Ціна токена ONE від Harmony різко впала після того, як зловмисник випустив 4 мільярди токенів за допомогою порожніх блоків

Harmony — блокчейн першого рівня, який колись позиціонував себе як рішення для масштабування Ethereum, — 12 серпня підтвердив, що став жертвою зловмисного втручання: зловмисник без дозволу випустив приблизно 4 мільярди токенів ONE — суму, що становила близько 26% від усього обігу мережі на той момент.

Першою ознакою проблеми стало повідомлення аналітика ланцюга Juiceberg, який написав у X, що блокчейн Harmony був зламаний з використанням порожніх блоків, а кінцева точка totalSupply мережі не відображала нові токени в режимі реального часу:

Мережа Harmony зазнала зловживання: дані ланцюга свідчать про несанкціоноване випущення 4 млрд ONE (26% від загального обсягу) за допомогою порожніх блоків, причому 2,8 млрд швидко надійшли на біржі на тлі обвалу ціни, тоді як кінцева точка totalSupply приховує інфляцію $ONE

Порожні блоки — це звичайні, дійсні записи в блокчейні, які не містять транзакцій користувачів. Згідно з висновками Juiceberg, зловмисник використав цей механізм для запуску несанкціонованого випуску токенів, поки публічний лічильник запасу ланцюга залишався замороженим, виграючи час, перш ніж хтось із наступних ланцюгів — біржі, трекери, інші валідатори — помітив, що щось не так. До моменту виявлення підробки приблизно 2,8 млрд новостворених токенів, що становить близько 97% від загальної кількості, вже потрапили на гаманці бірж, де їх або продали, або вони лежали на депозитних рахунках, готові до продажу. Джусберг оцінив кількість токенів, що залишилися в ланцюгу, приблизно в 115 мільйонів ONE, або менше 3% від загального обсягу викрадених коштів.

Через кілька годин Harmony підтвердила факт зловживання на своєму офіційному акаунті та звернулася безпосередньо до бірж із проханням заморозити кошти, пов’язані з чотирма адресами гаманців, причетних до атаки:

Ми просимо всі біржі заблокувати та заморозити кошти, які можна відстежити до цих 4 адрес гаманців: one1uap8dx2z0qsjxqthm5flgcxkeepsz3gsrghnfn 0xe7427699427821230177dd13f460d6ce43014510 one17u300a40ll5wphd8kj5hktryhdjq3ml9f4phy4 0xf722f7f6afffe8e0dda7b4a97b2c64bb6408efe5

Команда заявила, що працює над виправленням програмного забезпечення та розглядає варіанти відкоту, хоча й не підтвердила точну вразливість або остаточний обсяг випуску. Відкат призведе до скидання ланцюга до моменту, що передував експлойту, і продовження роботи з цього моменту — що теоретично звучить логічно, але також призведе до видалення всіх законних транзакцій, здійснених користувачами за цей час. Це рішення Harmony не може прийняти легковажно.

Реакція цін була миттєвою і негативною. Ціна ONE впала на 26–37%, залежно від того, який трекер і який часовий проміжок ви перевіряєте, і торгувалася на рівні близько 0,0008 долара. За цією ціною всі 4 мільярди випущених токенів на папері становлять приблизно 3,2 мільйона доларів. Це незначна сума порівняно з тим, як виглядає злом мосту на 100 мільйонів доларів у таблиці, але сума ніколи не була головною проблемою. Проблема в тому, що ніхто не помітив цього, поки це відбувалося.

Це не перший випадок, коли Harmony стикається з проблемами з пропозицією. У грудні 2023 року через помилку в системі стейкінгу було неправомірно випущено 146,28 мільйона ONE на десятки адрес делегаторів після того, як державна машина мережі неправильно обробила зміну комісії валідатора. Harmony провела екстрений хард-форк, хоча на той момент близько 16,4 мільйона токенів вже потрапили на біржу. Ще раніше, у червні 2022 року, зловмисники зламали гаманець з багатопідписом на міжланцюговому мості Horizon від Harmony та вивели з нього майже 100 мільйонів доларів. Три інциденти, пов’язані з пропозицією або мостами, за чотири роки — це не той збіг обставин, який інвестори легко проігнорують.

Harmony — не єдиний блокчейн, який цього тижня стикається з подібними проблемами. Ravencoin бореться з проблемою відкоту з 7 серпня, після того як недолік у валідації блоків KAWPOW дозволив недійсним блокам потрапити до його реєстру та змусив майнінг-пули відновлювати ланцюг, починаючи з першого помилкового блоку. У червні Humanity Protocol втратив близько 36 мільйонів доларів, коли через злом адміністративних ключів було випущено 300 мільйонів несанкціонованих токенів H у двох мережах, після чого вартість цього токена впала майже на 90%. Несанкціонований випуск токенів продовжує виступати як основний тип збою в ланцюгах, які майже нічим іншим не схожі між собою.

Наразі власники ONE стежать за двома речами: чи зможе Harmony домогтися від бірж заморозити токени, що все ще знаходяться в депозитних гаманцях, до того, як їх продадуть, та чи взагалі розглядається можливість відкоту без того, щоб відштовхнути користувачів, транзакції яких будуть анульовані. Жодна з відповідей не виглядає однозначною.