Zneužití Harmony ONE: Potvrzeno 4 miliardy ONE, recenze ukazují na 3,01 bilionu

Dne 12. srpna 2026 umožnil exploit Harmony ONE neoprávněné vytvoření nativního tokenu sítě prostřednictvím chyb v ověřování příjmů mezi cross-shardy. Harmony potvrdil počáteční vydání 4 miliard ONE, zatímco jeho nejnovější rekonstrukce naznačuje, že šest padělaných transakcí mezi cross-shardy mohlo celkem vydat zhruba 3,01 bilionu ONE. Projekt stále tato čísla srovnává, což znamená, že odhad 3,01 bilionu by zatím neměl být považován za konečnou vyrovnanou částku.

Jakmile se na trh dostaly zprávy o zneužití, cena ONE klesla přibližně o 40 %. On-chain výzkumník Juiceberg původně uvedl, že zhruba 2,8 miliardy ONE z první detekované mincovny se přesunulo na burzy, a také zjistil, že Harmonyho koncový bod totalSupply okamžitě neodrážel neoprávněné tokeny. Harmony od té doby potvrdil zneužití a jeho technickou příčinu, ačkoli nesrovnalost mezi nabídkou a koncovým bodem zůstává spíše zjištěním hlášeným vyšetřovatelem než detailem nezávisle zdokumentovaným ve zprávě o incidentu Harmony.

• Harmony se 12. srpna 2026 stala obětí neoprávněného útoku na ONE mincovnu.

• Projekt potvrdil počáteční hodnotu 4 miliard ONE mincí, zatímco pozdější rekonstrukce ukazuje na přibližně 3,01 bilionu ONE vytvořených prostřednictvím šesti padělaných transakcí mezi střepy.

• Změny kódu Harmony ukazují slabiny v ochraně proti přehrávání potvrzení mezi jednotlivými segmenty a ověřování kvora.

• Byla vydána nouzová verze v2026.1.1, aby se zabránilo dalšímu zneužití, zatímco mostní služby byly pozastaveny.

• Harmony připravuje vrácení zpět na blok 92 730 034, předtím, než došlo k exploitu.

Na technické úrovni se zneužití zaměřilo na způsob, jakým Harmony zpracovává cross-shard účtenky, které se používají ke komunikaci výsledků transakcí mezi různými částmi sítě. Zveřejněné změny kódu společností Harmony ukazují dvě relevantní slabiny. Jedna by mohla umožnit úspěšné provedení kontroly kvora bez požadovaných schválení validátorem, zatímco druhá by mohla způsobit, že se dříve zpracovaná účtenka jeví jako nepoužitá, což by umožnilo opětovné připsání platby cílovému subjektu bez dalšího odpovídajícího debetu.

Čísla vyžadují větší opatrnost, než naznačovaly první zprávy. Společnost Harmony uvádí, že první potvrzená aktivita se skládala ze dvou transakcí s prázdnými bloky, které vytvořily 1 miliardu, respektive 3 miliardy ONE. Následná rekonstrukce však identifikovala šest padělaných transakcí mezi shardy zahrnujících čtyři peněženky útočníků a odhadla potenciální celkovou emisi na zhruba 3,01 bilionu ONE. Harmony stále ověřuje rozdíl mezi původním údaji 4 miliardy a mnohem větší rekonstrukcí.

To také znamená, že široce informované tvrzení, že zneužití zvýšilo nabídku ONE přibližně o 26 %, se vztahuje pouze na původní odhad 4 miliard, oproti zhruba 15 miliardám ONE hlášeným před útokem. Nemělo by se používat k popisu možného čísla 3,01 bilionu, které je nyní předmětem vyšetřování.

Jeden z nejneobvyklejších detailů pochází z Juicebergova úvodního vyšetřování. Výzkumník uvedl, že endpoint totalSupply platformy Harmony okamžitě nezahrnoval nově vytvořený ONE, a to i přesto, že se neautorizované tokeny již pohybovaly sítí a směrem k burzám. Veřejné cenové sledovače proto stále zobrazovaly údaje o nabídce, které nezohledňovaly nahlášenou mincovnu.

To je důležité, protože nabídka tokenů je základním vstupem pro posouzení ředění, tržní kapitalizace a vzácnosti aktiva. Jakákoli služba spoléhající se na zastaralá data o nabídce bez nezávislého sladění podkladového řetězce by mohla podcenit rozsah náhlé události ražby. Bylo by však příliš obecné říci, že každá peněženka, burza nebo datová platforma závisí výhradně na koncovém bodu totalSupply společnosti Harmony.

