Harmony razmišlja o vrnitvi na prejšnje stanje zaradi nepooblaščenega izdajanja tokenov; več kot milijarda tokenov je vstopila na borze

Na blockchainu Layer 1 Harmony so bile izkoriščene dve matematični napaki v logiki preverjanja prejetih transakcij med shard-i, kar je povzročilo množični nepooblaščen izdajanje tokenov. Podjetje Harmony je 12. avgusta izdalo nujno obvestilo za validatorje, v katerem so jih pozvala k namestitvi posodobitve v2026.1.1, da bi preprečili nadaljnje nepooblaščeno izdajanje tokenov. Količina že izdajenih tokenov, način njihove obravnave in možnost vračila (rollback) pa še niso določeni. Raziskovalec v področju blockchain tehnologije, Juiseberg, je ocenil, da je pri tem incidentu bilo nepooblaščeno ustvarjenih približno 40 milijonov tokenov ONE. To predstavlja približno 26 % glede na količino, uporabljeno v objavi. Dodatno je ocenil, da je že 28 milijonov tokenov ONE vstopilo na borze. Stranka Harmony še ni uradno potrdila teh številk in tudi dejansko količino ustvarjenih tokenov ni razkrila. Popravki so odpravili dve ranljivosti, ki sta bili odkriti med obdelavo prejetih sporočil med različnimi segmenti omrežja. Prva napaka je bila, da sta lahko prazna zapisa podpisnikov in matematično nevtralna agregirana podpisa prešla preizkus potrebne večine. Verifikator je namesto posameznih podpisnikov, ki so bili vključeni v zapis, agregiral celotno komisijo, kar je omogočilo sprejetje prejetih sporočil brez potrebnih odobritev. Druga napaka je bila ranljivost ponovnega poslanja, ki je omogočala, da se zdi, kot da se že obdelano sporočilo ponovno uporabi. Ker so bila nekatera polja za dokaz vezana na glavo bloka z podpisi, je sprememba teh polj povzročila, da se že obdelano sporočilo zazna kot novo, kar je povzročilo podvojene kredite na cilju, ne da bi bili odšteti na izvirišču. Harmoni je začasno prekinil delovanje mostu bridge.harmony.one med procesom. Objava ni navajala, ali je bil most neposredna pot za napad. Harmoni je razkril štiri naslove denarnic, ki so bile vpletene, in je od borze zahteval zamrznitev sledljivih sredstev, vendar ni navedel imena borze ali zneska zamrznjenih sredstev. Harmonijina prvotna odzivnost je vključevala preučevanje možnosti vračanja na prejšnje stanje, vendar še ni bila objavljena uradna izjava o tem, ali bo ta možnost izvedena in na katero točko bi se moralo vrniti. Ta incident je tehnično drugačen od hekanja mostu Horizon, ki se je zgodilo junija 2022. Takrat je bila ukradena približno 100 milijonov dolarjev vrednosti sredstev zaradi kraje ključev za več podpisov, medtem ko je v tem primeru bil cilj preverjanje prejetih podatkov in logika ponovnega pošiljanja na ravni protokola. Cena tokena ONE se je v zadnjih 24 urah znižala za približno 39,7 % in trenutno zaseda 852. mesto po tržni kapitalizaciji.