Взлом Harmony: выпущено 4 млрд поддельных ONE, команда думает об откате

Коротко: 12 августа 2026 года Harmony подтвердила, что злоумышленник через уязвимость в кросс-шардовой проверке выпустил необеспеченные токены ONE — по ончейн-оценкам, около 4 млрд, или примерно 26% обращающегося предложения. Команда выпустила экстренный патч, остановила мост, попросила биржи заморозить средства и назвала откат сети к состоянию до атаки самым практичным решением.

Что произошло

Harmony — блокчейн первого уровня на proof-of-stake, запущенный в 2019 году. Сеть разделена на шарды — параллельные цепочки, которые передают друг другу токены с помощью кросс-шардовых «квитанций» (receipts). Поздно вечером 11 августа по UTC злоумышленник начал отправлять поддельные квитанции, которые сеть принимала как настоящие. Каждая начисляла новые ONE, ни у кого их не списывая.

Ончейн-аналитик Juiceberg первым заметил около 4 млрд новых ONE, созданных через пустые блоки. Это примерно 26% от ~15 млрд ONE в обращении. Около 2,8 млрд ONE успели дойти до депозитных адресов бирж, прежде чем торги остановили, а курс ONE за несколько часов упал более чем на треть, до исторического минимума. Harmony подтвердила несанкционированный выпуск, но не подтвердила оценку аналитика независимо. Расследование продолжается: проверяют, не было ли других поддельных квитанций.

Как был устроен взлом Harmony

Судя по описанию патча, злоумышленник использовал сразу две ошибки в проверке квитанций:

1. Сломанная проверка кворума. Код считал ключи валидаторов, перечисленные в маске подписи, а не тех, кто действительно подписал. Поэтому квитанция с пустой записью подписантов могла выглядеть так, будто её одобрил весь комитет.
2. Возможность повтора. Поля доказательства не были привязаны к заголовку конкретного блока, поэтому уже обработанную квитанцию можно было подать снова как новую и получить начисление дважды.

Ни одна из ошибок не требовала кражи приватных ключей. Это логическая ошибка в коде консенсуса: такие трудно заметить при аудите, и обходятся они очень дорого. Этим атака отличается от самого известного инцидента Harmony — взлома моста Horizon в июне 2022 года. Тогда после компрометации ключей мультиподписи моста похитили около $100 млн, а ФБР позже приписало атаку северокорейской группе Lazarus.

Почему откат Harmony вызывает споры

Откат означает, что валидаторы договариваются отбросить все блоки после выбранной точки и перезапустить сеть с неё. Поддельные токены исчезнут, но вместе с ними и все легитимные транзакции после этой точки. Чем дольше принимается решение, тем больше честных операций будет потеряно.

• За: поддельные ONE созданы из ничего. Если оставить их в обращении, доли всех честных держателей размоются навсегда.
• Против: неизменяемость — главное обещание блокчейна. Если небольшой набор валидаторов может переписать историю, значит, сеть на деле довольно централизована.
• Проблема бирж: часть поддельных ONE уже продали на биржах за другие активы. Откат в сети Harmony не отменит эти сделки, и биржам, возможно, придётся покрывать убытки из собственного баланса.

В долларах прямая выгода злоумышленника невелика. The Block оценил первые 4 млрд поддельных токенов примерно в $3,2 млн: ONE потерял большую часть стоимости задолго до инцидента. Гораздо серьёзнее удар по доверию к сети и её валидаторам.

Что это значит для вас

• Не отправляйте ONE в сеть Harmony и из неё, пока Harmony не объявит окончательное решение, а биржи не откроют депозиты. Если откат состоится, недавние транзакции могут быть отменены.
• Следите за объявлениями своей биржи. На время инцидента и отката крупные площадки обычно приостанавливают ввод и вывод токена.
• Настороженно относитесь к «дешёвым» ONE. После поддельного выпуска необеспеченные токены могут ещё обращаться на мелких площадках или мостах, которые не успели их заморозить.
• Думайте о концентрации. У небольших блокчейнов первого уровня с тонкой ликвидностью и узким кругом валидаторов к ценовому риску добавляется риск протокола. Как распределить такие риски, мы рассказываем в гиде по безопасности криптокошельков.

Кросс-чейн-инфраструктура снова и снова оказывается в центре подобных инцидентов — будь то мосты или внутренние кросс-шардовые сообщения. Механику мы разбирали в статье о том, как работают кросс-чейн мосты.

Главное

• Злоумышленник подделал токены ONE в сети Harmony через две ошибки в проверке кросс-шардовых квитанций. Атака началась поздно вечером 11 августа 2026 года.
• Выпущено около 4 млрд ONE — примерно 26% обращающегося предложения, около 2,8 млрд дошли до бирж.
• Harmony закрыла уязвимости 12 августа релизом v2026.1.1, за четыре часа его установили 53% валидаторов.
• Биржи попросили заморозить средства четырёх пар кошельков злоумышленника, мост приостановлен, основной рассматриваемый вариант — откат.

Прежде чем обменивать токен, затронутый инцидентом, проверьте, доступен ли он сейчас, на странице поддерживаемых монет. Депозиты в затронутых сетях обычно приостанавливают, пока сеть не стабилизируется.

Источники: The Block, CryptoSlate, Coin360, CoinDesk