnie.

Reakcja cenowa była natychmiastowa i drastyczna. Kurs ONE spadł o 26% do 37%, w zależności od tego, który serwis śledzący i jaki przedział czasowy się sprawdza, a notowania oscylowały wokół 0,0008 USD. Przy tej cenie całe 4 miliardy wyemitowanych tokenów stanowią na papierze wartość około 3,2 miliona dolarów. To niewiele w porównaniu z tym, jak w arkuszu kalkulacyjnym wygląda włamanie do mostu o wartości 100 milionów dolarów, ale kwota nigdy nie była tu najważniejsza. Chodzi o to, że nikt tego nie zauważył, gdy to się działo.

To nie jest pierwszy przypadek niepokoju związanego z podażą w sieci Harmony. W grudniu 2023 r. błąd w systemie stakingu spowodował nieprawidłowe wyemitowanie 146,28 mln tokenów ONE na dziesiątki adresów delegujących, po tym jak maszyna stanów sieci nie obsłużyła poprawnie zmiany prowizji walidatora. Harmony przeprowadziło awaryjny hard fork, choć do tego czasu około 16,4 mln tokenów trafiło już na giełdę. Jeszcze wcześniej, w czerwcu 2022 r., atakujący przejęli kontrolę nad portfelem z wielokrotnym podpisem na międzyłańcuchowym moście Horizon sieci Harmony i wyprowadzili z niego blisko 100 mln dolarów. Trzy incydenty związane z podażą lub mostami w ciągu czterech lat to nie jest zbieg okoliczności, który inwestorzy łatwo zignorują.

Harmony nie jest jedynym łańcuchem borykającym się w tym tygodniu z tego rodzaju problemami. Ravencoin zmaga się z własną kwestią cofnięcia zmian od 7 sierpnia, po tym jak błąd w walidacji bloków w protokole KAWPOW dopuścił do wprowadzenia nieprawidłowych bloków do rejestru i zmusił pule wydobywcze do odbudowy łańcucha od pierwszego wadliwego bloku. W czerwcu protokół Humanity stracił około 36 milionów dolarów, gdy skompromitowane klucze administracyjne zostały wykorzystane do wyemitowania 300 milionów nieautoryzowanych tokenów H w dwóch sieciach, a wartość tego tokenu spadła o prawie 90%. Nieautoryzowana emisja tokenów wciąż pojawia się jako przyczyna awarii w łańcuchach, które poza tym mają ze sobą niewiele wspólnego.

Na razie posiadacze tokenów ONE obserwują dwie kwestie: czy Harmony zdoła skłonić giełdy do zamrożenia tokenów nadal znajdujących się w portfelach depozytowych przed ich sprzedażą oraz czy cofnięcie transakcji jest w ogóle brane pod uwagę bez zrażania użytkowników, których transakcje zostałyby anulowane. Żadna z odpowiedzi nie wydaje się prosta.