Harmony está considerando um rollback devido a problemas de mintagem não autorizada, e mais de 1 bilhão de tokens foram enviados para exchanges

Na blockchain Harmony, que utiliza a arquitetura Layer 1, duas falhas matemáticas na lógica de verificação de recebimento entre shards foram exploradas, resultando em um incidente de cunhagem não autorizada de grandes quantidades de tokens. A Harmony informou que, em 12 de agosto, instruiu os validadores a instalarem uma atualização de segurança (patch) v2026.1.1 para impedir novas cunhagens não autorizadas. No entanto, a quantidade de tokens já criados, a forma como foram processados e a possibilidade de um rollback ainda não foram determinadas. O pesquisador blockchain Juiceberg estimou que aproximadamente 4 bilhões de tokens ONE foram criados de forma não autorizada durante o incidente. Isso representa cerca de 26% da oferta total utilizada na postagem. Ele também estimou que 2,8 bilhões de tokens ONE já foram transferidos para exchanges. A Harmony não confirmou oficialmente esses números e não divulgou a quantidade real de tokens cunhados. As duas vulnerabilidades corrigidas pela atualização foram encontradas no processo de tratamento de recebimentos entre shards. A primeira falha permitia que registros de assinaturas vazios e assinaturas agregadas matematicamente neutras passassem pela verificação de quórum. Os validadores agregavam todos os membros do comitê, incluindo aqueles não presentes nos registros de assinatura, permitindo que os recebimentos fossem aceitos sem a aprovação necessária. A segunda falha era uma vulnerabilidade de replay, que fazia com que recebimentos já processados parecessem ser novos. Alguns campos de prova não estavam vinculados ao cabeçalho do bloco assinado, e a alteração desses campos fazia com que os recebimentos já processados fossem reconhecidos como novos, gerando créditos duplicados no destino sem a devida dedução na origem. A Harmony interrompeu temporariamente a bridge bridge.harmony.one durante o processo de resposta ao incidente. O comunicado não especificou se a bridge foi o ponto de entrada direto para o ataque. A Harmony divulgou quatro endereços de carteiras envolvidas e solicitou que as exchanges congelassem os fundos rastreáveis, mas não revelou os nomes das exchanges ou os valores congelados. A resposta inicial da Harmony incluiu a avaliação da opção de rollback, mas não houve anúncio oficial sobre a execução do rollback ou para qual ponto no tempo ele seria aplicado. Este incidente é tecnicamente diferente do ataque à bridge Horizon, ocorrido em junho de 2022, no qual chaves multisig foram comprometidas, resultando no roubo de ativos no valor de aproximadamente 100 milhões de dólares. No incidente atual, a vulnerabilidade explorada estava relacionada à lógica de verificação de recebimento e replay no nível do protocolo. O preço do token ONE caiu aproximadamente 39,7% em 24 horas, e sua capitalização de mercado é atualmente a 852ª.