Pro obchodníky a poskytovatele dat mohou nesprávné nebo zpožděné údaje o dodávkách zkreslit několik základních metrik :

• Obíhající zásoba, protože nově vytvořené tokeny se nemusí objevit v hlášeném čísle

• Tržní kapitalizace, která závisí jak na ceně tokenu, tak na počtu tokenů v oběhu

• Odhady ředění, které ztěžují posouzení toho, jak moc byly stávající podíly znehodnoceny

• Monitorování rizik, protože abnormální nárůst nabídky by byl obvykle jedním z nejjasnějších znaků neoprávněné ražby mincí

Toto rozlišení je důležité. Samotné zneužití vytvořilo ekonomické riziko, zatímco hlášený rozdíl v dodávkách potenciálně ztížil identifikaci tohoto rizika pomocí standardních monitorovacích nástrojů. Problém tedy nebyl jen v tom, že cena akcií ONE klesla, ale v tom, že množství akcií ONE, o kterém se předpokládalo, že existují, se v průběhu incidentu stalo nejistým.

Více podobných článků najdete na naší stránce s krypto novinkami .

Společnost Harmony vydala 12. srpna v 06:30 UTC verzi Mainnetu v2026.1.1. Aktualizace obsahovala opravy logiky cross-shardových účtenek, včetně výpočtu kvora a mechanismu používaného k určení, zda účtenka již byla zpracována. Společnost Harmony také pozastavila své přemosťovací služby a začala koordinovat s burzami a dalšími poskytovateli infrastruktury finanční prostředky spojené s exploitem.

Projekt se nyní připravuje na vrácení sítě zpět na blok 92 730 034, který předchází neoprávněnému mintingu. Shard 0 byl následně pozastaven na bloku 92 753 555, zatímco Harmony koordinoval vrácení zpět s validátory a burzami.

Vrácení zpět by mohlo odstranit podvodné změny stavu z kanonického řetězce, ale také vytváří samostatný problém. Mohou být ovlivněny i transakce legitimně dokončené po vybraném bodu vrácení zpět, a proto je důležitá koordinace mezi validátory, burzami a poskytovateli infrastruktury, než síť obnoví normální provoz.

Incident ze srpna 2026 navazuje na dva dřívější problémy týkající se mostu Harmony. V červnu 2022 útočníci ukradli z mostu Horizon přibližně 100 milionů dolarů poté, co ohrozili jeho bezpečnost. FBI později krádež připsala severokorejské skupině Lazarus Group.

Harmony poté v prosinci 2023 zaznamenala samostatný problém s vytvářením tokenů. Chyba ve stakingu vedla k nesprávnému vytvoření přibližně 146,3 milionu tokenů ONE, přičemž část z této částky se později přesunula na burzu.

Zranitelnost z roku 2026 se technicky liší od obou případů. Útok z roku 2022 se týkal mostu, zatímco současný incident se týká ověřování účtenek a logiky přehrávání uvnitř samotného protokolu Harmony. Pro obchodníky je tato historie relevantní, protože představuje síťová a provozní rizika, která nelze měřit pouze pomocí cenových grafů.

Nejednalo se o konvenční pohyb na trhu způsobený pouze měnící se poptávkou. Podkladová nabídka aktiva byla změněna bez autorizace a rozsah této změny byl nejistý, zatímco trh již přeceňoval ONE. Stop příkaz může snížit expozici vůči cenovým pohybům, pokud je k dispozici likvidita a provedení, ale nemůže zabránit rozmělnění ani eliminovat riziko na úrovni protokolu.

Toto rozlišení je důležité zejména u aktiv s menší kapitalizací. Technické indikátory vám mohou říct, jak se cena chová, ale nemohou vám říct, zda účetnictví tokenů, validační software nebo logika cross-shardu v řetězci funguje správně. Riziko protokolu je proto třeba posuzovat odděleně od samotného obchodního nastavení.

Incident Harmony také ukazuje, proč kontrola jednoho údaje o nabídce nestačí vždy. Pokud je aktivní bezpečnostní incident, obchodníci musí zvážit stav sítě, vklady a výběry na směnárně, překlenovací operace a nezávislá data na chainu vedle kótované tržní ceny.

Než vstoupíte do jakékoli pozice s volatilním aktivem s nízkou kapitalizací, znejte si svou likvidační cenu a svůj rezervní prostor pro propad . Trh vám může peníze rychle vzít. Může to udělat i nefunkční protokol, který vám bude tvrdit, že je vše v pořádku.